光大银行开展网络安全风险审计

　　记者近日获悉，光大银行近年来全面提升科技审计能力，开展银行真实网络环境下的红蓝对抗，银行网络安全深层次风险得到有效防控。

　　据介绍，在红蓝对抗过程中，审计人员扮演红队，模拟真实网络攻击中的进攻，网络运维及安全防控人员扮演蓝队，模拟真实网络攻击中的防御。攻击过程中综合采用情报侦察、网络突破、漏洞利用、防御绕过、载荷传递、目标控制、横纵向渗透、数据回传、持久化驻留、痕迹擦除等攻击与验证方法。其中，在互联网层面围绕敏感信息侦察、服务验证、会话管理机制突破、数据存储注入、后端组件测试、业务逻辑测试等方面开展；在内网层面围绕敏感信息探测、网络资产与服务发现、公开漏洞的扫描与利用、目标代码静态汇编分析、目标代码动态跟踪调试、二进制代码补丁比对等方面开展。同时，整个对抗过程遵循范围可控及攻击工具可控的原则，在攻击过程中避免恶意攻击代码的使用，充分保证攻击过程不对银行业务运作产生影响。

　　光大银行表示，通过采取该种审计方法，深入化解银行信息系统的漏洞与安全脆弱性，消除了潜在威胁，进一步增强了银行网络防御能力，体现了内审价值，落实了“防风险、强内控、促发展”的要求。