华信亿码金融行业网络安全解决方案

　　1 概述

　　-- 金融业务信息化、网络化、社会化、全球化是金融行业发展的必然趋势。现今各金融机构为了提高自己的竞争优势，争取更大的经济效益，纷纷在改进服务手段、增加服务功能、完善业务品种、提高服务效率等方面做了大量的工作。而要达到这一目标必须通过金融电子化，利用高科技手段来提升自己的工作效率。看一下目前银行的主要应用诸如:储蓄、信用卡、IC卡、国际业务、电子汇兑、电子邮件、电子公文、网上银行、网上交易系统、新的综合对公业务、国际业务信贷系统，这些业务的正常运作无一不在依赖网络，其网络的畅通与可靠运行已真正成为金融业正常运转的首要条件。

　　---那么，金融业作为对络系统的实时性、不间断性、高可靠性、可用性的要求更为苛刻的行业，怎样选择一套优秀的网络管理软件来保证网络不间断的运行呢，我们认为应从以下几方面进行考虑:

　　以业务为中心

　　-- 保持以业务为中心是全面网络管理解决方案最重要的因素。完整而理想的网络管理解决方案应根据应用环境和网络对业务流程及用户需求的端到端关联关系管理网络及其所有设备。除向管理员报告服务器上的流程受阻，路由器上的流量过载或网络出现瓶颈外，理想的解决方案应提供更多的功能。它应该能通过基于策略的网络管理主动采取行动，如重新启动停止的流程等。它还应该能向有关人员发出警报，如通过电子邮件或寻呼等。最后，同时也是最重要的是，它必须能够提供方便且强大的方法，显示将受影响的业务过程、业务部门甚至于个人。

　　为应用软件和服务提供环境

　　-- 网络管理应确定服务水平在实际应用中的含义，其关键任务是保证网络及其部件能提供应用与用户完成业务流程或交易处理所需的资源。其工作不仅仅只依赖于保持X台服务器，通过Y条链路连接或运行在Z速度下。服务水平需求因行业的不同而不同，如联机股票交易所的任务是保证数百万小时实时处理100%的准确性。全面网络管理解决方案必须能向网络管理员提供对其至关重要的管理方式(如前一个交易中的帧中继管理及后一个交易中交易处理服务器的接入和可用性)，该解决方案还必须提供有意义的数据，衡量服务水平与企业需要之间的匹配程度，从而使之用于报告、趋势分析和容量规划。

　　可用性和性能管理

　　-- 今天，网络的设备仅有"可用性"是不够的，只有为业务提供最优性能才能使之立足。可用性和设备状态，可访问性和网络拓扑、性能测量和管理都是当今网络管理的组成部分。性能测量应当融入全面网络管理解决方案并与之紧密配合这一指标，而不仅仅是做事后诸葛。

　　端到端管理能力

　　-- 老式的网络管理平台一般一次只查看网络的一部分，这种方法不足以管理当今相互联系如此紧密的网络。如今，每个步骤、过程和设备紧密联系才能完成真正的电子交易处理。只有了解和管理每个网络部件和链路(端到端)才能保证用户和业务部门及时获得所需的服务，完成相应的交易处理

　　可扩展性

　　-- 几年前，只有《财富》列举的100家大公司才对网络的可扩展性感兴趣。随着技术成本的降低、互连计算机的增加以及电子商务的出现，可扩展性在也变得重要起来。对大型企业而言，这个问题就更重要、更复杂。因此，可扩展性成为用户选择网络管理解决方案的一个重要标准。

　　性能价格比

　　-- 当今的网络管理问题包括各部门需求之间的冲突。它们必须以较少的人员保证开机时间，无需增加硬件，就可以保证高性能和带宽，保证安全性，但同时还要保持系统的可访问性和简单性。需要满足企业需求的网络管理员几乎无须花很多经费购买硬件、雇佣人员或进行复杂的支持培训。全面网络管理解决方案必须功能强大，效率高、成本、开发费用和硬件需求低。

　　易用性和接口一致性

　　-- 紧跟性能价格比的是对易用性和接口一致性的需求。网络管理员或其他员工花费大量时间、金钱和精力，将功能重叠且用户接口不一致的多种解决方案和工具连接在一起的时代一去不复返了。网络管理员知道解决方案供应商可能偶尔需要外部的工具，但他们没有兴趣或精力将不一致甚至相互冲突的用户界面集成在一起。完整、强大的解决方案必须简单、直观、易于使用和一致，这样才能提高开发的效率。

　　标准支持

　　-- 真正全面的网络管理解决方案应该支持标准的工业标准SNMP，将其纳入自己的体系结构。这样，无论网络管理员以后选择哪种技术或设备，解决方案都能监视和管理整个网络。

　　集成性

　　- -即使解决方案提供最"完整"的一套特性和功能，用户也可能另外需要针对特殊设备的管理器，利用第三方厂商或内部开发工具才能满足需求。网络管理解决方案必须能容易、紧密地与这些特殊设备的管理器和工具相集成。它必须能在自己网络环境下启动特殊设备的工具，并提供灵活的与这些工具交换信息的方法。这样，用户无需再为同样信息保留多个文件或数据库。

　　灵活性

　　- -各厂商和客户对"灵活性"的理解各不相同。在最低限度下，任何网络管理解决方案都必须能适应客户的特殊需求。这些"管理结构"的构造有关，如按地区、按业务部门、按平台、或按客户决定构造等。它应该能适应主要业务的突然变化。例如，假设公司并购了另一家拥有5000多个节点的公司，应该不用重新设计其网络管理体系结构，而是只需去增加管理节点去管理这些新增设备。它应该能灵活地处理网络流量、事件数量和类型的突增，或者新增的网络资源。总之选择的网管软件应该是"自适应的"，这样在出现新政策后，只需少量延迟或努力就能在网络管理框架中实施。

　　2 需求分析

　　---网络管理的目的在于为面向业务和管理的应用系统提供网络服务;为行内面向总行、各级分行、部门和个人的网络服务提供通讯支持;为应用系统的上线提供与网络通信相关的技术参考和依据;通过对历史数据的分析统计，为领导提供决策支持。网管系统应该能有效地管理网络资源，监控网络的相关操作，定位和解决网络故障，测定和跟踪网络数据流量的变化趋势。

　　---网络管理不是一个局部性的工作，为了确保整个网络的通畅，为了及时定位、快速修复网络故障，必须对整个网络实行全面管理，从而做到对整个网络的运行状况了如指掌。因此不允许存在任何网络管理的孤岛和死角。

　　2.1 X行网络环境综述

　　---中国XX银行通信子网是以总行为中心、各省分行为分中心，覆盖各地市行的分级分布式骨干网络系统，它以Nway2220交换机连接总行和各个省分行,形成一级网，以IGX交换机连接省分行和省内的各个市分行，形成二级网，一级网和二级网都是以DDN线路为主要通信介质形成的帧中继交换网，两个网通过路由器或IBM 374X连接起来。整个网担负着X行综合业务数据(包括对公、储蓄、办公自动化以及语音等多种业务)的实时传输任务。通信子网的稳定、可靠运行是XX银行提高服务质量和工作效率的重要保证。

　　XX银行通信子网结构如下图所示:

　　---(拓扑图略)

　　---对于X行这样全球性的分级分散的大型网络，仅仅依赖于集中式的网管系统是很难对整个网络实施有效管理的。分布式管理是一种比较好的解决方案。但是值得注意的是，分布式管理在结构划分上，虽然比较容易做到与总行-省行-地市行的组织管理体系相一致，但是在对各级网管中心和网管员之间的相互配合、相互协作、相互支持、相互流动等方面的支持上，各厂商网管系统的差异是很大的。

　　2.2 X行网络管理实现目标

　　---随着数据大集中的推进，网络的高可用性就显得越来越重要，另外，当业务系统不能正常工作时，有可能是网络线路问题造成的，但也有可能是由于其他系统资源的问题造成的，为了准确地分析故障原因，总行、省行在网络管理方面需要更有效、集中的管理，只有这样，才能与数据大集中的业务应用模式相匹配，才能更好地保证银行业务系统的正常运行。因此，总行需要了解省行网络的运行状况，省行也需要了解地市行网络的运行状况。如果市行没有有效的网络管理手段，则无法及时向省行上报网络运行的管理数据;如果总行与省行、省行与市行之间缺乏必要和及时的网管信息沟通，则无法保证全面掌握整个网络的运行状况，及时发现和排除故障隐患。

　　基于以上考虑，提出以下总目标:

　　---X行网络管理系统的总体目标是:配合数据大集中的进程，为总行对省行网络管理的监督指导提供方便有效的技术手段和工具;为省行强化网管中心职能、发挥承上启下的纽带作用提供解决方案;为地市行实现本地网络管理功能提供最终产品。从而对X行各级网络的配置、故障、性能、状态实现集中指导下的分布管理。

　　3 网络管理产品建议

　　---NetWin2000是北京华信亿码科技发展有限公司针对中国网络管理的实际需求而设计开发的综合网络管理系统。其遵循国际通行的SNMP协议，采用先进的分布式管理技术，可以用来管理任何规模的网络以及各种网上资源。

　　---NetWin2000的分布式管理框架具有多种管理模式，主要包括UMG/LMG上下位管理模式，SMG/MMG主从管理模式，C/S客户机服务器管理模式，以及B/S浏览器管理模式。在NetWin2000管理平台下可以轻松构筑小到单个局域网，大至全球范围的网络管理体系。(示意图如下)

　　---NetWin2000的管理客户端子系统为用户设计了非常友好的全中文全图形界面，在功能上集网络配置、故障、性能及安全管理于一身，并且提供了完整的日志管理和任务调度功能。

　　---NetWin2000的性能管理模块具有管理数据三维动态分析功能。可以根据用户自定义的性能指标体系，对来自不同数据源的采集数据进行分析、归纳、计算和统计，并且自动生成性能分析报告。

　　-- NetWin2000的一系列客户化定制工具可以对管理对象的识别条件、管理策略、事件内容、设备面板进行客户化定制，从而在满足通用管理需求的前提下，进一步满足不同用户的个性化管理之需要。

　　NetWin2000的3W网管服务器WebNMS提供了基于互联网浏览器的网络监视功能。

　　4 维护体系建议

　　4.1 管理人员职责划分

　　-4.1.1 网络管理人员

　　主要职责为根据网络环境和应用系统需求的变化不断完善网络管理系统，包括:

　　网管系统的升级安装、配置和参数调整。

　　在需求变化时，开发、测试新的网管功能。

　　网管系统的日常技术支持和维护。

　　与其他网络管理模块的整合。

　　制定管理策略并负责实施。

　　对历史数据进行统计分析，提供一定周期内的网络运行情况报告

　　网管主机的运行管理及数据备份。

　　-4.1.2 网络维护人员

　　主要职责为借助网络管理系统对网络资源进行运行维护，包括:

　　处理网络事件，定位和解决网络故障。

　　根据网络运行情况对网络管理人员提出功能变更需求。

　　配置网络设备参数。

　　对网络运行情况进行分析，针对具体事件提出分析报告。

　　对日常网络运行中的问题以及应用系统提出的通讯问题进行技术支持。

　　-4.1.3日常监控人员

　　主要职责为对网络日常运行情况进行监控，包括:

　　监控、纪录网络日常运行情况。

　　简单问题的定位及处理。

　　及时将网络问题反映给网络维护人员。

　　4.2 职责分工

　　---X行网络的以上三类网络管理维护人员的具体职责分工可以设计为:

　　网络管理人员 网络维护人员 日常监控人员

　　开发、测试 问题定位

　　管理工具集成 问题解决

　　安装、配置和参数调整 设备管理

　　网管技术支持 设备维护

　　统计分析 技术支持

　　策略制定 问题响应 (7x24)

　　版本升级

　　网络管理系统技术支持 (5x8) 网络运行管理 运行监控 (7x24)

　　4.3问题响应级别

　　---X行网络管理系统的三类人员负责网络运行的日常管理，监控网络的运行情况，响应各应用系统提出的网络问题，解决通讯故障，保障网络的正常运行。

　　---问题的解决可以采取分层管理，逐层提交的方式，一旦某一问题在一定的时间周期内没有得到有效处理，此问题将被提交到更高层次的管理维护人员。其流程如下表所示:

　　角色 级别 描述

　　日常监控人员 级别1 监控纪录问题。

　　网络维护人员 级别2 定位故障，处理问题。

　　网络管理人员 级别2 协助定位故障，处理问题。

　　决策人员 级别3 提出决策，制定策略

　　支持厂商 级别3 CISCO, Motorola, IBM, HP … etc