中國銀聯作為銀行卡組織，始終致力于為用戶提供更加安全、便捷的支付方式。為更好地為客戶提供優質安全的金融服務，中國銀聯一直把電子支付安全作為公司發展的重點方向之一。中國銀聯電子支付安全攻防體系研究工作參考國際通行的安全模型，結合銀聯電子支付產品和應用的建設實際，提出了創新的電子支付安全攻防體系模型，并開展了探索適用于電子支付領域的通用安全體系架構的有益嘗試，降低了支付產品和應用的安全風險。

中國銀聯電子支付研究院副院長 何朔

　　一、項目背景

　　近年來，隨著電子商務和互聯網金融的迅猛發展，電子支付呈現井噴式增長。電子支付雖然具有便捷性和創新性等優勢，但其在快速發展的同時，安全問題形勢卻日益嚴峻。一方面，許多金融應用暴露出資金安全、信息安全方面的許多問題;另一方面，網絡攻擊的方式也日趨隱蔽和復雜，給安全檢測和防御研究帶來了極大的挑戰。

　　從行業角度來看，電子支付安全問題是跨機構、跨平臺、跨地域的，攻擊了某個電商平臺或互聯網金融應用，就意味著對關鍵金融系統產生了潛在威脅。目前業內尚未形成有效的面向整個電子支付行業的信息安全攻防體系，因此迫切需要各方聯合起來，進行相關課題的研究和實踐。

　　中國銀聯電子支付安全攻防體系研究，將在調研業界先進技術和管理經驗的基礎上，結合安全廠商、安全聯盟、標準化組織的安全規范和最佳實踐，從提升國內網絡和電子支付安全環境的角度出發，對傳統信息安全攻防模型進行優化，對電子支付安全領域的技術手段、攻防實踐、人才培養、聯動機制進行探索和實踐，以形成完整的電子支付安全攻防體系，滿足行業參與各方的需要。這一體系也將為銀聯支付產品和應用提供安全保障，為行業內支付系統安全的建設提供理論、技術和實踐參考。

　　二、體系建設概況

　　1.電子支付安全體系模型

　　電子支付安全攻防體系理論模型的最核心是電子支付安全，傳統的安全攻防模型并不能很好地滿足電子支付安全研究的需要，為了更好地對電子支付安全進行研究，我們從電子支付安全的角度，結合目前業界支付產品和銀聯自身的特點，改進了傳統的安全攻防模型(如圖1所示)。

　　根據電子支付安全攻防體系模型，為了確保電子支付安全這一核心，我們從四個方面開展工作。首先是從技術手段的角度來確保電子支付的安全。其次，在管理措施上，信息安全領域，技術和管理并重，形成集人員管理、資產管理、風險管理等多項管理措施于一體的管理體系。再次，在人才培養上，注重安全團隊的建設，形成安全團隊的有效培養機制。最后，在聯動機制方面，電子支付安全攻防體系建立了內外結合的高效聯動機制。

　　電子支付安全攻防體系理論模型的最外層是具體的研究內容，這些具體的研究內容也是內層研究工作的基礎。它包括物理層、協議層、應用層、社會工程等多個角度，涉及了電子支付設備安全、支付控件和工具安全、支付協議和算法安全、電子支付應用安全以及社會工程學。

　　2.電子支付安全研究方向

　　在電子支付安全攻防體系的研究中，我們結合銀聯的實際需求和業界常見的分類標準主要從移動支付安全、網絡安全、Web安全、密碼算法、芯片/硬件安全等5個技術方面開展研究。

　　移動支付安全包括移動操作系統自身安全性分析、移動APP的漏洞分析、移動APP編譯與反編譯、終端應用的反篡改、手機短信驗證碼安全性研究、偽基站研究、移動端病毒原理與傳播、移動終端環境安全性檢測與加固等多個方面。

　　在進行網絡安全研究時，首先梳理形成當前典型的網絡攻擊種類，以及其對應的安全缺陷、攻擊目的、業界解決方案或研究方向、銀聯可能遇到的實戰場景和銀聯現有的應對考慮。在實際的研究過程中，中國銀聯針對生產上的實際安全問題——CC攻擊，開展了深入研究，并自主研發了集成機器學習、威脅情報等先進安全技術的網絡流量分析及CC攻擊檢測系統。

　　Web安全方面，我們詳細分析了各類Web攻擊原理、特征，并調研了Web安全防御的一般做法和主流自動化掃描工具與代碼掃描軟件，以實現在自動化檢測的基礎上輔助以人工的滲透測試發現Web系統可能存在的安全隱患。

　　密碼算法和各類基礎協議方面，我們針對不同的加密算法、標準自身的優劣、效率、對比、適用度、常見攻擊、破解方式、實現漏洞、部署要求等均做了詳細的研究，形成了多份研究報告、最佳實踐。

　　在芯片/硬件安全方面，我們對IC卡芯片中存儲的關鍵證書信息和其他交易輔助信息進行了針對性的攻防測試和研究，提出了有效的解決方案，形成了多篇專利。

　　3.電子支付安全攻防平臺

　　為更好地研究各類安全技術，給廣大研究人員提供一個實戰演練的場所，建立一套功能全面、安全可靠、靈活多樣的安全攻防平臺的需求就呼之欲出了。通過對可能面臨的應用場景的調研、對業界其他解決方案的消化吸收，我們總結出如圖2所示的安全攻防研究平臺框架設計。

　　平臺環境層是體系的基礎，由基礎網絡環境、虛擬化環境和安全設備環境組成;在平臺環境層左右設計有日常操作層和管理維護層兩個層面，用于支持攻防平臺日常的正常運作和使用、管理;圍繞以上三個支持類的層面的是四大實際工作層，分別是安全實驗層、攻防演練層、檢測分析層以及算法研究層，用于提供真正的安全攻防研究、演練、實踐等功能。

　　根據此框架設計，為將具體內容進行落地，我們搭建部署了一套如圖3所示的安全攻防基礎研究平臺。

　　該平臺從反惡意軟件、攻防實驗、檢測分析、算法研究、芯片安全、硬件安全6個維度同步開展建設，形成一個覆蓋算法、協議、方案、產品全方位的安全研究基礎環境。

　　三、創新特點

　　1.方法論創新

　　在電子支付安全攻防體系的研究和工作過程中，我們對工作方法進行了全面思考和大膽探索。最終經過實踐，形成了如下四點方法論特色：將業界經驗與電子支付的具體場景相結合，解決了安全廠商的研究往往集中在技術實現，而金融行業注重業務風險，無法更好地將技術與業務相結合的弊端;對傳統安全攻防模型進行借鑒和引申，解決了傳統安全攻防模型無法涵蓋日新月異的支付技術和產品的問題;在自主創新建立的安全攻防研究框架上開展攻防體系研究，突破了傳統的安全研究以業界和廠商的產品框架為基礎的局限;注重安全研究團隊培養和聯動機制建設，形成了政府機構、安全廠商、高校、科研院所等多方面的高效聯動機制。

　　2.體系模型創新

　　電子支付安全是一個整體的、龐大的體系，涵蓋電子支付業務和技術的方方面面。國內有些機構提出的面向電子支付安全的理論框架，在層次性和全面性方面尚有不足。而DMTF、ENISA、CSA等國際組織提出的安全理論、模型、框架、威脅分析，不具備在電子支付領域的實際指導意義。

　　中國銀聯在參考國際標準化組織的安全研究成果的基礎上，對應用層、協議層、物理層、社會工程方面的威脅進行了深入研究，從技術手段、管理措施、聯動機制、人才培養四個方面出發，提出了新的電子支付安全攻防體系模型，形成了較為完整的安全攻防理論體系，充分考察了傳統信息安全安全領域的最新研究成果和成熟經驗、主流信息安全解決方案提供商的成熟產品及解決方案，結合電子支付安全特點形成了具有很強操作性的整體解決方案，具有較強的創新性。

　　3.平臺框架創新

　　攻防平臺框架在金融領域實現較少，主要存在于安全廠商的跨行業框架中，而本攻防平臺框架涵蓋安全攻防的各個階段，是金融行業獨創性研發。業界攻防框架焦點集中在傳統的網絡和系統安全領域，本體系框架以信息安全技術作為基礎，提供多種自定制擴展開發接口，方便用戶結合業務進行針對性研究，具有很好的開放性。業界攻防框架往往只支持特定的操作系統和硬件設備，本體系框架支持不同形態、不同操作系統、不同類型的硬件設備和分析軟件納入整個平臺環境中，具有很高的可擴展性。安全界攻防框架主要關注傳統網絡和系統安全案例教學，本體系框架著重關注實際實施過程中的可行性、便利性以及安全性，具備良好的實操性。

　　四、實施成果

　　電子支付安全攻防體系的諸多成果已應用于銀聯產品和系統開發，起到安全保障作用，主要體現技術手段、管理措施、人才培養和聯動機制四個方面。

　　技術研究方面，首先，中國銀聯電子支付安全攻防體系開展生產安全隱患研究與檢測系統實現。中國銀聯自主研發的網絡流量分析與CC攻擊檢測系統，借助機器學習、威脅情報等新興技術，實現網絡資源的自學習發現，建立網絡流量模型，根據特征實現CC攻擊等惡意事件的檢測和防御，該系統已在生產穩定運行并且檢測效果良好。

　　其次，開展電子支付熱點、難點問題研究：針對高危漏洞、木馬等安全問題進行研究與分析，并提出應對措施和防御方案;針對動態加載技術、運行時環境監測與清場等難點技術設計了原型方案，并完成可行性驗證;針對Intel的IPT防護技術，進行了技術預研，研發技術原型，并在國家網絡安全宣傳周、Intel信息技術峰會IDF等展會上展出。

　　再次，完成對內外多個支付系統/應用的滲透測試，包括內部的云POS、銀聯在線支付在內的多個支付后臺系統和20余款銀行網銀等支付類應用的滲透測試，累計發現八大類上百項安全隱患，并協助完成漏洞的修復，改善和提高相應系統和應用的安全性。

　　管理措施上，中國銀聯及時總結和推廣攻防經驗并將研究成果應用于標準規范的編寫和制定。研究成果推廣應用包括編寫移動支付安全編程、手機應用安全風險、安全算法部署實踐等文檔，幫助需求、開發及運維人員掌握安全風險點及常見解決方案;研究成果應用于標準規范的編寫，包括EMV等國際標準、云計算安全等國家標準、網銀安全等行業標準、云安全審計等企業標準等。

　　依托電子支付安全體系，中國銀聯組建了一支技術水平過硬的安全攻防技術團隊——電子商務與電子支付國家工程實驗室狴犴安全研究團隊。在人才培養的過程中形成兩種機制，分別是定期培訓和實踐檢驗。團隊中每個人都會定期自由選取個人擅長的領域進行課程教授;另外還會根據安全行業形勢的發展，不定期組織外部專業機構進行安全新動態、新業務的培訓;團隊積極尋找比賽機會進行學習與練兵，包括中國網絡空間安全協會、國家互聯網應急中心等單位舉辦的多項網絡安全國家賽事，并取得了不錯的成績。

　　電子支付是個整體的解決方案，電子支付安全也不是靠一方單打獨斗可以解決的問題。為了更好地提升電子支付安全，中國銀聯與政府機構、科研機構、安全廠商以及行業機構建立了不同形式的高效聯動機制，共享安全信息，共研安全技術，共建安全成果，共保支付安全。

　　當前，“互聯網+普惠金融”、“互聯網+電子商務”已成為國家經濟轉型戰略的重要行動，越來越多的企業走向互聯網化，越來越多的用戶和商戶嘗試使用新型支付手段進行快捷支付。在這一過程中，每一個電子商務平臺和互聯網金融應用的建設者和參與者都需要考慮電子支付安全的問題和解決方案。中國銀聯希望能與業界各方攜手共進，打造更加成熟的安全體系，共同保障金融安全與穩定。

　?。ㄎ恼伦髡撸褐袊y聯電子支付研究院副院長 何朔 高級安全架構師 楊陽 信息安全研究員 朱浩然 ）

<menuitem id="zjj55"></menuitem>

<menuitem id="zjj55"></menuitem>

<big id="zjj55"></big>

責任編輯：韓希宇