[论文解读] Defending against cybersecurity threats to the payments and banking system

Williams Haruna, Toyin Ajiboro Aremu+1 more|arXiv (Cornell University)|Dec 15, 2022

Information and Cyber Security被引用 9

一句话总结

本文提出了一套全面的纵深防御框架，用于防范支付和银行系统面临的不断演变的网络威胁。通过分类网络威胁、识别网络空间中的关键资产，并将安全控制措施映射到特定威胁类型和功能，该研究使IT专业人员能够实施有针对性的、分层的安全措施，从而降低金融机构的财务和数据泄露风险。

ABSTRACT

Cyber security threats to the payment and banking system have become a worldwide menace. The phenomenon has forced financial institutions to take risks as part of their business model. Hence, deliberate investment in sophisticated technologies and security measures has become imperative to safeguard against heavy financial losses and information breaches that may occur due to cyber-attacks. The proliferation of cyber crimes is a huge concern for various stakeholders in the banking sector. Usually, cyber-attacks are carried out via software systems running on a computing system in cyberspace. As such, to prevent risks of cyber-attacks on software systems, entities operating within cyberspace must be identified and the threats to the application security isolated after analyzing the vulnerabilities and developing defense mechanisms. This paper will examine various approaches that identify assets in cyberspace, classify the cyber threats, provide security defenses and map security measures to control types and functionalities. Thus, adopting the right application to the security threats and defenses will aid IT professionals and users alike in making decisions for developing a strong defense-in-depth mechanism.

研究动机与目标

• 解决日益增长的针对金融机构支付和银行系统网络攻击的威胁。
• 识别网络空间中易受利用的关键数字资产和漏洞。
• 根据其性质和对金融系统潜在影响对网络威胁进行分类。
• 将适当的安保控制措施和防御机制映射到特定威胁类型和系统功能。
• 支持IT专业人员和利益相关者设计强大且分层的金融系统安全架构。

提出的方法

• 该研究采用系统化方法识别金融机构网络环境中的资产。
• 根据攻击向量（如恶意软件、网络钓鱼和系统利用）对网络威胁进行分类。
• 分析现有软件系统的漏洞，以确定其风险暴露程度。
• 使用功能分类系统将安全控制措施映射到威胁类型，以确保与系统需求的一致性。
• 通过在技术、管理及物理控制层面整合多层保护，强调纵深防御策略。
• 通过将特定威胁与相应安全机制和控制类型关联，支持决策制定。

实验结果

研究问题

• RQ1 如何系统性地识别并优先排序银行和支付网络环境中的关键资产？
• RQ2 针对金融机构软件系统的网络威胁主要有哪些类型？
• RQ3 如何有效将安全控制措施映射到特定威胁类型和系统功能？
• RQ4 哪些机制可确保对金融系统实施分层的纵深防御方法？
• RQ5 IT专业人员如何根据威胁特征选择最合适的安保解决方案？

主要发现

• 该框架成功根据攻击向量和系统影响，将银行部门的网络威胁划分为不同类别。
• 研究表明，软件系统漏洞是金融机构网络攻击的主要入口点。
• 将安全控制措施与威胁类型对应，可实现更精确和高效的防御措施部署。
• 纵深防御策略通过结合技术、管理和物理控制，显著提升了系统韧性。
• 该方法为IT专业人员根据威胁特征选择合适的安全解决方案提供了决策支持机制。
• 该框架通过将安全措施与特定控制类型和系统功能对齐，增强了风险缓解效果。