1、网上银行系统业务框架需求及技术方案天津农村合作银行2009 年 1 月目 录1 网银系统业务需求框架 .11.1对私业务 11.2对公业务 32 网银系统技术需求概述 .52.1网银架构 52.2关联系统说明 52.3软件 62.4硬件 63 网银系统总体预算说明 .71我行计划采用自建方式建设网上银行系统，系统采用 B/S结构，利用互联网为渠道向客户提供多种服务。在客户身份安全认证方面，采用静态密码、动态密码、加数字证书的方式，进行安全认证。计划采用 CFCA的数字证书，自建CFCA RA系统的方式来实现。1 网银系统业务需求框架天津农村合作银行开办的网上银行业务分对私业务和对公业务两大类。
2、1.1对私业务（一）公共信息服务（本项服务对外开放，任何 INTERNET 用户只要登录我行网址即可享受此项服务）主要包括：机构简介、信息发布、存款利率查询、储蓄类型代码表、最新外汇牌价、银行业务简介、投诉、建 议、客 户调查、理财试算工具、在线客户服务等。（二）查询服务（本项服务与以下各项服务必须先注册为我行的网上银行用户）主要包括：账户基本信息查询、账户余额查询、交易限额查询、账户当日明细查询、账户历史明细查询、账户未登折明细查询、查询/下载对账单、 电子回单查询、贷款业务查询、交易积分查询、日志查询等。（三）预约业务2主要包括：大额取款预约、贵宾接待预约等。（四）转账和汇款业务主要包括：
3、定活转账、行内转账、批量转账、转账结果查询、收款人名册管理、跨行同城转账、跨行异地转账、约定转账、异地汇款等。（五）通知存款主要包括：查询通知存款、活期转通知存款、通知存款转活期、通知存款预约、取消通知存款预约等。（六）投资理财（七）贷款业务主要包括：按揭贷款查询、个人质押贷款、个人授信贷款申请、贷款预约等。（八）自助缴费业务主要包括：缴费类交易平台、预约缴费、委托扣款、代打缴费账单凭证、 缴费支付记录查询等。（九）外汇业务主要包括：外币存款、个人结汇、个人售汇、国际汇款、进口代收、出口托收、国际结算等。（十）个人信用卡业务主要包括：信用卡还款、信用卡账户管理（自动还款设定、催收提醒、个性化设
4、置、额度 调整、卡激活等）、信用卡网上申请等。（十一）网上支付主要包括：网上支付功能申请、功能撤销、卡转账、额度设置、交3易查询等。（十二）保险业务主要包括：投保申请、保费缴纳、保单查询、险种查询。（十三）银信通主要包括：短信定制等。（十四）挂失业务主要包括：借记卡挂失、信用卡挂失、存折挂失。（十五）业务功能申请及取消（十六）修改客户资料（十七）密码修改1.2对公业务（一）公共信息服务。 （本项服务对外开放，任何 INTERNET 用户只要登录我行网址即可享受此项服务）主要包括：机构简介、信息发布、存款利率查询、储蓄类型代码表、最新外汇牌价、银行业务简介、投诉、建 议、客 户调查、理财试算工具
5、、在线客户服务等。（二）用户管理（本项服务与以下各项服务必须先注册为我行网上银行用户）（三）查询服务主要包括：账户基本信息查询、账户余额查询、交易限额查询、账户当日明细查询、账户历史明细查询、账户未登折明细查询、查询/下4载对账单、电子回单查询、贷款业务查询、日志查询等。（四）转账汇款业务主要包括：定活转账、活期与协定存款互转、活期与通知存款互转、行内转账 、批量 转账 、转账结果查询、收款人名册管理、同城跨行转账、异地 汇款、公司约定转账等。（五）代付业务主要包括：代发工资（上传工资明细、查询工资明细、修改工资明细、增加工 资条目、 删 除工资条目、 发放工资 、查询工资发放结果）、报销差旅
6、费等。（六）代收业务主要包括：批量扣企业、批量扣个人、扣款交易查询、客户清单查询等。（七）外汇业务主要包括：外币存款、即期结汇、即期售汇、国际汇款、进口代收、出口托收、国际结算等。（八）商务信用卡功能管理主要包括：信用卡还款、信用卡账户管理（自动还款设定、催收提醒、个性化设置、 额度 调整、卡激活等）、信用卡网上申请等。（九）自助缴费业务主要包括：缴费类交易平台、预约缴费、委托扣款、代打缴费账单凭证、 缴费 支付记录查询等。（十）挂失业务5（十一）网上支付（十二）银信通主要包括：短信定制等。2 网银系统技术需求概述2.1网银架构IN T E R N E T路 由 器W e b 服 务 器防 火
7、 墙防 火 墙 应 用 服 务 器数 据 服 务 器R A大 前 置国 际 结 算 系统其 它 系 统局域网F 5核 心 系 统代 收 费 系 统加 密 机C F C A2.2关联系统说明系统说明（1）核心业务系统：它是全行的帐务处理核心系统，网上银行仅仅是核心业务系统的一个交易渠道，网上银行交易涉及到帐户信息的处理都要在核心系统中进行。（2）各类前置系统：银行卡业务系统、大小额支付系统、农信银清算系统、贷记卡业务系统、中间业务系统。62.3软件序号 用途 备注1 操作系统2 数据库服务器软件3 应用服务器软件4 Web 服务器软件5 网银应用6 用于 J2EE 应用的开发、调试及部署。7 网
8、页设计2.4网络及安全产品路由器（2 台）性能指标 4个网络模块插槽，2 个 AIM插槽，4 个 HWIC插槽，支持 RIP、EIGRP、OSPF 等动态路由协议 基于应用的状态化过滤功能（基于环境的访问控制）；逐个用户验证和授权；实时报警； 1-20 VPN 数据加密标准（DES）、三重DES（3DES）和高级加密标准（AES）128、192 和256 加密支持；内嵌于母板上、基于硬件的VPN 加速功能；利用第三层压缩支持可选、更高性能、基于AIM 的安全加速；通过VPN 模块支持高达1800 个隧道； 多协议标签交换（MPLS）VPN支持特定运营商边缘功能；虚拟路由和转发（VRF）防火墙和
9、VRF IPSec 板载USB 1.1 端口未来支持安全令牌和闪存交换机（4 台）性能指标 24个 10/100/1000接口 + 4 SFP 模块+ IPS Image; 机架式交换机 三层交换机，支持 RIP、EIGRP、OSPF 等动态路由协议千兆防火墙（4 台）7性能指标 采用专用硬件架构与专用安全操作系统，基于操作系统内核的会话检测技术；专用的安全操作系统具有自主知识产权；硬件设备可以机架安装，支持扩展冗余电源。 采用双安全操作系统，防止配置不当或防火墙系统故障造成的网络中断，充分保证了系统的稳定性。 软件采用模块化结构设计，可以根据需要组合，可以扩展 IPSEC VPN，SSL V
10、PN，防病毒、安全审计等功能。 硬件采用模块化设计，设备在用户现场就可以进行接口的扩展。 至少提供 6个 10/100/1000BASE-T接口， 4 个 SFP插槽，最多可以支持 26个千兆接口。 网络吞吐量不少于 4Gbps 最大并发连接数不少于 160万 每秒最大新建连接数不少于 8万 防火墙系统可以提供对复杂环境的接入支持，包括路由、透明以及混合接入模式。 支持基于源 IP地址、目的 IP地址、源端口、目的端口、时间、用户、文件、网址、关键字、邮件地址、脚本、MAC 地址等多种方式进行访问控制； 支持对 HTTP、SMTP、POP3、FTP 等协议的深度内容过滤，支持 URL、关键字过
11、滤； 支持对移动代码如 Java applet、Active-X、VBScript、Jscript、Java script 的过滤； 动态端口支持协议：H.323、SIP、FTP、RTSP、SQL*NET、MMS、TFTP、RPC(msrpc,dcerpc)等； 支持 MSN、QQ、新浪 UC、阿里旺旺、google talk 等 Instant Messenger通信，并可以对于这些应用进行登陆限制,支持根据登陆等帐号进行登陆限制； 支持对 MSN，QQ 等 IM应用通信的连接统计,支持对指定 IP地址的 IM应用通信的连接统计； 可限制 BT，eMule，eDonkey、讯雷等多种 P2P
12、应用，可以统计 P2P流量和连接数，可以控制 P2P流量的带宽； 可屏蔽受保护主机/服务器系统信息，可以替换服务器(FTP、SMTP、POP3、Telnet,HTTP)的 BANNER信息； 可实现静态或自动的 IP/MAC绑定。 防火墙系统有完善的地址转换能力，可以支持正向、反向地址/端口转换、双向地址转换等，能够提供完整的地址转换解决方案。 支持静态和动态路由，动态路由至少包括：RIP 和 OSPF动态路由协议；静态路由协议支持基于源地址、目的地址、METRIC 值、网络接口的路由； 支持链路备份功能，可以在用户的多条网络出口之间进行自动的切换； 支持双机热备功能，包括主备模式(A/S)，
13、主主模式(A/A) 支持 VRRP协议； 支持对服务器的负载均衡，支持轮询、加权轮询、最少连接、加权最少链接、基于源 IP地址 HASH调度等多种负载均衡方式； 防火墙系统要对长连接的提供全面的解决方案； 支持 DHCP SERVER/CLIENT/RELAY功能 支持 TOPSEC联动协议，能够与主流入侵检测产品进行联动； 可以识别并阻断以下攻击行为：防非法报文攻击：land 、Smurf、Pingofdeath、winnuke 、tcp_sscan、ip_option、teardrop、targa3、ipspoof； 防统计型报文攻击：Synflood、Icmpflood、Udpflood
14、、Portscan、ipsweep； 端口阻断：可以根据数据包的来源和数据包的特征进行阻断设置； 支持告警信息分类、分级；当发生安全事件的时候支持以邮件、NETBIOS、声音、SNMP、8控制台等方式告警。 可以提供多种方式的管理界面，包括 GUI、WEBUI、CONSOLE、SSH、TELNET 等； 远程集中监控管理功能：支持远程集中管理监控功能，在同一个管理平台下能够对所管理网络中所有的防火墙设备进行管理和监控，提供远程升级和配置变更方法，非常方便用户对防火墙软件版本和配置变更的管理；支持远程 TFTP、FTP、HTTP 等方式升级。 日志分级、分类；系统要能够提供多种日志存储方式，可以
15、缓存在设备本地，也可以将日志以专用格式/Welf/Syslog 等多种日志格式的输出；具有完善的日志收集、传输、存储、分析、报告等解决方案。 中华人民共和国公安部颁发的计算机信息系统安全专用产品销售许可证 国家保密局涉密信息系统安全保密测评中心颁发的涉密信息系统产品检测证书 信息安全测评中心的 EAL3级认证证书应用安全网关（2 台）性能指标 带服务器负载均衡的 ssl加速网关， 4个端口，内存标准配置 2G，标准 1U 机箱;L4-L7;吞吐量:1.5Gbps ；两台设备要支持N1 集群模式； SSL最大在线会话数：12000 SSL性能:12000TPS L4处理能力 500000/秒 L
16、7处理能力 35000/秒 国家密码管理局颁发的商用密码产品型号证书数字签名（2 台）性能指标 包括 API 和硬件设备；带加速卡，2U 机箱, 签名 3000次每秒，验签 8000次每秒 支持 HA模式 国家密码管理局颁发的商用密码产品型号证书链路负载均衡（2 台）性能指标 4个端口，内存标准配置 2G， L4 处理能力 500000/秒， L7处理能力 35000/秒 , 支持最大 128条链路接入； 流量吞吐量:1.5G/秒 并发 DNS请求数:6 万/秒 两台设备要支持 N1 集群模式；应用负载均衡（4 台）性能指标 4个端口，内存标准配置 2G， L4 处理能力 500000/秒，
17、L7处理能力 35000/秒 , 支持后台服务器组 2000； 流量吞吐量:1.5G/秒； 两台设备要支持 N1 集群模式；9动态密码设备（2 台）性能指标 硬件设备平台包含动态密码生成服务器、管理服务器、验证服务器三块 支持千万级用户； 支持 HA模式； 能实现基于事件 token和矩阵卡两种客户端形式 国家密码管理局颁发的商用密码产品型号证书入侵检测（2 台）性能指标采用专用硬件架构与专用安全操作系统；专用的安全操作系统具有自主知识产权；硬件设备可以机架安装。至少 2个 10/100/1000BASE-TX口(可用作监听和扩展)+1 个 10/100BASE-TX管理端口+2 个GBIC插
18、槽(可用作监听和扩展)；可以支持 4路 IDS监听。支持并实配双电源支持 2800条以上的入侵事件签名600 条以上的防蠕虫攻击规则通过国际安全组织 CVE(Common Vulnerabilities & Exposures通用漏洞披露)严格的标准评审，获得 CVE兼容性认证证书(CVE Compatible) 第一年软件和签名库免费升级；为了保证安全联动的有效性，提高安全防御能力，应与防火墙产品为同一生产商。综合使用误用检测、异常检测、智能协议分析、会话状态分析、实时关联检测等多种入侵检测技术，保证 IDS检测准确性，极大地降低了漏报率与误报率。采用多种加速技术其中包括：专用的高速硬件平台
19、；底层抓包加速引擎；增强直接用户空间访问（EDUA）技术；多线程分散式重组引擎；高效的流定位及状态型的协议分析技术；无缝集成的优化智能模式匹配算法。阻断、报警、联动，以及用户自定义的响应方式可通过 TOPSEC协议与天融信防火墙联动支持与 Cisco 路由器联动控制中心支持多级分布管理的方式，区分主控和子控，主控支持下发策略给子控，同时子控支持向主控上报指定级别的告警和日志信息对管理员划分不同的管理权限，至少包括超级管理员、普通管理员、只读管理员三种支持在基于 HUB的共享环境基于交换机镜像功能的交换环境基于专用的流量分流设备 TAP设备的部署方案支持 HTTP、FTP、Telnet、SMTP
20、、POP3、IMAP、DNS、H.323、MSN 等协议的解码和内容恢复。支持超过 100种的报表模板，用户可以根据事件风险等级、时间、源或目的地址等生成报表，还提供用户自定义报表，支持的报表导出格式包括crystal、Excel、HTML、XML、RIF、Word 等 实时会话监控：提供实时监控当前 TCP会话并根据需要进行切断、保存会话内容的功能。 实时系统监控：系统以图形方式实时监控IDS引擎的CPU、内存等资源信息及实时网络流量信息。 协议还原与内容监控：监控并还原邮件内容（POP3, SMTP, IMAP, WEB MAIL） ；监控并记录 WWW、FTP、TELNET 等 TCP会
21、话的访问信息。10 中华人民共和国公安部颁发的计算机信息系统安全专用产品销售许可证 中国国家信息安全测评认证中心颁发的国家信息安全认证产品型号证书 中国人民解放军信息安全测评认证中心颁发的军用信息安全产品认证证书 国家保密局颁发的涉密信息系统产品检测证书漏洞扫描（2 台）性能指标机架式独立硬件设备，系统采用 B/S设计架构，具有完全自主知识产权的专用安全操作系统，稳定可靠。 1 个 100/1000M管理口，1 个 100/1000M以太网电口并发扫描 IP地址不小于 30个扫描任务并发数不小于 10个可扫描 IP数量无限个漏洞知识库从操作系统、服务、应用程序和漏洞严重程度多个视角进行分类，需
22、要给出具体的分类信息。支持对漏洞信息的检索功能，可以从其中快速检索到指定类别或者名称的漏洞信息，并具体说明支持的检索方式。提供漏洞知识库中包含的主流操作系统、数据库、网络设备的列表信息。提供专用的安全检测模块对常见的 Web应用进行深度内容分析，精确识别 SQL注入漏洞和跨站脚本漏洞。能够扫描常见的网络安全客户端软件（网络防病毒 Symantec、TrendMicro、McAfee）的安全漏洞能够扫描常见的应用软件漏洞（如 IE浏览器、MSN、Mozilla Firefox、Yahoo Messenger、MS Office、多媒体播放器、VMware 虚拟机和各种 P2P下载软件）的安全漏洞
23、。漏洞知识库漏洞信息大于 2400条，提供详细的漏洞描述和对应的解决方案描述；漏洞知识库与国际 CVE标准兼容，并提供 CVE Compatible证书。漏洞知识库和漏洞检测规则支持手动升级和自动升级，支持本地升级和在线升级，在线升级支持代理方式升级；至少每两周进行一次定期升级，重大安全漏洞紧急响应时间。支持对多个扫描任务并发执行，支持多任务自动调度；单个任务允许扫描的最大扫描范围不小于一个 B类网段。系统内置不同的策略模板如针对 Unix、Windows 操作系统等模板，同时允许用户定制扫描策略；用户可定义扫描范围、扫描使用的参数集、扫描并发主机数等具体扫描选项。可以在扫描过程中人工指定包括
24、 SNMP、SMB 等常见协议的登陆口令，登陆到相应的系统中对特定应用进行深入扫描。11可定义扫描端口范围、端口扫描策略。是否具备单独口令猜测扫描任务，支持多种口令猜测方式，包括利用 Telnet、Pop3、 Ftp、 Windows SMB、SQL Server、MySQL、Oracle、Sybase 等协议进行口令猜测，允许外挂用户提供的字典档。允许管理员配置扫描通知，在扫描任务运行开始时向被扫描的资产发送扫描通知；能够对扫描结果数据进行在线分析，能够根据端口、漏洞、BANNER 信息、IP 地址等关键字对主机信息进行查询并能将查询结果保存。支持高级数据分析，能够进行历史数据查询、汇总查看
25、、对比分析等，方便进行多个扫描任务或多个 IP风险对比，能够在多个历史任务中，很快的检索到需要关注的资产 IP点。漏洞分析报告应提供在线浏览报告和离线打印报告；离线报表提供针对不同角色的默认模板，允许用户定制报告的内容、报告的格式等。离线报告可以输出到 HTML、WORD、EXCEL（XML）等文件，报告可以直接下载或通过邮件直接发送给相应管理人员，并且输出报表美观可直接打印。对扫描出来的资产的安全漏洞能够发送邮件给对应的资产管理员，通知其限期内修复漏洞并自动对修复进行验证，实现对漏洞的有效跟踪和验证，实现对安全漏洞的有效跟踪和验证。提供对资产风险的多次分析能力，能够有效地分析网络整体和主机的
26、漏洞分布和风险的趋势。支持和微软 WSUS补丁系统的联动，能够在发给主机管理员的邮件中附带自动配置WSUS的注册表文件，方便进行自动化的补丁修补。具有中华人民共和国公安部的计算机信息系统安全专用产品销售许可证。具有国家保密局涉密信息系统安全保密测评中心的涉密信息系统产品检测证书。具有中国信息安全产品测评认证中心的国家信息安全认证产品型号证书。具有中国人民解放军信息安全测评认证中心的军用信息安全产品认证证书。具有中华人民共和国国家版权局的计算机软件著作权登记证。英国西海岸实验室 Checkmark认证证书抗 DDOS攻击（3 台）性能指标 两个 100/1000Base-TX，一个 RS232串
27、口 2U机架式安装 HTTPS、CLI、TELNET、SSH 方式管理设备 针对如下攻击进行防护：Spoofed and Non-Spoofed Attacks- TCP（syns, sync-acks, acks, fins, fragments）- UDP（random port floods, fragments）12- ICMP（unreachable, echo, fragments）- DNSClient Attacks- Inactive and total connections- HTTP Get floodBGP Attacks 平均无故障时间 60,000小时 可防御各类
28、 DDoS攻击及其变种，如 SYN Flood、UDP Flood/UDP DNS Query Flood、(M)Stream Flood和 ICMP Flood、HTTP Get Flood、连接耗尽、Ping of Death、Land、Tear Drop、WinNuke 以及混合拒绝服务攻击； 针对 UDP DNS Query Flood具备专门的防护手段 使用智能攻击流量识别的技术进行防护，而不基于特定规则的方式，即当发生未知攻击，无需专门的撰写规则，即可对这些攻击进行防护 抵御蠕虫攻击。 支持串联部署工作方式；产品能够适应不同的网络环境，支持 RIPv2，OSPF，BGPv4 协议，支持全冗余的 VRRP网络，支持 VLAN； 具备多台设备集群部署的能力，支持在大攻击流量发生时手动或自动启动集群，保证整个系统可用性 支持通过浏览器对设备进行本地或远程的软件升级 支持攻击日志和网络流量统计功能，具备各类 DDoS攻击详细记录的能力注：以上所有设备的报价包含三年质保及系统集成费用。
