监管合规下香港交易所机房服务器的身份与权限控制

1.

合规背景与总体要求

• 监管导向：香港交易所对金融机房要求严格的身份认证、访问审计与权限分离，符合SFC与HKMA相关指引。
• 最小权限原则：所有对服务器与网络设备的访问必须依据最小权限原则进行角色划分与时间限制。
• 多因素认证（MFA）：管理平面必须强制使用MFA（如硬件OTP或U2F）与证书双因素认证。
• 审计与不可抵赖性：日志需保存至少7年以上（依机构合规要求），且日志链需支持校验与归档。
• 变更控制：任何配置变更须通过工单系统审批、双人复核并记录变更前后快照。
• 数据加密：静态与传输中的密钥与证书管理需纳入HSM或云KMS统一管理。

2.

机房身份管理与权限边界设计

• 身份源：统一使用企业级身份提供者（IdP），如基于LDAP/AD或OIDC的集中认证。
• 角色映射：定义管理员、运维、审计、只读与应急恢复五类角色并严格映射到ACL。
• 会话管理：SSH与RDP通过堡垒机代理，所有会话录屏与命令审计，保留至少90天热存储。
• 临时权限：采用基于时限的临时权限（Just-In-Time）授权，默认30分钟可扩展至4小时并记录审批人。
• 服务账号控制：禁止常驻共享账号，服务账户须使用机器证书或短期凭证（如AWS STS样式）进行授权。

3.

服务器与网络层面配置示例（含表格演示）

• 示例环境：主机采用物理机+虚拟化混合部署，生产网段与管理网段物理隔离。
• 防火墙策略：边界使用ACL与状态检测，内网采用微分段与VLAN隔离。
• CDN与域名：交易门户使用多节点CDN做边缘分发，并启用WAF规则以保护API。
• DDoS防护：上游ISP提供清洗阈值为200Gbps，应用层使用动态速率限制与行为分析。
• 下表为典型服务器配置及访问控制示例：

4.

域名、CDN与DDoS防御的身份控制要点

• 域名委托：DNS管理账户需启用U2F与IP白名单，DNS变更需二次审批并触发告警。
• CDN权限分层：运营、发布、监控三类API Key分离，Key只允许访问必要的权限集合。
• DDoS应对流程：自动阈值触发（如并发连接>200k或流量>50Gbps）切换到清洗策略并通知合规团队。
• 日志关联：CDN与清洗设备的流量日志需汇入SIEM做关联分析，以便溯源与审计。
• 演练与RTO：定期做DDoS响应演练，记录恢复时间目标（RTO）与恢复点目标（RPO）。

5.

真实案例与处置流程示例

• 案例概述：某在港金融机构（化名A行）在一次流量激增中被检测到应用层扫描，初期未启用临时权限，造成运维响应延迟。
• 发现方式：SIEM检测到异常登录行为（同一账号在3个不同外部IP上5分钟内尝试登录）。
• 处置步骤：1）自动冻结涉事账号；2）启用备用运维账号并通过JIT授权提供临时访问；3）清理异常流量并回溯日志。
• 后续改进：将默认锁定策略从30分钟改为5分钟，增加账号行为基线与异常自动隔离。
• 效果数据：事件响应时间从平均45分钟降至12分钟，未造成交易撮合延误；审计日志完整率达到99.7%。

6.

实施建议与持续合规路径

• 分阶段推进：先建立堡垒机+IdP+MFA，再逐步引入JIT、HSM与SIEM联动。
• 关键指标（KPI）：监控未授权访问次数、临时权限使用率、审计日志完整性与恢复时间。
• 技术栈建议：Linux主机采用OSLogin或证书登录，堡垒机支持录像、命令回放与审计导出。
• 日常治理：每月执行一次权限清理，每季度复核角色与域名/证书到期情况。
• 合规留痕：所有变更与应急操作须生成可追溯的审批链并纳入合规报告，便于应对监管审计。

来源：监管合规下香港交易所机房服务器的身份与权限控制