网上银行系统业务框架需求及技术方案.doc

网上银行系统业务框架需求及技术方案

天津农村合作银行
2009年1月

目 录
1 网银系统业务需求框架 1
1.1对私业务 1
1.2对公业务 3
2 网银系统技术需求概述 5
2.1网银架构 5
2.2关联系统说明 5
2.3软件 6
2.4硬件 6
3 网银系统总体预算说明 7

我行计划采用自建方式建设网上银行系统，系统采用B/S结构，利用互联网为渠道向客户提供多种服务。
在客户身份安全认证方面，采用静态密码、动态密码、加数字证书的方式，进行安全认证。计划采用CFCA的数字证书，自建CFCA RA系统的方式来实现。
1 网银系统业务需求框架
天津农村合作银行开办的网上银行业务分对私业务和对公业务两大类。
1.1对私业务
（一）公共信息服务（本项服务对外开放，任何INTERNET用户只要登录我行网址即可享受此项服务）
主要包括：机构简介、信息发布、存款利率查询、储蓄类型代码表、最新外汇牌价、银行业务简介、投诉、建议、客户调查、理财试算工具、在线客户服务等。
（二）查询服务（本项服务与以下各项服务必须先注册为我行的网上银行用户）
主要包括：账户基本信息查询、账户余额查询、交易限额查询、账户当日明细查询、账户历史明细查询、账户未登折明细查询、查询/下载对账单、电子回单查询、贷款业务查询、交易积分查询、日志查询等。
（三）预约业务
主要包括：大额取款预约、贵宾接待预约等。
（四）转账和汇款业务
主要包括：定活转账、行内转账、批量转账、转账结果查询、收款人名册管理、跨行同城转账、跨行异地转账、约定转账、异地汇款等。
（五）通知存款
主要包括：查询通知存款、活期转通知存款、通知存款转活期、通知存款预约、取消通知存款预约等。
（六）投资理财
（七）贷款业务
主要包括：按揭贷款查询、个人质押贷款、个人授信贷款申请、贷款预约等。
（八）自助缴费业务
主要包括：缴费类交易平台、预约缴费、委托扣款、代打缴费账单凭证、缴费支付记录查询等。
（九）外汇业务
主要包括：外币存款、个人结汇、个人售汇、国际汇款、进口代收、出口托收、国际结算等。
（十）个人信用卡业务
主要包括：信用卡还款、信用卡账户管理（自动还款设定、催收提醒、个性化设置、额度调整、卡激活等）、信用卡网上申请等。
（十一）网上支付
主要包括：网上支付功能申请、功能撤销、卡转账、额度设置、交易查询等。
（十二）保险业务
主要包括：投保申请、保费缴纳、保单查询、险种查询。
（十三）银信通
主要包括：短信定制等。
（十四）挂失业务
主要包括：借记卡挂失、信用卡挂失、存折挂失。
（十五）业务功能申请及取消
（十六）修改客户资料
（十七）密码修改
1.2对公业务
（一）公共信息服务。（本项服务对外开放，任何INTERNET用户只要登录我行网址即可享受此项服务）
主要包括：机构简介、信息发布、存款利率查询、储蓄类型代码表、最新外汇牌价、银行业务简介、投诉、建议、客户调查、理财试算工具、在线客户服务等。
（二）用户管理（本项服务与以下各项服务必须先注册为我行网上银行用户）
（三）查询服务
主要包括：账户基本信息查询、账户余额查询、交易限额查询、账户当日明细查询、账户历史明细查询、账户未登折明细查询、查询/下载对账单、电子回单查询、贷款业务查询、日志查询等。
（四）转账汇款业务
主要包括：定活转账、活期与协定存款互转、活期与通知存款互转、行内转账、批量转账、转账结果查询、收款人名册管理、同城跨行转账、异地汇款、公司约定转账等。
（五）代付业务
主要包括：代发工资（上传工资明细、查询工资明细、修改工资明细、增加工资条目、删除工资条目、发放工资、查询工资发放结果）、报销差旅费等。
（六）代收业务
主要包括：批量扣企业、批量扣个人、扣款交易查询、客户清单查询等。
（七）外汇业务
主要包括：外币存款、即期结汇、即期售汇、国际汇款、进口代收、出口托收、国际结算等。
（八）商务信用卡功能管理
主要包括：信用卡还款、信用卡账户管理（自动还款设定、催收提醒、个性化设置、额度调整、卡激活等）、信用卡网上申请等。
（九）自助缴费业务
主要包括：缴费类交易平台、预约缴费、委托扣款、代打缴费账单凭证、缴费支付记录查询等。
（十）挂失业务
（十一）网上支付
（十二）银信通
主要包括：短信定制等。

2 网银系统技术需求概述
2.1网银架构

2.2关联系统说明
系统说明
（1）核心业务系统：它是全行的帐务处理核心系统，网上银行仅仅是核心业务系统的一个交易渠道，网上银行交易涉及到帐户信息的处理都要在核心系统中进行。
（2）各类前置系统：银行卡业务系统、大小额支付系统、农信银清算系统、贷记卡业务系统、中间业务系统。
2.3软件
序号
用途
备注
1
操作系统

2
数据库服务器软件

3
应用服务器软件

4
Web服务器软件

5
网银应用

6
用于J2EE应用的开发、调试及部署。

7
网页设计

2.4网络及安全产品

路由器（2台）
性能指标
● 4个网络模块插槽，2个AIM插槽，4个HWIC插槽，支持RIP、EIGRP、OSPF等动态路由协议
● 基于应用的状态化过滤功能（基于环境的访问控制）；逐个用户验证和授权；实时报警； 1-20
● VPN ——数据加密标准（DES）、三重DES（3DES）和高级加密标准（AES）128、192 和256 加密支持；
内嵌于母板上、基于硬件的VPN 加速功能；利用第三层压缩支持可选、更高性能、基于AIM 的安全加速；通过VPN 模块支持高达1800 个隧道；
● 多协议标签交换（MPLS）VPN支持——特定运营商边缘功能；虚拟路由和转发（VRF）防火墙和VRF IPSec
● 板载USB 1.1 端口——未来支持安全令牌和闪存

交换机（4台）
性能指标
● 24个10/100/1000接口 + 4 SFP 模块+ IPS Image;
● 机架式交换机
● 三层交换机，支持RIP、EIGRP、OSPF等动态路由协议

千兆防火墙（4台）
性能指标
● 采用专用硬件架构与专用安全操作系统，基于操作系统内核的会话检测技术；专用的安全操作系统具有自主知识产权；硬件设备可以机架安装，支持扩展冗余电源。
● 采用双安全操作系统，防止配置不当或防火墙系统故障造成的网络中断，充分保证了系统的稳定性。
● 软件采用模块化结构设计，可以根据需要组合，可以扩展IPSEC VPN，SSL VPN，防病毒、安全审计等功能。
● 硬件采用模块化设计，设备在用户现场就可以进行接口的扩展。
● 至少提供6个10/100/1000BASE-T接口， 4个SFP插槽，最多可以支持26个千兆接口。
● 网络吞吐量不少于4Gbps
● 最大并发连接数不少于160万
● 每秒最大新建连接数不少于8万
● 防火墙系统可以提供对复杂环境的接入支持，包括路由、透明以及混合接入模式。
● 支持基于源IP地址、目的IP地址、源端口、目的端口、时间、用户、文件、网址、关键字、邮件地址、脚本、MAC地址等多种方式进行访问控制；
● 支持对HTTP、SMTP、POP3、FTP等协议的深度内容过滤，支持URL、关键字过滤；
● 支持对移动代码如Java applet、Active-X、VBScript、Jscript、Java script的过滤；
● 动态端口支持协议：H.323、SIP、FTP、RTSP、SQL*NET、MMS、TFTP、RPC(msrpc,dcerpc)等；
● 支持MSN、QQ、新浪UC、阿里旺旺、google talk等Instant Messenger通信，并可以对于这些应用进行登陆限制,支持根据登陆等帐号进行登陆限制；
● 支持对MSN，QQ等IM应用通信的连接统计,支持对指定IP地址的IM应用通信的连接统计；
● 可限制BT，eMule，eDonkey、讯雷等多种P2P应用，可以统计P2P流量和连接数，可以控制P2P流量的带宽；
● 可屏蔽受保护主机/服务器系统信息，可以替换服务器(FTP、SMTP、POP3、Telnet,HTTP)的BANNER信息；
● 可实现静态或自动的IP/MAC绑定。
● 防火墙系统有完善的地址转换能力，可以支持正向、反向地址/端口转换、双向地址转换等，能够提供完整的地址转换解决方案。
● 支持静态和动态路由，动态路由至少包括：RIP和OSPF动态路由协议；静态路由协议支持基于源地址、目的地址、METRIC值、网络接口的路由；
支持链路备份功能，可以在用户的多条网络出口之间进行自动的切换；
● 支持双机热备功能，包括主备模式(A/S)，主主模式(A/A)
● 支持VRRP协议；
● 支持对服务器的负载均衡，支持轮询、加权轮询、最少连接、加权最少链接、基于源IP地址HASH调度等多种负载均衡方式；
● 防火墙系统要对长连接的提供全面的解决方案；
● 支持DHCP SERVER/CLIENT/RELAY功能
● 支持TOPSEC联动协议，能够与主流入侵检测产品进行联动；
● 可以识别并阻断以下攻击行为：防非法报文攻击：land 、Smurf、Pingofdeath、winnuke 、tcp_sscan、ip_option、teardrop、targa3、ipspoof；
● 防统计型报文攻击：Synflood、Icmpflood、Udpflood、Portscan、ipsweep；
● 端口阻断：可以根据数据包的来源和数据包的特征进行阻断设置；
● 支持告警信息分类、分级；当发生安全事件的时候支持以邮件、NETBIOS、声音、SNMP、控制台等方式告警。
● 可以提供多种方式的管理界面，包括GUI、WEBUI、CONSOLE、SSH、TELNET等；
● 远程集中监控管理功能：支持远程集中管理监控功能，在同一个管理平台下能够对所管理网络中所有的防火墙设备进行管理和监控，提供远程升级和配置变更方法，非常方便用户对防火墙软件版本和配置变更的管理；支持远程TFTP、FTP、HTTP等方式升级。
● 日志分级、分类；系统要能够提供多种日志存储方式，可以缓存在设备本地，也可以将日志以专用格式/Welf/Syslog等多种日志格式的输出；具有完善的日志收集、传输、存储、分析、报告等解决方案。
● 中华人民共和国公安部颁发的《计算机信息系统安全专用产品销售许可证》
● 国家保密局涉密信息系统安全保密测评中心颁发的《涉密信息系统产品检测证书》
● 信息安全测评中心的EAL3级认证证书

应用安全网关（2台）
性能指标
● 带服务器负载均衡的ssl加速网关，
● 4个端口，内存标准配置2G，标准1U 机箱;L4-L7;吞吐量:1.5Gbps ；两台设备要支持N＋1集群模式；
● SSL最大在线会话数：12000
● SSL性能:12000TPS
● L4处理能力500000/秒
● L7处理能力35000/秒
● 国家密码管理局颁发的《商用密码产品型号证书》

数字签名（2台）
性能指标
● 包括API 和硬件设备；带加速卡，2U 机箱,
● 签名3000次每秒，验签8000次每秒
● 支持HA模式
● 国家密码管理局颁发的《商用密码产品型号证书》

链路负载均衡（2台）
性能指标
● 4个端口，内存标准配置2G，
● L4 处理能力 500000/秒，
● L7处理能力35000/秒 ,
● 支持最大128条链路接入；
● 流量吞吐量:1.5G/秒
● 并发DNS请求数:6万/秒
● 两台设备要支持N＋1集群模式；

应用负载均衡（4台）
性能指标
● 4个端口，内存标准配置2G，
● L4 处理能力 500000/秒，
● L7处理能力35000/秒 ,
● 支持后台服务器组2000；
● 流量吞吐量:1.5G/秒；
● 两台设备要支持N＋1集群模式；

动态密码设备（2台）
性能指标
● 硬件设备平台包含动态密码生成服务器、管理服务器、验证服务器三块
● 支持千万级用户；
● 支持HA模式；
● 能实现基于事件token和矩阵卡两种客户端形式
● 国家密码管理局颁发的《商用密码产品型号证书》

入侵检测（2台）
性能指标
●采用专用硬件架构与专用安全操作系统；专用的安全操作系统具有自主知识产权；硬件设备可以机架安装。
●至少2个10/100/1000BASE-TX口(可用作监听和扩展)+1个10/100BASE-TX管理端口+2个GBIC插槽(可用作监听和扩展)；可以支持4路IDS监听。
●支持并实配双电源
●支持2800条以上的入侵事件签名
●600条以上的防蠕虫攻击规则
●通过国际安全组织CVE(Common Vulnerabilities & Exposures通用漏洞披露)严格的标准评审，获得CVE兼容性认证证书(CVE Compatible)
●第一年软件和签名库免费升级；为了保证安全联动的有效性，提高安全防御能力，应与防火墙产品为同一生产商。
●综合使用误用检测、异常检测、智能协议分析、会话状态分析、实时关联检测等多种入侵检测技术，保证IDS检测准确性，极大地降低了漏报率与误报率。
●采用多种加速技术其中包括：专用的高速硬件平台；底层抓包加速引擎；增强直接用户空间访问（EDUA）技术；多线程分散式重组引擎；高效的流定位及状态型的协议分析技术；无缝集成的优化智能模式匹配算法。
●阻断、报警、联动，以及用户自定义的响应方式
可通过TOPSEC协议与天融信防火墙联动
支持与Cisco 路由器联动
●控制中心支持多级分布管理的方式，区分主控和子控，主控支持下发策略给子控，同时子控支持向主控上报指定级别的告警和日志信息
●对管理员划分不同的管理权限，至少包括超级管理员、普通管理员、只读管理员三种
●支持在基于HUB的共享环境
基于交换机镜像功能的交换环境
基于专用的流量分流设备TAP设备的部署方案
●支持HTTP、FTP、Telnet、SMTP、POP3、IMAP、DNS、H.323、MSN等协议的解码和内容恢复。
●支持超过100种的报表模板，用户可以根据事件风险等级、时间、源或目的地址等生成报表，还提供用户自定义报表，支持的报表导出格式包括crystal、Excel、HTML、XML、RIF、Word等
● 实时会话监控：提供实时监控当前TCP会话并根据需要进行切断、保存会话内容的功能。
● 实时系统监控：系统以图形方式实时监控IDS引擎的CPU、内存等资源信息及实时网络流量信息。
● 协议还原与内容监控：监控并还原邮件内容（POP3, SMTP, IMAP, WEB MAIL）；监控并记录WWW、FTP、TELNET等TCP会话的访问信息。
● 中华人民共和国公安部颁发的《计算机信息系统安全专用产品销售许可证》
● 中国国家信息安全测评认证中心颁发的《国家信息安全认证产品型号证书》
● 中国人民解放军信息安全测评认证中心颁发的《军用信息安全产品认证证书》
● 国家保密局颁发的《涉密信息系统产品检测证书》

漏洞扫描（2台）
性能指标
●机架式独立硬件设备，系统采用B/S设计架构，具有完全自主知识产权的专用安全操作系统，稳定可靠。
● 1个100/1000M管理口，1个100/1000M以太网电口
●并发扫描IP地址不小于30个
●扫描任务并发数不小于10个
●可扫描IP数量无限个
●漏洞知识库从操作系统、服务、应用程序和漏洞严重程度多个视角进行分类，需要给出具体的分类信息。
●支持对漏洞信息的检索功能，可以从其中快速检索到指定类别或者名称的漏洞信息，并具体说明支持的检索方式。
●提供漏洞知识库中包含的主流操作系统、数据库、网络设备的列表信息。
●提供专用的安全检测模块对常见的Web应用进行深度内容分析，精确识别SQL注入漏洞和跨站脚本漏洞。
●能够扫描常见的网络安全客户端软件（网络防病毒Symantec、TrendMicro、McAfee）的安全漏洞
●能够扫描常见的应用软件漏洞（如IE浏览器、MSN、Mozilla Firefox、Yahoo Messenger、MS Office、多媒体播放器、VMware虚拟机和各种P2P下载软件）的安全漏洞。
●漏洞知识库漏洞信息大于2400条，提供详细的漏洞描述和对应的解决方案描述；漏洞知识库与国际CVE标准兼容，并提供CVE Compatible证书。
●漏洞知识库和漏洞检测规则支持手动升级和自动升级，支持本地升级和在线升级，在线升级支持代理方式升级；至少每两周进行一次定期升级，重大安全漏洞紧急响应时间。
●支持对多个扫描任务并发执行，支持多任务自动调度；单个任务允许扫描的最大扫描范围不小于一个B类网段。
●系统内置不同的策略模板如针对Unix、Windows操作系统等模板，同时允许用户定制扫描策略；用户可定义扫描范围、扫描使用的参数集、扫描并发主机数等具体扫描选项。
●可以在扫描过程中人工指定包括SNMP、SMB等常见协议的登陆口令，登陆到相应的系统中对特定应用进行深入扫描。
●可定义扫描端口范围、端口扫描策略。
●是否具备单独口令猜测扫描任务，支持多种口令猜测方式，包括利用Telnet、Pop3、 Ftp、 Windows SMB、SQL Server、MySQL、Oracle、Sybase等协议进行口令猜测，允许外挂用户提供的字典档。
●允许管理员配置扫描通知，在扫描任务运行开始时向被扫描的资产发送扫描通知；
●能够对扫描结果数据进行在线分析，能够根据端口、漏洞、BANNER信息、IP地址等关键字对主机信息进行查询并能将查询结果保存。
●支持高级数据分析，能够进行历史数据查询、汇总查看、对比分析等，方便进行多个扫描任务或多个IP风险对比，能够在多个历史任务中，很快的检索到需要关注的资产IP点。
●漏洞分析报告应提供在线浏览报告和离线打印报告；离线报表提供针对不同角色的默认模板，允许用户定制报告的内容、报告的格式等。
●离线报告可以输出到HTML、WORD、EXCEL（XML）等文件，报告可以直接下载或通过邮件直接发送给相应管理人员，并且输出报表美观可直接打印。
●对扫描出来的资产的安全漏洞能够发送邮件给对应的资产管理员，通知其限期内修复漏洞并自动对修复进行验证，实现对漏洞的有效跟踪和验证，实现对安全漏洞的有效跟踪和验证。
●提供对资产风险的多次分析能力，能够有效地分析网络整体和主机的漏洞分布和风险的趋势。
●支持和微软WSUS补丁系统的联动，能够在发给主机管理员的邮件中附带●自动配置WSUS的注册表文件，方便进行自动化的补丁修补。
●具有中华人民共和国公安部的《计算机信息系统安全专用产品销售许可证》。
●具有国家保密局涉密信息系统安全保密测评中心的《涉密信息系统产品检测证书》。
●具有中国信息安全产品测评认证中心的《国家信息安全认证产品型号证书》。
●具有中国人民解放军信息安全测评认证中心的《军用信息安全产品认证证书》。
●具有中华人民共和国国家版权局的《计算机软件著作权登记证》。
●英国西海岸实验室Checkmark认证证书

抗DDOS攻击（3台）
性能指标
● 两个100/1000Base-TX，一个RS232串口
● 2U机架式安装
● HTTPS、CLI、TELNET、SSH方式管理设备
● 针对如下攻击进行防护：
Spoofed and Non-Spoofed Attacks
- TCP（syns, sync-acks, acks, fins, fragments）
- UDP（random port floods, fragments）
- ICMP（unreachable, echo, fragments）
- DNS
Client Attacks
- Inactive and total connections
- HTTP Get flood
BGP Attacks
● 平均无故障时间60,000小时
● 可防御各类DDoS攻击及其变种，如SYN Flood、UDP Flood/UDP DNS Query Flood、(M)Stream Flood和ICMP Flood、HTTP Get Flood、连接耗尽、Ping of Death、Land、Tear Drop、WinNuke以及混合拒绝服务攻击；
● 针对UDP DNS Query Flood具备专门的防护手段
● 使用智能攻击流量识别的技术进行防护，而不基于特定规则的方式，即当发生未知攻击，无需专门的撰写规则，即可对这些攻击进行防护
● 抵御蠕虫攻击。
● 支持串联部署工作方式；产品能够适应不同的网络环境，支持RIPv2，OSPF，BGPv4协议，支持全冗余的VRRP网络，支持VLAN；
● 具备多台设备集群部署的能力，支持在大攻击流量发生时手动或自动启动集群，保证整个系统可用性
● 支持通过浏览器对设备进行本地或远程的软件升级
● 支持攻击日志和网络流量统计功能，具备各类DDoS攻击详细记录的能力

注：以上所有设备的报价包含三年质保及系统集成费用。

12