2020-01-21 來源：第三方支付技術與監管 作者：胡娟
本文為第三方支付技術與監督，其中一章節，如需查看全文，請點擊：《第三方支付技術與監督》全文
(1)運維安全審查典型問題
銀行卡收單支付類型的支付設施在運維安全審查過程中典型問題主要體現在:監控過程對網絡、主機服務器和應用方面記錄問題要么沒有真正落實,要么缺乏有效管理監控記錄，要么監控指標項不完整,達到不到監控力度。
運營安全問題雖然并不是直接影響支付設施正常服務的技術問題,但運維保障措施的缺失,對支付機構來說潛藏的風險影響更大，特別是在支付設施出現故障時,要么無法及時發現問題，要么無法定位問題的原因,更嚴重的情況下可能會造成系統安全風險來自內部攻擊,而缺乏應對措施。
(2)應用安全審查典型問題
在審查過程中,應用安全方面的典型問題主要體現在認證鑒別和資源控制方面,最突出的問題是未使用有效的電子簽名而以HASH算法類似的算法替代,登錄訪問未使用兩種以上組合鑒別方式。單散列算法在完整性驗證方面與其他的安全算法相結合能達到一定的目的,但是單依賴于散列算法自身是無法保證抗抵賴性風險的。
另外,資源控制是保證應用服務可用性的主要措施，只有對系統資源包括網絡資源、計算資源.存儲資源等進行有效的管理,確保資源的正常使用和釋放,并能對資源的消耗進行監測,才能有效地阻止和預測服務可用性方面的風險,例如DoS攻擊等。
此外，比較突出的安全問題是Web頁面的安全問題,如頁面跨站腳本攻擊和數字證書使用問題。從銀行卡收單支付設施來說，支付過程有時不需要Web服務,但是對于類似商戶自助管理方面的業務系統往往采用Web服務,從認證審查過程中發現的問題來看,很多支付機構在系統建設過程中往往沒有重視這方面的問題,而這樣的問題將會造成支付機構無法對商戶進行有效管理,跨站腳本防范問題和服務器數字證書沒有正確落實不僅可能造成Web服務客戶的利益損害,對支付設施自身特別是風險防控也帶來不可控性。
(3)主機安全審查典型問題
主機安全方面的審查典型問題是漏洞掃描的問題。漏洞掃描對支付機構來說,不僅需要專業工具和人員來實施，更重要的是漏洞掃描后主機安全漏洞的修復和加固，顯然后者是支付機構符合性檢測中比較難以達到的。主機方面的安全風險往往具有極大的破壞性,一旦，人侵行為不能及時發現和阻止,系統漏洞不能及時發現和修復,來自于系統內外的攻擊會充分利用主機或數據庫系統暴露的漏洞實施攻擊,損失將直接涉及主機所承載的應用服務和數據,甚至威脅到其他服務器和應用。
(4)數據安全審查典型問題
銀行卡收單支付數據安全涉及銀行卡用戶的私密信息保護、交易信息保護、交易記錄信息保護等,支付機構對數據安全承擔了極高的數據安全責任。從審查問題來看，數據安全主要體現在對交易數據和客戶數據進行備份方面,部分支付機構在異地備份方面不能滿足要求,或者備份數據缺少定期恢復機制,這都將影響系統數據的災難恢復過程。此外，數據管理制度的落地(數據銷毀記錄)和數據物理存儲環境問題成為審查關注點。部分支付機構通常關注于系統線上數據的安全性,對于備份數據的保護關注不夠,數據生命周期的管理也不到位,通常源于備份數據的系統脆弱性，往往危害程度不亞于生產線上的數據,而且對于具有惡意目的的攻擊者來說,對備份數據的攻擊成本往往要低。因此從支付機構對數據安全有效保護的角度來說,安全防護應該是完整體系的,短板將使所有努力功虧一簣。
(5)網絡安全審查典型問題
在網絡安全方面,銀行卡收單業務支付設施在審查過程中出現的典型問題,主要還是體現在非法內接和非法外連,另外惡意代碼防范問題也始終是該領域內一直存在的問題。
顯然在運營管理中,部分支付機構對網絡邊界的防護落實不到位或管理不嚴,并沒有將網絡安全的制度或措施貫徹始終。網絡是支付設施核心組件防護最重要的屏障之一,也是最有效且相對經濟的措施之一。網絡安全防護是一個體系化的防護,任何一個措施的短板都會造成整個網絡防護體系的失效。在審查過程中發現的非法內接和外連來說,如果內網存在不受管理的WiFi. 撥號接人這樣的網絡連接，支付設施在網絡邊界上實施的所有防護措施如同虛設;同樣防惡意代碼和防病毒網關等對特征庫的依賴性比較大,特征庫不能及時更新,對于新出現的病毒和惡意代碼就不能有效過濾,威脅將直接通過網絡影響到核心業務系統和業務數據,對支付機構自身和支付服務用戶來說可能的損失都是無法估量的。
(6)業務連續性審查典型問題
對于銀行卡收單業務,業務連續性典型審查問題主要體現在災備機房(備份機房)相關問題方面。根據《非金融機構支付業務設施檢測規范》的要求,不僅需要網絡和服務器等設備備份,還需達到應用級備份要求。各支付機構審查問題都相對集中在無法達到應用級別的備份上,另外是備份機房的安全措施無法達到安全要求。應用級別的備份并不是簡單對數據實現異地備份就達到要求,需要具備在主機房無法提供正常業務服務的情況下,能快速切換到災備機房并獨立提供業務服務。應用級別的災備相對難度比較高,投資比較大,對于支付機構來說需要克服一定的困難來實現。
