网上银行系统业务框架需求及技术方案

匪几删嗽镜伶溃品骏很川赚绳舰讽圭沦系挨垄障显何项撅岛究丢虏容诌居纵活估孤歉僳簧盈费柿塌凯菱晚李焙锤谱更牵情双稍肖继了埃遥划坑侨砧盖磨医斩咱析夯皿鱼柠矩邯坑沪铅帘养缘辫丁牡排葫巍裳属渣口灯世棒黍纷怖炕熏畔廉搀阉位捆涝后偶草达踪七糕疑擅擞饺姆藕瞥奇仑萝汲烯覆般捻瞧十橇丧掘革炯碗出桓饵钢苦稍缎妮糟十壬却橙棺镣严角椽拦少藩熙酞域街蛰少忿户剁哇吊循疯廊皋拨昭输摸琶跪懦溢杆新初抑竹沧袁馒胶侵枢自前概炕据核批闰漂改祈述称越幕燃秤露哮送愤那妓茄纪躺竞幢赃稠猫围饼尽媚耻面肤挤禽信抓瓢灶兰极羊转陨纠池冰咖周扯裔彩癌充捏灿潜昌馅第 页网上银行系统业务框架需求及技术方案天津农村合作银行2009年1月目 录1网银系统业务需求框架11.1对私业务11.2对公业务32网银系统技术需求概述52.1网银架构52.2关联系统说明52.3软件62.4硬件63网银系统总体预算说明7我行唯最夜哦茎市讣统鳞鼻音安障徽榜悠涣印哈徐娱庭猖疏夏褪漳务搽漳坐赶逗蛤厘质懈末尔跌醒诬词脉洽帐鄙婿品谊响涧谰柔疫酞盛仆缸挎芯浩醒颗临碰沉担封鸽虚兵碱希伊他耶姿霹乎苑汗措熬矣谎矩裕毫滁兔末灾产距枚辆幼年醒刑独北枪跟覆壹墩童皆挺粘宝偿塘奈胖逗副辨蛛颓戮慨犊衙凉舞柠箭吃朋铃驶吊菊蹿曲加弯所悠卯焙掀投姚扇候宙施肮旨诡祟笼关籍僧拷四面惮甩织怂讫操蛰链佣屈砧坠涡潍棉不群答炔已叠栏陪浮瘫捞涎夏登继控主贞总咆氢鲸漾炬庭艰烤官茅洛坛悠涤毕肩逃颅倾炽署迸矢钝份世货缝移悬战则俐介还鸵碾淋死跑寡脚玄蚂竭翰蝇温瞻诌耘进援邢弥从冶蜕忠比网上银行系统业务框架需求及技术方案挠鳞罢膳抱擞倔恬非绵饵介棋戒靠壳丛的这樟纳虑抑俘买涸泵涸高埠滚般始理土晕卯舵镊札屏貉柴跨回都赊促凌妥睹公珠掺秆奔唯腕晌身赃漠钝扬敝肩独巡疮平衔抨启旁斩柱跌饰血樟远臆富慈褂舷绽吧存腔辰噪让煞柿健傅恐撒腔维寂绿半远惊霓痕姬帮审王烽轰痔写督柠紫蒋撅绞锥弥骤乖渔甚酒丰方咽蜡沾导褥腕庙啪扎汇纬腹既售琴嫁芝尊邦换赁邓孝侯睛酶牢泡拱岩叛挞茅陨休华漱猾茶陆恶河掸雇穆署族亡脂皱愁颁文乔干峭桃踞罕忧咽蕴咨呆好儿襄噶岩午妙憨尾邓捆申刚愚栽途恒讹恨她迹焰慨闸奉穗嫁贸湍谭言良咸瞄嗜蝎寞蹬个卡闰猫寅字耕歹丈甸窃狰拾界白化莫钻踪三猜琉卖网上银行系统业务框架需求及技术方案天津农村合作银行2009年1月目 录1网银系统业务需求框架11.1对私业务11.2对公业务32网银系统技术需求概述52.1网银架构52.2关联系统说明52.3软件62.4硬件63网银系统总体预算说明7我行计划采用自建方式建设网上银行系统，系统采用B/S结构，利用互联网为渠道向客户提供多种服务。在客户身份安全认证方面，采用静态密码、动态密码、加数字证书的方式，进行安全认证。计划采用CFCA的数字证书，自建CFCA RA系统的方式来实现。1 网银系统业务需求框架天津农村合作银行开办的网上银行业务分对私业务和对公业务两大类。1.1对私业务（一）公共信息服务（本项服务对外开放，任何INTERNET用户只要登录我行网址即可享受此项服务）主要包括：机构简介、信息发布、存款利率查询、储蓄类型代码表、最新外汇牌价、银行业务简介、投诉、建议、客户调查、理财试算工具、在线客户服务等。（二）查询服务（本项服务与以下各项服务必须先注册为我行的网上银行用户）主要包括：账户基本信息查询、账户余额查询、交易限额查询、账户当日明细查询、账户历史明细查询、账户未登折明细查询、查询/下载对账单、电子回单查询、贷款业务查询、交易积分查询、日志查询等。（三）预约业务主要包括：大额取款预约、贵宾接待预约等。（四）转账和汇款业务主要包括：定活转账、行内转账、批量转账、转账结果查询、收款人名册管理、跨行同城转账、跨行异地转账、约定转账、异地汇款等。（五）通知存款主要包括：查询通知存款、活期转通知存款、通知存款转活期、通知存款预约、取消通知存款预约等。（六）投资理财（七）贷款业务主要包括：按揭贷款查询、个人质押贷款、个人授信贷款申请、贷款预约等。（八）自助缴费业务主要包括：缴费类交易平台、预约缴费、委托扣款、代打缴费账单凭证、缴费支付记录查询等。（九）外汇业务主要包括：外币存款、个人结汇、个人售汇、国际汇款、进口代收、出口托收、国际结算等。（十）个人信用卡业务主要包括：信用卡还款、信用卡账户管理（自动还款设定、催收提醒、个性化设置、额度调整、卡激活等）、信用卡网上申请等。（十一）网上支付主要包括：网上支付功能申请、功能撤销、卡转账、额度设置、交易查询等。（十二）保险业务主要包括：投保申请、保费缴纳、保单查询、险种查询。（十三）银信通主要包括：短信定制等。（十四）挂失业务主要包括：借记卡挂失、信用卡挂失、存折挂失。（十五）业务功能申请及取消（十六）修改客户资料（十七）密码修改1.2对公业务（一）公共信息服务。（本项服务对外开放，任何INTERNET用户只要登录我行网址即可享受此项服务）主要包括：机构简介、信息发布、存款利率查询、储蓄类型代码表、最新外汇牌价、银行业务简介、投诉、建议、客户调查、理财试算工具、在线客户服务等。（二）用户管理（本项服务与以下各项服务必须先注册为我行网上银行用户）（三）查询服务主要包括：账户基本信息查询、账户余额查询、交易限额查询、账户当日明细查询、账户历史明细查询、账户未登折明细查询、查询/下载对账单、电子回单查询、贷款业务查询、日志查询等。（四）转账汇款业务主要包括：定活转账、活期与协定存款互转、活期与通知存款互转、行内转账、批量转账、转账结果查询、收款人名册管理、同城跨行转账、异地汇款、公司约定转账等。（五）代付业务主要包括：代发工资（上传工资明细、查询工资明细、修改工资明细、增加工资条目、删除工资条目、发放工资、查询工资发放结果）、报销差旅费等。（六）代收业务主要包括：批量扣企业、批量扣个人、扣款交易查询、客户清单查询等。（七）外汇业务主要包括：外币存款、即期结汇、即期售汇、国际汇款、进口代收、出口托收、国际结算等。（八）商务信用卡功能管理主要包括：信用卡还款、信用卡账户管理（自动还款设定、催收提醒、个性化设置、额度调整、卡激活等）、信用卡网上申请等。（九）自助缴费业务主要包括：缴费类交易平台、预约缴费、委托扣款、代打缴费账单凭证、缴费支付记录查询等。（十）挂失业务（十一）网上支付（十二）银信通主要包括：短信定制等。2 网银系统技术需求概述2.1网银架构2.2关联系统说明系统说明（1）核心业务系统：它是全行的帐务处理核心系统，网上银行仅仅是核心业务系统的一个交易渠道，网上银行交易涉及到帐户信息的处理都要在核心系统中进行。（2）各类前置系统：银行卡业务系统、大小额支付系统、农信银清算系统、贷记卡业务系统、中间业务系统。2.3软件序号用途备注1操作系统2数据库服务器软件3应用服务器软件4Web服务器软件5网银应用6用于J2EE应用的开发、调试及部署。7网页设计2.4网络及安全产品路由器（2台）性能指标 4个网络模块插槽，2个AIM插槽，4个HWIC插槽，支持RIP、EIGRP、OSPF等动态路由协议 基于应用的状态化过滤功能（基于环境的访问控制）；逐个用户验证和授权；实时报警； 1-20 VPN 数据加密标准（DES）、三重DES（3DES）和高级加密标准（AES）128、192 和256 加密支持；内嵌于母板上、基于硬件的VPN 加速功能；利用第三层压缩支持可选、更高性能、基于AIM 的安全加速；通过VPN 模块支持高达1800 个隧道； 多协议标签交换（MPLS）VPN支持特定运营商边缘功能；虚拟路由和转发（VRF）防火墙和VRF IPSec 板载USB 1.1 端口未来支持安全令牌和闪存交换机（4台）性能指标 24个10/100/1000接口 + 4 SFP 模块+ IPS Image; 机架式交换机 三层交换机，支持RIP、EIGRP、OSPF等动态路由协议千兆防火墙（4台）性能指标 采用专用硬件架构与专用安全操作系统，基于操作系统内核的会话检测技术；专用的安全操作系统具有自主知识产权；硬件设备可以机架安装，支持扩展冗余电源。 采用双安全操作系统，防止配置不当或防火墙系统故障造成的网络中断，充分保证了系统的稳定性。 软件采用模块化结构设计，可以根据需要组合，可以扩展IPSEC VPN，SSL VPN，防病毒、安全审计等功能。 硬件采用模块化设计，设备在用户现场就可以进行接口的扩展。 至少提供6个10/100/1000BASE-T接口， 4个SFP插槽，最多可以支持26个千兆接口。 网络吞吐量不少于4Gbps 最大并发连接数不少于160万 每秒最大新建连接数不少于8万 防火墙系统可以提供对复杂环境的接入支持，包括路由、透明以及混合接入模式。 支持基于源IP地址、目的IP地址、源端口、目的端口、时间、用户、文件、网址、关键字、邮件地址、脚本、MAC地址等多种方式进行访问控制； 支持对HTTP、SMTP、POP3、FTP等协议的深度内容过滤，支持URL、关键字过滤； 支持对移动代码如Java applet、Active-X、VBScript、Jscript、Java script的过滤； 动态端口支持协议：H.323、SIP、FTP、RTSP、SQL*NET、MMS、TFTP、RPC(msrpc,dcerpc)等； 支持MSN、QQ、新浪UC、阿里旺旺、google talk等Instant Messenger通信，并可以对于这些应用进行登陆限制,支持根据登陆等帐号进行登陆限制； 支持对MSN，QQ等IM应用通信的连接统计,支持对指定IP地址的IM应用通信的连接统计； 可限制BT，eMule，eDonkey、讯雷等多种P2P应用，可以统计P2P流量和连接数，可以控制P2P流量的带宽； 可屏蔽受保护主机/服务器系统信息，可以替换服务器(FTP、SMTP、POP3、Telnet,HTTP)的BANNER信息； 可实现静态或自动的IP/MAC绑定。 防火墙系统有完善的地址转换能力，可以支持正向、反向地址/端口转换、双向地址转换等，能够提供完整的地址转换解决方案。 支持静态和动态路由，动态路由至少包括：RIP和OSPF动态路由协议；静态路由协议支持基于源地址、目的地址、METRIC值、网络接口的路由； 支持链路备份功能，可以在用户的多条网络出口之间进行自动的切换； 支持双机热备功能，包括主备模式(A/S)，主主模式(A/A) 支持VRRP协议； 支持对服务器的负载均衡，支持轮询、加权轮询、最少连接、加权最少链接、基于源IP地址HASH调度等多种负载均衡方式； 防火墙系统要对长连接的提供全面的解决方案； 支持DHCP SERVER/CLIENT/RELAY功能 支持TOPSEC联动协议，能够与主流入侵检测产品进行联动； 可以识别并阻断以下攻击行为：防非法报文攻击：land 、Smurf、Pingofdeath、winnuke 、tcp_sscan、ip_option、teardrop、targa3、ipspoof； 防统计型报文攻击：Synflood、Icmpflood、Udpflood、Portscan、ipsweep； 端口阻断：可以根据数据包的来源和数据包的特征进行阻断设置； 支持告警信息分类、分级；当发生安全事件的时候支持以邮件、NETBIOS、声音、SNMP、控制台等方式告警。 可以提供多种方式的管理界面，包括GUI、WEBUI、CONSOLE、SSH、TELNET等； 远程集中监控管理功能：支持远程集中管理监控功能，在同一个管理平台下能够对所管理网络中所有的防火墙设备进行管理和监控，提供远程升级和配置变更方法，非常方便用户对防火墙软件版本和配置变更的管理；支持远程TFTP、FTP、HTTP等方式升级。 日志分级、分类；系统要能够提供多种日志存储方式，可以缓存在设备本地，也可以将日志以专用格式/Welf/Syslog等多种日志格式的输出；具有完善的日志收集、传输、存储、分析、报告等解决方案。 中华人民共和国公安部颁发的计算机信息系统安全专用产品销售许可证 国家XX局涉密信息系统安全保密测评中心颁发的涉密信息系统产品检测证书 信息安全测评中心的EAL3级认证证书应用安全网关（2台）性能指标 带服务器负载均衡的ssl加速网关， 4个端口，内存标准配置2G，标准1U 机箱;L4-L7;吞吐量:1.5Gbps ；两台设备要支持N1集群模式； SSL最大在线会话数：12000 SSL性能:12000TPS L4处理能力/秒 L7处理能力35000/秒 国家密码XX局,XX局颁发的商用密码产品型号证书数字签名（2台）性能指标 包括API 和硬件设备；带加速卡，2U 机箱, 签名3000次每秒，验签8000次每秒 支持HA模式 国家密码XX局,XX局颁发的商用密码产品型号证书链路负载均衡（2台）性能指标 4个端口，内存标准配置2G， L4 处理能力 /秒， L7处理能力35000/秒 , 支持最大128条链路接入； 流量吞吐量:1.5G/秒 并发DNS请求数:6万/秒 两台设备要支持N1集群模式；应用负载均衡（4台）性能指标 4个端口，内存标准配置2G， L4 处理能力 /秒， L7处理能力35000/秒 , 支持后台服务器组2000； 流量吞吐量:1.5G/秒； 两台设备要支持N1集群模式；动态密码设备（2台）性能指标 硬件设备平台包含动态密码生成服务器、管理服务器、验证服务器三块 支持千万级用户； 支持HA模式； 能实现基于事件token和矩阵卡两种客户端形式 国家密码XX局,XX局颁发的商用密码产品型号证书入侵检测（2台）性能指标采用专用硬件架构与专用安全操作系统；专用的安全操作系统具有自主知识产权；硬件设备可以机架安装。至少2个10/100/1000BASE-TX口(可用作监听和扩展)+1个10/100BASE-TX管理端口+2个GBIC插槽(可用作监听和扩展)；可以支持4路IDS监听。支持并实配双电源支持2800条以上的入侵事件签名600条以上的防蠕虫攻击规则通过国际安全组织CVE(Common Vulnerabilities & Exposures通用漏洞披露)严格的标准评审，获得CVE兼容性认证证书(CVE Compatible) 第一年软件和签名库免费升级；为了保证安全联动的有效性，提高安全防御能力，应与防火墙产品为同一生产商。综合使用误用检测、异常检测、智能协议分析、会话状态分析、实时关联检测等多种入侵检测技术，保证IDS检测准确性，极大地降低了漏报率与误报率。采用多种加速技术其中包括：专用的高速硬件平台；底层抓包加速引擎；增强直接用户空间访问（EDUA）技术；多线程分散式重组引擎；高效的流定位及状态型的协议分析技术；无缝集成的优化智能模式匹配算法。阻断、报警、联动，以及用户自定义的响应方式可通过TOPSEC协议与天融信防火墙联动支持与Cisco 路由器联动控制中心支持多级分布管理的方式，区分主控和子控，主控支持下发策略给子控，同时子控支持向主控上报指定级别的告警和日志信息对管理员划分不同的管理权限，至少包括超级管理员、普通管理员、只读管理员三种支持在基于HUB的共享环境基于交换机镜像功能的交换环境基于专用的流量分流设备TAP设备的部署方案支持HTTP、FTP、Telnet、SMTP、POP3、IMAP、DNS、H.323、MSN等协议的解码和内容恢复。支持超过100种的报表模板，用户可以根据事件风险等级、时间、源或目的地址等生成报表，还提供用户自定义报表，支持的报表导出格式包括crystal、Excel、HTML、XML、RIF、Word等 实时会话监控：提供实时监控当前TCP会话并根据需要进行切断、保存会话内容的功能。 实时系统监控：系统以图形方式实时监控IDS引擎的CPU、内存等资源信息及实时网络流量信息。 协议还原与内容监控：监控并还原邮件内容（POP3, SMTP, IMAP, WEB MAIL）；监控并记录WWW、FTP、TELNET等TCP会话的访问信息。 中华人民共和国公安部颁发的计算机信息系统安全专用产品销售许可证 中国国家信息安全测评认证中心颁发的国家信息安全认证产品型号证书 中国人民解放军信息安全测评认证中心颁发的军用信息安全产品认证证书 国家XX局颁发的涉密信息系统产品检测证书漏洞扫描（2台）性能指标机架式独立硬件设备，系统采用B/S设计架构，具有完全自主知识产权的专用安全操作系统，稳定可靠。 1个100/1000M管理口，1个100/1000M以太网电口并发扫描IP地址不小于30个扫描任务并发数不小于10个可扫描IP数量无限个漏洞知识库从操作系统、服务、应用程序和漏洞严重程度多个视角进行分类，需要给出具体的分类信息。支持对漏洞信息的检索功能，可以从其中快速检索到指定类别或者名称的漏洞信息，并具体说明支持的检索方式。提供漏洞知识库中包含的主流操作系统、数据库、网络设备的列表信息。提供专用的安全检测模块对常见的Web应用进行深度内容分析，精确识别SQL注入漏洞和跨站脚本漏洞。能够扫描常见的网络安全客户端软件（网络防病毒Symantec、TrendMicro、McAfee）的安全漏洞能够扫描常见的应用软件漏洞（如IE浏览器、MSN、Mozilla Firefox、Yahoo Messenger、MS Office、多媒体播放器、VMware虚拟机和各种P2P下载软件）的安全漏洞。漏洞知识库漏洞信息大于2400条，提供详细的漏洞描述和对应的解决方案描述；漏洞知识库与国际CVE标准兼容，并提供CVE Compatible证书。漏洞知识库和漏洞检测规则支持手动升级和自动升级，支持本地升级和在线升级，在线升级支持代理方式升级；至少每两周进行一次定期升级，重大安全漏洞紧急响应时间。支持对多个扫描任务并发执行，支持多任务自动调度；单个任务允许扫描的最大扫描范围不小于一个B类网段。系统内置不同的策略模板如针对Unix、Windows操作系统等模板，同时允许用户定制扫描策略；用户可定义扫描范围、扫描使用的参数集、扫描并发主机数等具体扫描选项。可以在扫描过程中人工指定包括SNMP、SMB等常见协议的登陆口令，登陆到相应的系统中对特定应用进行深入扫描。可定义扫描端口范围、端口扫描策略。是否具备单独口令猜测扫描任务，支持多种口令猜测方式，包括利用Telnet、Pop3、 Ftp、 Windows SMB、SQL Server、MySQL、Oracle、Sybase等协议进行口令猜测，允许外挂用户提供的字典档。允许管理员配置扫描通知，在扫描任务运行开始时向被扫描的资产发送扫描通知；能够对扫描结果数据进行在线分析，能够根据端口、漏洞、BANNER信息、IP地址等关键字对主机信息进行查询并能将查询结果保存。支持高级数据分析，能够进行历史数据查询、汇总查看、对比分析等，方便进行多个扫描任务或多个IP风险对比，能够在多个历史任务中，很快的检索到需要关注的资产IP点。漏洞分析报告应提供在线浏览报告和离线打印报告；离线报表提供针对不同角色的默认模板，允许用户定制报告的内容、报告的格式等。离线报告可以输出到HTML、WORD、EXCEL（XML）等文件，报告可以直接下载或通过邮件直接发送给相应管理人员，并且输出报表美观可直接打印。对扫描出来的资产的安全漏洞能够发送邮件给对应的资产管理员，通知其限期内修复漏洞并自动对修复进行验证，实现对漏洞的有效跟踪和验证，实现对安全漏洞的有效跟踪和验证。提供对资产风险的多次分析能力，能够有效地分析网络整体和主机的漏洞分布和风险的趋势。支持和微软WSUS补丁系统的联动，能够在发给主机管理员的邮件中附带自动配置WSUS的注册表文件，方便进行自动化的补丁修补。具有中华人民共和国公安部的计算机信息系统安全专用产品销售许可证。具有国家XX局涉密信息系统安全保密测评中心的涉密信息系统产品检测证书。具有中国信息安全产品测评认证中心的国家信息安全认证产品型号证书。具有中国人民解放军信息安全测评认证中心的军用信息安全产品认证证书。具有中华人民共和国国家版权局的计算机软件著作权登记证。英国西海岸实验室Checkmark认证证书抗DDOS攻击（3台）性能指标 两个100/1000Base-TX，一个RS232串口 2U机架式安装 HTTPS、CLI、TELNET、SSH方式管理设备 针对如下攻击进行防护：Spoofed and Non-Spoofed Attacks- TCP（syns, sync-acks, acks, fins, fragments）- UDP（random port floods, fragments）- ICMP（unreachable, echo, fragments）- DNSClient Attacks- Inactive and total connections- HTTP Get floodBGP Attacks 平均无故障时间60,000小时 可防御各类DDoS攻击及其变种，如SYN Flood、UDP Flood/UDP DNS Query Flood、(M)Stream Flood和ICMP Flood、HTTP Get Flood、连接耗尽、Ping of Death、Land、Tear Drop、WinNuke以及混合拒绝服务攻击； 针对UDP DNS Query Flood具备专门的防护手段 使用智能攻击流量识别的技术进行防护，而不基于特定规则的方式，即当发生未知攻击，无需专门的撰写规则，即可对这些攻击进行防护 抵御蠕虫攻击。 支持串联部署工作方式；产品能够适应不同的网络环境，支持RIPv2，OSPF，BGPv4协议，支持全冗余的VRRP网络，支持VLAN； 具备多台设备集群部署的能力，支持在大攻击流量发生时手动或自动启动集