平安金融安全研究院：2017年金融科技安全分析报告（29页）.pdf

1、金融科技安全分析报告平安金融安全研究院是由平安集团旗下的全资子公司平安科技成立的业界首家综合性的金融安全研究及创新机构，为平安集团、各行业和国家提供强有力的金融安全技术支撑，为金融机构在互联网时代下的信息安全建设、业务安全风控、金融科技安全保障和国家金融安全作出技术贡献，努力推动和引领我国在金融安全方面的科学技术进步，打造金融安全品牌。北京神州绿盟信息安全科技股份有限公司（以下简称绿盟科技）成立于 2000 年 4 月，国内外设有 40 多个分支机构，一直为各行业提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。绿盟威胁情报中心（NSFOCUS Threat Intell

2、igence center, NTI）是绿盟科技在网络空间安全生态建设和威胁情报应用方面组建的专业性威胁情报研究中心。TUmWhU8ViYdYzWzW8O8QbRnPrRmOoPlOpOoMjMmOmQ7NoOxOxNrMyQNZrNzQ2017 中国企业金融科技安全调查问卷本报告部分数据来源于问卷调查。问卷由平安金融安全研究院和北京神州绿盟信息安全科技股份有限公司共同发起，共发出 1591 份，覆盖安全行业和金融行业，参与者主要为：安全架构师、安全咨询师、安全工程师，占比 40.3%；安全开发及运维人员，占比 15.7%；还包括首席执行官、首席信息官、信息安全官、IT 部门主管、业务部门主管

3、等。目 录01 执行摘要 安全现状 安全态势02 金融科技 03 网络安全威胁介绍 3.1 DDoS 攻击 3.2 网络勒索 3.3 僵尸网络 3.4 APT 攻击 04 数据安全威胁介绍 4.1 数据库漏洞与利用 4.2 内部人员数据倒卖 4.3 云上数据窃取 05 业务安全威胁介绍 5.1 Web 攻击与代码缺陷 5.2 业务欺诈 5.3 ATM 与 SWIFT 攻击 5.4 移动支付安全 5.5 区块链安全 06 总结与展望 6.1 总结 6.2 展望 02030405070710111516161718191922232324252526在 2017 年 8 月 22 日，世界经济论坛

4、发布了报告超越金融科技：全面评估金融服务的颠覆潜力1。该报告涵盖了数百位金融、科技领域专家的访谈内容，旨在探索创新对全球金融生态系统的影响。报告对驱动 FinTech 创新的 8 大因素及其颠覆潜力进行了定义；同时总结出在 FinTech 冲击下，支付、信贷、财富管理、保险、数字银行等 7 大金融领域未来的创新模式和路径，以及每个领域所面临的风险和可能的终局。近年，依托云计算、大数据、人工智能、区块链等先进的计算机技术的发展，金融服务也趋于多样化、便利化、智能化。金融科技的出现频率正在高速增长，伴随其技术变革与创新加速，至今已经步入金融科技 3.0 时代。天下熙熙皆为利来，天下攘攘皆为利往，逐

5、利更是攻击者的天性。随着金融科技日渐成为金融产品的重要支撑手段， 攻击者也在不断丰富其攻击目标和攻击手段，以图提升自身的攻击变现能力。一方面，攻击者对金融科技系统的渗透逐步深入，从网络服务、金融业务逐步深入到核心业务数据、用户财产和隐私。攻击者不再满足于危害金融系统的可用性，更青睐从贩卖数据和资产转移中直接获利。另一方面，攻击者不局限于传统针对信息系统的攻击，愈多从人员的角度迂回渗透，勾结内部人员进行数据倒卖。Loudhouse 曾发布的企业安全调查报告显示，如果价格到位，35% 的员工会倒卖包括公司专利、财务记录和客户信用卡等敏感数据。这一调查事实也侧面印证在网络安全、业务安全和数据安全之外

6、，人员安全同样也需要重视。对于以金融科技为目标的攻击者，获利是他们的核心诉求。那么对于金融科技安全从业者而言，在传统的以脆弱点和检测点为核心的防护方案之外，更应从获利点出发，逆向分析，进而组织自身的防护体系。1超越金融科技：全面评估金融服务的颠覆潜力, 世界经济论坛，2017 年 8 月 . 执行摘要01022017 金融科技安全分析报告安全现状 金融行业经大幅度互联网化，83.5%的机构或企业都开展了互联网业务。金融行业约60%的机构使用了各类云服务，大部分使用的是私有云，也有超过20%的机构使用公有云或者混合云。金融行业使用云业务时最关心的风险除了数据及隐私保护外，也十分关注业务的访问权限