利用数据二极管保障金融 IT 基础设施安全 |OPSWAT

随着针对金融机构的网络威胁日益频繁且手段日益高明，网络防御必须超越传统的安全措施，以保护其关键IT系统。合理的网络分段对于防御关键IT系统免受网络威胁至关重要，而数据二极管相比其他网络安全解决方案能提供更高的安全性。

数据二极管最初是为军事和防御系统开发的，但在金融领域发现了新的意义，因为数据完整性、机密性和法规遵从性在该领域至关重要。

数据二极管是一种基于硬件的网络安全设备，用于强制实现两个网络之间的单向数据流。与防火墙或基于软件的安全系统不同，数据二极管的设计旨在确保数据只能单向传输，从而消除远程攻击向关键IT基础设施回传的风险。

数据二极管的单向安全策略由硬件强制执行，无法被破坏。通过创建单向通信路径，数据二极管将高价值资产与安全性较低的环境隔离，同时仍能实现关键数据的传输。

数据二极管的第二个、同样重要的安全优势在于，它能在源网络与目标网络之间强制实施协议隔离。数据二极管最初的设计目的是为了满足美国国防部的跨域通信要求，其中包括在源网络与目标网络之间保持完全的网络保密性。

与在网络之间建立 TCP 或 UDP 连接的防火墙不同，数据二极管仅传输数据有效载荷。位于二极管源端的代理软件会剥离数据包头中的可路由信息，仅将有效载荷传输至二极管的目标端。目标端的软件会重建数据包，并通过独立的配置将数据包路由至正确的终端。

数据二极管被广泛应用于保护机密网络、核电基础设施以及许多其他关键系统，它能够巩固网络分段策略，并保障跨网络域通信的安全。

与其他行业一样，金融机构也建立了复杂的IT基础设施来支持其业务流程，这涉及不同部门之间以及与外部合作伙伴和供应商之间的数据共享。通常情况下，数据共享是单向的，但承载数据的网络基础设施却是双向的，这为组织带来了潜在的安全威胁。

数据二极管可用于安全共享数据的应用场景不胜枚举。以下列举几个例子：

1. 敏感数据的备份与归档：金融机构会将运营系统中的数据备份至归档设施，以确保在系统故障时业务能够持续运行。数据二极管不仅能够传输文件、复制数据库并将系统事件信息移至归档设施，还能从归档设施中安全地检索数据。
2. Secure 市场数据Secure 至隔离网络：交易环境依赖于彭博社、路透社等机构提供的实时市场数据流。这些数据通常以单向推送的方式传输至隔离的交易环境中。可在网络边界部署数据二极管，以极低的延迟传输实时视频及其他新数据流，且无需开启反向通信通道。
3. 监管报告：金融机构通过安全环境向监管机构提交合规报告。这是一种单向数据推送，通常通过双向网络进行传输。可通过配置数据二极管，自动将文件发送至相应目的地，从而确保敏感的监管数据在传输过程中不会危及源环境的完整性。
4. Secure 集成：Splunk 到 Splunk 的数据复制：在金融服务行业，Splunk 主要用于将数据整合到单一的“统一视图”中，以支持后台的实时监控和分析操作。它用于保障安全、提升运营效率并优化客户体验。通过数据二极管确保数据传输至 Splunk 的安全性，可保护以下业务运营的完整性：
   1. 交易监控与欺诈检测：Splunk 支持欺诈检测系统。银行系统的交易日志需要实时且安全地传输至 Splunk。数据二极管在维持必要网络分段的同时，还能支持异常检测所需的实时数据传输。
   2. 合规系统健康状况：数据二极管可确保数据安全传输至 Splunk，并支持必要的审计工作。
   3. 数据二极管通过高度安全的网络连接将系统日志和警报传输至 Splunk
5. 金融情报共享：与国防部内的应用类似，数据二极管可用于在组织内部各部门之间，或与其他合作伙伴机构之间共享信息。数据二极管在确保业务连续性的同时，还能避免内部安全网络遭到破坏。
6. Cloud 传输：金融机构可利用数据二极管将数据复制到云平台进行处理、分析或存储，同时不会危及内部网络的安全。