紐約期貨交易所:維護(hù)業(yè)務(wù)連續(xù)性是第一要?jiǎng)t

劉光強(qiáng)

紐約期貨交易所(NYBOT)是世界上最大的“軟”期貨商品交易所,交易商品包括咖啡、糖、可可、棉花及冷凍濃縮橘子汁。紐約期貨交易所成立于1998年,每年在這里成交的各種大宗全球商品貿(mào)易合同多達(dá)2100萬(wàn)個(gè)。另外,紐約期貨交易所還提供外幣及股指期貨等的交易。

紐約期貨交易所最重要的業(yè)務(wù)活動(dòng)就是交易,因此業(yè)務(wù)連續(xù)性非常重要。2001年,911發(fā)生之時(shí),紐約期貨交易所是四個(gè)世界性交易中心之一,也是當(dāng)時(shí)世界上惟一具有備份交易場(chǎng)所的交易所。如今,紐約期貨交易所也是世界上惟一具有三角IT運(yùn)營(yíng)的交易所,其三個(gè)站點(diǎn)彼此相連,并互為備份。

2002年春天,財(cái)務(wù)審核員建議紐約期貨交易所設(shè)立一個(gè)新的職務(wù)——首席信息安全官(CISO),其工作職責(zé)是標(biāo)準(zhǔn)化和加速各種信息安全的保護(hù)措施。這表明各種網(wǎng)絡(luò)攻擊及其他信息技術(shù)的泛濫已經(jīng)威脅到了紐約期貨交易所的運(yùn)營(yíng)連續(xù)性。紐約期貨交易所于2002年6月任命Jim DiDominicus為第一任CISO。他的任務(wù)是快速評(píng)估數(shù)字安全的狀況,并實(shí)施最小化交易中斷風(fēng)險(xiǎn)的控制措施。

DiDominicus很快啟動(dòng)了每周一次的對(duì)紐約期貨交易所外部網(wǎng)絡(luò)的安全性評(píng)審。這讓他能夠有規(guī)律并且始終如一地監(jiān)控起紐約期貨交易所的網(wǎng)絡(luò)安全,強(qiáng)化路由器設(shè)置,并對(duì)其他基礎(chǔ)架構(gòu)設(shè)備采取保護(hù)性措施。他做這些工作的時(shí)候,并沒(méi)有建立一套攻擊管理基礎(chǔ)架構(gòu),也沒(méi)有雇用額外的負(fù)責(zé)信息安全的工作人員。

紐約期貨交易所要做安全性審核和改進(jìn)項(xiàng)目,傳統(tǒng)的做法是雇用一個(gè)高級(jí)安全運(yùn)維人員來(lái)手把手地應(yīng)用開(kāi)源解決方案實(shí)施內(nèi)部審核;另一種做法是,將這樣的安全審核工作外包,要么給做傳統(tǒng)滲透測(cè)試的咨詢公司,要么給提供網(wǎng)上自動(dòng)化解決方案的服務(wù)公司。

“我以前曾經(jīng)使用過(guò)像Nessus這樣的開(kāi)源解決方案,但這需要異常小心,”他說(shuō),“而我們所需要的是,基礎(chǔ)的、集中的并且能夠快速運(yùn)行的安全功能。”DiDominicus更傾向于由一家第三方提供商提供全面的解決方案,因?yàn)檫@樣能夠減輕其他地方的運(yùn)營(yíng)負(fù)擔(dān),并為紐約期貨交易所提供外部支持,保證其網(wǎng)絡(luò)安全,保護(hù)所有的交易運(yùn)維操作。

紐約期貨交易所選擇的網(wǎng)絡(luò)安全服務(wù)是QualysGuard。不需要添加任何特別的軟件或者硬件設(shè)備,只要使用一個(gè)標(biāo)準(zhǔn)的網(wǎng)絡(luò)瀏覽器就可以實(shí)施這個(gè)網(wǎng)絡(luò)服務(wù)的控制了。這個(gè)網(wǎng)絡(luò)服務(wù)還包括每日更新包含3200多個(gè)攻擊的數(shù)據(jù)庫(kù),并能夠獲得整個(gè)公司范圍內(nèi)的網(wǎng)絡(luò)安全視圖。

紐約期貨交易所的做法是每周對(duì)整個(gè)網(wǎng)絡(luò)進(jìn)行一次掃描?！癚ualys公司的網(wǎng)絡(luò)服務(wù)讓我們可以專注于內(nèi)部業(yè)務(wù)活動(dòng),對(duì)網(wǎng)絡(luò)的外部情況完全放心。如果出現(xiàn)問(wèn)題,那么需要做的只是打個(gè)電話,不到一個(gè)小時(shí)就能排除故障,正常運(yùn)行?！盌iDominicus對(duì)Qualys公司的服務(wù)頗為滿意。

“我們通過(guò)網(wǎng)絡(luò)服務(wù)提供的報(bào)告來(lái)評(píng)估網(wǎng)絡(luò)安全的狀態(tài),”DiDominicus說(shuō),“而且報(bào)告的格式也比我以往所見(jiàn)到的其他報(bào)告更加清晰?！彼J(rèn)為這樣的結(jié)果很方便與維護(hù)系統(tǒng)的相關(guān)責(zé)任方共享信息,方便地解決問(wèn)題。對(duì)一般IT人員而言,網(wǎng)絡(luò)攻擊的問(wèn)題有些太過(guò)專業(yè),他們往往認(rèn)為,只要有防火墻,及時(shí)升級(jí)補(bǔ)丁并且不使用最高權(quán)限的管理員賬號(hào)就足夠應(yīng)付了。

紐約期貨交易所使用了安全審核網(wǎng)絡(luò)服務(wù),讓網(wǎng)絡(luò)和IT職員發(fā)揮出了更大的作用。網(wǎng)絡(luò)服務(wù)提供的數(shù)據(jù)能夠讓職員專注于最重要問(wèn)題的處理,而不是被一些常規(guī)的監(jiān)視告警迷惑而不知所措。DiDominicus說(shuō):“這就相當(dāng)于在我的團(tuán)隊(duì)中加入了一群專門(mén)負(fù)責(zé)安全問(wèn)題的專家?！?/p>

紐約期貨交易所使用QualysGuard網(wǎng)絡(luò)服務(wù)來(lái)監(jiān)控8個(gè)面向互聯(lián)網(wǎng)的IP地址。DiDominicus認(rèn)為,這個(gè)網(wǎng)絡(luò)安全審核服務(wù)解決方案所帶來(lái)的回報(bào)超過(guò)了投入的10倍。如果使用內(nèi)部實(shí)現(xiàn)的解決方案,他需要雇用至少一名高級(jí)安全技術(shù)專家,每年僅是薪水就要花8.5萬(wàn)～9萬(wàn)美元,還需要算上保險(xiǎn)和設(shè)備等成本。“兩種解決方案孰優(yōu)孰劣是顯而易見(jiàn)的,”他說(shuō),“我現(xiàn)在所要做的,僅僅是每周花費(fèi)15分鐘時(shí)間來(lái)查看一下安全掃描的結(jié)果報(bào)告而已。”

僅僅付出了少量成本,而且不增加人員負(fù)擔(dān),紐約期貨交易所就使用安全審核網(wǎng)絡(luò)服務(wù)保證了交易業(yè)務(wù)的連續(xù)性,交易本身也具有良好的安全機(jī)密性保障。這個(gè)網(wǎng)絡(luò)服務(wù)還作為第三方保證紐約期貨交易所的安全保護(hù)活動(dòng),這也是這個(gè)解決方案吸引人的另一個(gè)優(yōu)點(diǎn)。