2016年金融全行業網路安全狀況調研報告

本報告由谷安天下和烏雲聯合釋出，並感謝網貸之家、支付圈、安全值、安全牛等媒體和機構提供資料來源。

金融行業網路安全調研概述

報告背景

近兩年來網際網路金融飛速發展，不同於傳統金融，依託於網際網路的新的金融模式除了金融原有的風險之外，還引入了新的風險，資料大規模洩露、資金被盜、業務中斷等事件頻頻發生。在此背景下，谷安天下開展了本次金融行業網路安全調研。該調研從網際網路威脅情報、漏洞、企業資訊保安內部管控三個方面入手，調研了2016年第一季度金融行業的網路安全狀況，從市場調查結果透視金融行業網路安全的現狀以及未來網路安全發展趨勢。

本次調研目的一是向網際網路金融企業提供行業資訊保安的基本現狀，便於網際網路金融企業瞭解自己的資訊保安能力所處的位置；二是向網際網路安全解決方案供應商提供資訊保安趨勢資訊，給供應商對自己的產品、戰略、市場定位提供決策資訊。

名詞定義

網際網路金融：指傳統金融機構與網際網路企業利用網際網路技術和資訊通訊技術實現資金融通、支付、投資和資訊中介服務的新型金融業務模式。

資訊保安：指資訊系統（包括硬體、軟體、資料、人、物理環境及其基礎設施）受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、洩露，系統連續可靠正常地執行，資訊服務不中斷，最終實現業務連續性。

威脅情報：指暴露在網際網路上的企業威脅資訊，在本報告中，威脅情報包含“域名資訊洩露”、“郵箱被封”、“殭屍網路”、“IP被封”、“惡意程式碼”、“域名被封”、“公有云風險” 、“域名劫持”共8類威脅資訊。

網路資產：指網際網路金融企業暴露在網路上的IP、主機、域名等資源。

調研物件

8個細分行業、3大安全領域

調研報告涵括網際網路金融的8個細分行業，包括銀行、證券、保險、P2P、基金、第三方支付、眾籌和消費金融。

調研報告涵括3大資訊保安領域，包括網際網路威脅情報、漏洞、企業資訊保安內部管控。

本次調研谷安研究組聯合安全牛、烏雲、網貸之家、支付圈等知名資訊保安媒體、行業資訊機構，並廣泛發動谷安金融行業客戶積極參與，通過網路問卷、外部威脅情報收集與分析等多種形式開展調研工作。

金融行業網路安全調研發現綜述

調研發現

1. 外部威脅情況

本次外部威脅調研涵括了8個細分行業，包括銀行、證券、保險、P2P、基金、第三方支付、眾籌和消費金融。其中外部威脅問題最多的3個行業依次是證券、保險、銀行。

本次外部威脅調研包含“域名資訊洩露”、“郵箱被封”、“殭屍網路”、“IP被封”、“惡意程式碼”、“域名被封”、“公有云風險” 、“域名劫持”共8類威脅資訊。其中最突出的3個問題依次是“域名資訊洩露”、 “殭屍網路”、“IP被封” 。

1. 漏洞情況

本次漏洞調研涵括了8個細分行業，包括銀行、證券、保險、P2P、第三方支付、基金、眾籌和消費金融。其中漏洞最多的3個行業依次是保險、證券、銀行。

本次漏洞調研涉及的漏洞包含以下型別：SQL 注入漏洞、XSS 跨站指令碼攻擊、設計缺陷／邏輯錯誤、未授權訪問／許可權繞過、敏感資訊洩漏、弱口令，其中數量最多的三類漏洞依次是設計缺陷／邏輯錯誤、 SQL 注入漏洞、敏感資訊洩漏。

1. 資訊保安內部管控現狀

資訊洩露、業務欺詐是網際網路金融最關注的風險。

投入不足、人員缺乏、安全意識薄弱、制度流程不規範、安全需求不明確都是導致安全問題的因素。

大資料和威脅情報技術是比較受關注的資訊保安技術。

1. 資訊保安管控趨勢

監管政策的完善會促進網際網路金融行業整體資訊保安現狀的提升建立和完善資訊保安管理體系將會變得越來越重要行業成熟度的提升將促進對安全投入的增加安全崗位人員需求繼續旺盛防資料洩露、防業務欺詐將繼續成為安全管控的重點內容大資料在安全領域的應用將會越來越普遍
金融行業網路安全調研分析

網際網路威脅情報調研分析

網際網路威脅情報調研物件行業分佈情況調研涉及企業行業分佈數量
調研涉及網路資產行業分佈數量

行業網路資產資訊保安總體情況

測評方法說明

由安全值提供測評 https://www.aqzhi.com/ ，採用1000分制對網路資產（見名詞解釋）進行綜合評分，得分越高外部安全係數越大

安全平均分值

原因分析

傳統金融企業的資訊資產多，大多數為自主建設、自主防護，使用者訪問網路資產頻率較高

以眾籌、P2P等為代表的網際網路金融平臺，大多數部署在雲平臺上，雲平臺服務商提供了抵禦外部風險的能力。

注：安全值每季度釋出各細分行業的安全監測動態
本文轉自d1net（轉載）