rock網上基金銷售系統(tǒng)調研報告v.doc

學號1040112323 姓名 李榮飛1040112323 GZ班實驗2 你的系統(tǒng)名稱本次實驗名稱潘正軍JY1011潘正軍UML基礎與Rose建模網上基金銷售系統(tǒng)-調研報告實驗一、 rcok組簡介：組名：rock組長：李榮飛組員：李榮飛口號：if you smell what the rock is cooking圖標，旗幟：二、 任務分配情況1. 組長李榮飛主要負責對此系統(tǒng)的開發(fā)前景，系統(tǒng)的關鍵功能，要解決什么問題和我們的開發(fā)目標。2. 組員李榮飛主要負責對該系統(tǒng)系統(tǒng)需求分析，系統(tǒng)業(yè)務流程及描述，用戶需求，性能需求。3. 組員李榮飛主要負責對此系統(tǒng)的公共類的編寫。三、 本次實驗小結通過本次的系統(tǒng)文檔的編寫，我們深刻體會到要完成一個項目，不只是編碼，文檔的編寫也很重要，而且耗時很多，而且不是一次編寫完畢就完成的，還有需要很多修改和完善的。同時也知道了在開發(fā)一個項目中，團隊成員之間的交流和相互協(xié)作非常重要，一個團隊重要的不是有一兩個人特別牛，而是一個團隊的交流和互相協(xié)作才是至關重要的，決定了一個團隊的工作的效果和效率。同時，我這次也遇到很多初級錯誤，同時我也相信這些錯誤對我以后工作的晚上有莫大的好處。目錄網上基金銷售系統(tǒng)-調研報告實驗1調查過程:背景分析11.1事件一：11.2事件二：11.3事件三：22.對需要解決的問題的認識22.1安全性23.明確項目目標34.存在的困難34.1不可解決的問題：34.2可解決問題：45.對需要解決的問題的認識45.1不可解決的問題的認識：45.2可解決問題的認識：46.附錄：46.1結尾語：46.2參考文獻:51調查過程:背景分析1.1事件一：網上基金銷售信息系統(tǒng)技術指引出臺 二九年十一月二十日這是協(xié)會今年繼網上證券技術指引、證券營業(yè)部技術指引之后出臺的第三個信息技術方面的自律規(guī)則，也是第一個專門針對基金業(yè)的技術指引。“指引的發(fā)布標志著網上基金銷售信息系統(tǒng)建設和管理已有明確的行業(yè)規(guī)范，包括基金公司、證券公司、基金代銷機構的網上基金系統(tǒng)建設和運行管理都將參照該指引的要求?！庇嘘P人士介紹說。近兩年，隨著基金業(yè)蓬勃發(fā)展，投資者通過互聯(lián)網自助式購買基金的方式越來越得到認可。但同時也容易受計算機設備、軟件程序、通信線路等影響而產生“堵單”或中斷。特別是網上系統(tǒng)還面臨黑客攻擊等來自互聯(lián)網的安全威脅，可能給投資者帶來直接的經濟損失。協(xié)會有關人士指出，由于一直以來行業(yè)缺乏統(tǒng)一的技術要求，而一些中小機構投入相對不足，而且對系統(tǒng)建設和管理實踐不夠，有可能存在技術系統(tǒng)安全風險。為此，協(xié)會組織信息化水平居于行業(yè)前列的基金銷售機構，借鑒其建設和管理的經驗措施，制定了適合目前實際情況并兼顧未來發(fā)展趨勢的技術指引，對所有網上基金系統(tǒng)提出了共性要求和技術標準。1.2事件二：而在中國截至目前,外管局已經累計批復152家QFII機構總計298.68億美元的QFII額度。同時,外管局9月12日稱,QFII對我國證券投資穩(wěn)中趨升,一季度流出入基本平衡,二季度凈流入大幅增至15億美元,總體凈增16億美元。1.3事件三：來自英國倫敦大學瑪莉皇后學院計算機系的兩位計算機專家也開發(fā)了類似的運用生物測定技術的網上購物軟件，他們表示，“我們的軟件是基于網上購物者敲擊鍵盤及操作鼠標的特征而開發(fā)的，該軟件有著很強的識別性?！痹蚴敲總€人敲擊鍵盤的節(jié)奏都不同，這便提供了強大的安全保障。但另一方面，用戶可能會因增加成本及隱私的問題而被嚇跑。如VeriSign推出了一項識別網上一些欺騙行為的新服務，獲取這種服務卻需要按月支付一定的費用，而且其每個交易的驗證也要收費，這些費用最終還是會轉移到用戶身上。更重要的是，生物識別技術本身還有一些缺陷。以人臉識別為例，周圍光線、環(huán)境，人的表情、情緒，是否化妝，都會給正確的識別增加困難。識別率不夠將造成什么結果？識別系統(tǒng)也許能將仿冒者成功認出，但也可能會把喝了幾杯酒的你關在交易的大門之外，因為這時候的你完全有可能與“清醒”狀態(tài)時的聲音或敲擊鍵盤的狀態(tài)不一樣。2.對需要解決的問題的認識2.1安全性安全性是目前威脅網上基金銷售系統(tǒng)的最大問題,。威脅來自漏洞，密碼泄露，木馬，病毒，網站釣魚，網絡欺詐行為等等2.1.1網絡欺詐行為2.1.2軟件自身漏洞2.1.3身份認證問題2.1.4木馬，病毒，網站釣魚等問題根據網上基金銷售信息系統(tǒng)技術指引:第三十二條 網上基金銷售信息系統(tǒng)應提供可靠的身份驗證機制，除采用賬號名、口令、驗證碼的身份認證方式外，還應向客戶提供一種以上強度更高的身份認證方式供客戶選擇使用，如，客戶端電腦或手機特征碼綁定、軟硬件證書、動態(tài)口令等認證方式，確認客戶的身份和登錄的合法性，防止不法分子利用木馬等黑客程序竊取客戶賬號和口令。這里明確要求我們使用更安全的方法來提高用戶網絡交易的安全性3.明確項目目標1. 解決項目的安全問題（漏洞最小的目標）2. 提供實時的基金銷售信息3. 提供系統(tǒng)網上查殺，檢查環(huán)境安全功能（同其他公司合作）4. 確保該軟件符合國家的法律法規(guī)要求，保護和尊重用戶的信息4.存在的困難4.1不可解決的問題：1.漏洞是很難以解決的問題。2.如何才能減少網絡欺騙行為的危害。4.2可解決問題：1.網上基金銷售系統(tǒng)的信息如何實時獲取2.公司收入問題。該軟件如何符合市場經濟利益，為公司創(chuàng)收5.對需要解決的問題的認識5.1不可解決的問題的認識：1. 軟件漏洞可以通過更多的測試檢出，2. 通過和其他安全公司合作（如360，金山），減少病毒，木馬對用戶的安全威脅。3. 在每次交易的時候都明顯提示用戶主要網上加以安全。5.2可解決問題的認識：1. 通過尋找導師，或者與相關企業(yè)人員進行人脈的搭建，為軟件的銷售尋找出路2. 通過尋找人加入，尤其是那些銷售基金的內部人員，或相關專業(yè)人員，以便于獲得基金的最新消息。6.附錄：6.1結尾語：第一次第一個人做這么一個項目說明文檔，很多不足，敬請原諒。本人會再后續(xù)的版本中進行完善。6.2參考文獻:網上基金銷售信息系統(tǒng)技術指引6.1第一章 總則第一條 為保障網上基金銷售信息系統(tǒng)的安全、可靠、高效運行，促進基金銷售業(yè)務健康有序發(fā)展，保護投資者的合法權益，依據中華人民共和國證券投資基金法、證券投資基金銷售業(yè)務信息管理平臺管理規(guī)定等法律法規(guī)制定本指引。第二條 在中華人民共和國境內依法設立的基金銷售機構開展網上基金銷售業(yè)務適用于本指引?；痄N售機構是指依法辦理基金份額認購、申購和贖回等業(yè)務的基金管理人，以及取得基金代銷業(yè)務資格的其它機構，包括基金管理公司、商業(yè)銀行、證券公司、證券投資咨詢機構、專業(yè)基金銷售機構等。第三條 網上基金銷售信息系統(tǒng)是指基金銷售機構在網上開展基金銷售業(yè)務活動中所采用的網絡設備、計算機設備、軟件及專用通信線路等構成的信息系統(tǒng),包括網上基金銷售系統(tǒng)服務端、客戶端和門戶網站。第四條 基金銷售機構應采取技術和管理措施，保證網上基金銷售系統(tǒng)的安全性、完整性和可用性，并做好系統(tǒng)信息保密工作。第五條 中國證券業(yè)協(xié)會對基金銷售機構執(zhí)行本指引的情況進行指導和督促。6.2第二章 基本要求第六條 基金銷售機構對網上基金銷售信息系統(tǒng)應統(tǒng)一規(guī)劃、集中管理，保證網上基金銷售業(yè)務安全、有序發(fā)展。第七條 基金銷售機構應制定在網上開展基金銷售業(yè)務的各項安全管理制度，對安全管理目標、安全管理組織、安全人員配備、安全策略、安全措施、安全培訓、安全檢查、系統(tǒng)建設、運行管理、應急措施、風險控制、安全審計等方面作出規(guī)定。第八條 基金銷售機構應將網上開展基金銷售業(yè)務的風險管理納入本機構風險控制工作范圍，建立健全網上基金銷售風險控制管理體系。 第九條 基金銷售機構的網上基金銷售信息系統(tǒng)應部署在中華人民共和國境內，滿足監(jiān)管部門現(xiàn)場檢查要求及中國司法機構調查取證要求。第十條 基金銷售機構應當與投資者簽訂網上基金或網上金融業(yè)務服務協(xié)議或合同，明確雙方的權利、義務和風險的責任承擔，向投資者揭示使用網上基金銷售信息系統(tǒng)可能面臨的風險、基金銷售機構已采取的風險控制措施和客戶應采取的風險防范措施。第十一條 網上基金銷售信息系統(tǒng)應具有向投資者提示交易時間區(qū)間的功能。交易時間區(qū)間應嚴格遵守監(jiān)管機構或交易所的相關規(guī)定。第十二條 網上基金銷售信息系統(tǒng)應由基金銷售機構自主運營、自主管理。如涉及第三方（指除基金銷售機構及其客戶以外的任何一方），必須與第三方簽訂保密協(xié)議和服務協(xié)議，明確責任，采取措施防止通過第三方泄露用戶信息。第十三條 基金銷售機構委托或定制開發(fā)網上基金銷售業(yè)務系統(tǒng)，應與軟件開發(fā)商簽訂詳細的商業(yè)合同及保密協(xié)議，明確軟件開發(fā)商應用軟件中使用的第三方產品具備合法版權。應要求開發(fā)商提供源代碼或對源代碼實行第三方托管。第十四條 基金銷售機構應建立可靠的運行環(huán)境，確?；痄N售系統(tǒng)有充足的處理能力、存儲容量和通訊帶寬，滿足業(yè)務增長的需要。第十五條 基金銷售機構應對網上基金銷售信息系統(tǒng)的各個子系統(tǒng)合理劃分安全域，在不同安全域之間進行有效的隔離，保障網上基金銷售前臺系統(tǒng)與其后臺系統(tǒng)在技術上進行有效隔離，門戶網站和網上基金銷售信息系統(tǒng)進行有效隔離。第十六條 網上基金銷售信息系統(tǒng)各環(huán)節(jié)必須有可靠的熱備或冷備措施，保證整個系統(tǒng)的高可用性。第十七條 用于網上基金銷售信息系統(tǒng)的服務器、操作系統(tǒng)、平臺軟件等應及時進行補丁和版本升級。升級前需進行嚴格的系統(tǒng)測試。第十八條 網上基金銷售信息系統(tǒng)應具備2個或2個以上不同運營商的互聯(lián)網接入，避免在同一運營商的線路接入上出現(xiàn)單點故障和瓶頸。第十九條 網上基金銷售信息系統(tǒng)應部署防火墻、入侵檢測系統(tǒng)或入侵防護系統(tǒng)，并定期對安全日志進行檢查，以提高網上基金銷售信息系統(tǒng)的防護能力。6.3第三章門戶網站第二十條 門戶網站指基金銷售機構建立的實現(xiàn)信息發(fā)布、業(yè)務咨詢、營銷推廣、客戶服務和投資者教育等功能的網站。第二十一條 基金銷售機構門戶網站應在當?shù)仉娦殴芾砭洲k理ICP備案，同時向當?shù)毓ど叹值扔嘘P部門辦理網站備案，在網站首頁公布ICP備案號，提供客戶查詢門戶網站備案信息的鏈接。第二十二條 基金銷售機構應采取有效措施監(jiān)控門戶網站防止被篡改。當網站上的頁面內容、提供給投資者下載的客戶端軟件及其他文件被異常修改時，能及時發(fā)現(xiàn)并恢復。第二十三條 門戶網站中不得存放與基金交易業(yè)務有關的客戶資料、交易數(shù)據等客戶敏感數(shù)據。第二十四條 門戶網站中的客戶賬號及口令，應采用加密方式傳輸，并最低達到SSL協(xié)議128位的加密強度。第二十五條 基金銷售機構應建立對門戶網站內容發(fā)布的審核、管理和監(jiān)控機制，對網頁內容進行監(jiān)控，對有害信息進行過濾，防止網站出現(xiàn)不良信息。 6.4第四章網上基金銷售信息系統(tǒng)客戶端第二十六條 網上基金銷售信息系統(tǒng)客戶端是指基金銷售機構提供的，由基金投資人通過互聯(lián)網、移動通信等非現(xiàn)場方式獨自完成業(yè)務操作的應用系統(tǒng)。第二十七條 網上基金銷售信息系統(tǒng)客戶端應能向客戶提示最近一次登錄的日期、時間等信息。第二十八條 網上基金銷售信息系統(tǒng)客戶端應能在指定 的閑置時間間隔到期后，自動鎖定客戶端的使用或退出。第二十九條 網上基金銷售信息系統(tǒng)客戶端的數(shù)據傳輸應采用國家信息安全機構認可的加密技術和加密強度，并最低達到SSL協(xié)議128位的加密強度。第三十條 網上基金銷售信息系統(tǒng)客戶端如需與銀行等支付系統(tǒng)進行數(shù)據通信時，應使用數(shù)字加密技術（如數(shù)字證書方式）進行嚴格的數(shù)據加密處理防止數(shù)據被篡改。第三十一條 當客戶訪問網上基金銷售信息系統(tǒng)時，未經客戶許可，除提高安全性的控件之外，不得以任何方式在客戶系統(tǒng)中安裝插件。第三十二條 網上基金銷售信息系統(tǒng)應提供可靠的身份驗證機制，除采用賬號名、口令、驗證碼的身份認證方式外，還應向客戶提供一種以上強度更高的身份認證方式供客戶選擇使用，如，客戶端電腦或手機特征碼綁定、軟硬件證書、動態(tài)口令等認證方式，確認客戶的身份和登錄的合法性，防止不法分子利用木馬等黑客程序竊取客戶賬號和口令。第三十三條 基金銷售機構為基金客戶網上開立基金交易賬戶時，應當要求基金客戶提供身份證明信息，并采取等效實名制的方式核實基金客戶身份。第三十四條 基金銷售機構應采取有效技術措施，識別與驗證使用網上基金銷售業(yè)務服務的投資者的真實、有效身份，并應依照與投資者簽訂的協(xié)議對投資者操作權限、資金轉移或交易限額等實施有效管理。第三十五條 網上基金銷售信息系統(tǒng)客戶端不得在客戶本地計算機儲存客戶賬戶、口令等重要信息。存儲其它信息應當提示客戶，本地數(shù)據存儲只是參考數(shù)據，應當以基金銷售機構記錄數(shù)據為最終準確數(shù)據。第三十六條 網上基金銷售信息系統(tǒng)客戶端應當具有基金客戶交易口令復雜度控制和提醒機制，提醒客戶定期修改口令；系統(tǒng)自動生成的初始口令，必須有最小生存期限制或強制客戶修改，禁止系統(tǒng)自動生成相同口令或弱口令；基金客戶口令的修改和取回操作要有日志記錄。6.5 第五章 網上基金銷售信息系統(tǒng)服務端第三十七條 網上基金銷售信息系統(tǒng)服務端是指基金銷售機構通過互聯(lián)網向客戶提供網上基金交易、基金賬戶信息查詢等服務的信息系統(tǒng)，包括互聯(lián)網接入、安全防護與監(jiān)控、應用服務、身份認證等相關子系統(tǒng)。第三十八條網上基金銷售信息系統(tǒng)服務端應能向客戶提供可證明服務端自身身份的信息，如提供預留驗證信息服務，在客戶登錄時向客戶顯示預留的驗證信息, 以幫助客戶識別仿冒的網上基金信息系統(tǒng)，防止不法分子利用仿冒的網上基金信息系統(tǒng)進行詐騙活動或盜取用戶賬號、口令等信息。第三十九條 網上基金銷售信息系統(tǒng)應保障對客戶的授權不被惡意提升或轉授，防止客戶訪問未經過授權的數(shù)據,使用未經授權的功能。第四十條 基金銷售機構開展網上基金銷售業(yè)務，需要對客戶信息和交易信息等使用電子簽名或電子認證時，應遵照國家有關法律法規(guī)的規(guī)定。網上基金銷售信息系統(tǒng)采用的認證授權和加密體系應具備足夠的強度和抗攻擊能力，并根據網上基金銷售業(yè)務的安全性需要和信息技術的發(fā)展，定期檢查，適時調整。第四十一條 網上基金銷售信息系統(tǒng)未經基金銷售機構授權不得與第三方進行任何形式的數(shù)據交換，并具備經過認證后僅向指定地址發(fā)送信息的功能。第四十二條 網上基金銷售機構應保證網上基金數(shù)據傳輸?shù)谋Ｃ苄?、完整性、真實性和可稽核性，對網上基金交易的客戶信息、交易信息及其他敏感信息進行可靠的加密，不得存在任何中間環(huán)節(jié)對數(shù)據進行加解密處理。第四十三條 網上基金銷售信息系統(tǒng)服務端應能夠抵御連續(xù)猜測，防止攻擊者通過對合法賬戶進行大規(guī)模非法登錄請求，導致大量用戶賬戶被異常鎖定，正常用戶無法登錄。第四十四條 網上基金銷售信息系統(tǒng)服務端應對異常情況進行監(jiān)控，并具有相應報警功能。第四十五條 網上基金銷售信息系統(tǒng)服務端對數(shù)據包被篡改、異常重發(fā)等情況需具有應對能力。第四十六條 網上基金銷售信息系統(tǒng)服務端應能在指定的閑置操作時間限制到期后，自動終止用戶對系統(tǒng)的訪問權。第四十七條 網上基金銷售信息系統(tǒng)服務端應能產生、記錄并集中存儲必要的日志信息，日志信息應至少包含能識別服務請求方身份的內容，如，登錄終端的IP地址、MAC地址、手機號碼和終端特征碼等，并確保數(shù)據的可審計性，滿足監(jiān)管部門現(xiàn)場檢查要求及司法機構調查取證的要求。第四十八條 網上基金銷售信息系統(tǒng)服務端應能夠有效屏蔽系統(tǒng)技術錯誤信息，不將系統(tǒng)產生的錯誤信息直接反饋給客戶端。第四十九條 網上基金銷售信息系統(tǒng)服務端應能夠提供系統(tǒng)運行狀況信息(如活動狀態(tài)、并發(fā)在線客戶數(shù)目、并發(fā)會話數(shù)目、線程數(shù)目、隊列長度等)、錯誤信息、安全警告等。第五十條 網上基金銷售信息系統(tǒng)應具備防范SQL注入、跨站腳本、Session欺騙、拒絕式服務攻擊和緩沖區(qū)溢出等攻擊的能力。第五十一條 網上基金銷售信息系統(tǒng)服務端對于客戶口令等數(shù)據應當以密文形式存儲。 6.6 第六章 安全管理第五十二條 網上基金銷售信息系統(tǒng)的開發(fā)、測試人員及環(huán)境應與運營人員及生產環(huán)境分離。開發(fā)、測試人員未經授權不得訪問、修改非職責范圍內的網上基金銷售信息系統(tǒng)。第五十三條 基金銷售機構應對網上基金銷售信息系統(tǒng)中包括網絡安全設備、服務器以及應用系統(tǒng)在內的賬戶進行嚴格管理，賬戶權限應按最小權限原則設置，清除所有冗余、與應用無關的賬戶，并嚴格限制各管理員賬戶的使用，禁止用最高權限賬戶執(zhí)行一般操作，盡量避免以最高權限賬戶運行網上基金銷售信息系統(tǒng)服務端應用軟件。第五十四條 系統(tǒng)各級管理用戶和口令應由專人負責，在系統(tǒng)允許的情況下，口令長度應在12位（含12位）以上，且含有字符和數(shù)字，區(qū)分大小寫，并定期更改。第五十五條 基金銷售機構應定期進行網上基金銷售系統(tǒng)的漏洞掃描和滲透測試工作，及時發(fā)現(xiàn)系統(tǒng)中存在的各種安全問題并及時修補。第五十六條 原則上不允許通過互聯(lián)網對網上基金銷售信息系統(tǒng)（如防火墻、網絡設備、服務器等）進行遠程管理和日常維護等操作，對網上基金銷售信息系統(tǒng)的訪問控制應做到： （一）關閉網上基金銷售信息系統(tǒng)所有與業(yè)務和維護無關的服務及端口，嚴格控制防火墻中的權限設置，確保按“最小權限原則”進行設置；（二）對于網上基金銷售信息系統(tǒng)的內部訪問，應嚴格限制訪問源；（三）特殊緊急情況下需要通過互聯(lián)網進行遠程操作時，應通過限制登錄IP、使用數(shù)字證書或動態(tài)口令、全程監(jiān)控等措施確保安全，并在操作完成后，及時關閉相關端口。第五十七條 基金銷售機構應當確保網上基金銷售信息系統(tǒng)服務器采取技術手段防止惡意代碼（病毒等）運行、傳播。對于防病毒軟件，要保證病毒庫的及時更新，定期對系統(tǒng)進行全面的病毒掃描。第五十八條 基金銷售機構應采取有效措施對門戶網站上提供下載的網上基金客戶端軟件程序進行保護，客戶端軟件程序編譯封裝、形成下載文件后，對其進行嚴格的病毒掃描和木馬檢查，并通過專用安全手段傳輸至網站文件下載服務器。第五十九條 基金銷售機構應對網上基金銷售信息系統(tǒng)進行實時監(jiān)控，建立異常事件的甄別、報警、處理和報告機制。網上基金銷售信息系統(tǒng)實時監(jiān)控范圍應包括各種安全設備、網絡設備、服務器設備及操作系統(tǒng)、通訊線路狀態(tài)、數(shù)據庫、應用軟件等。監(jiān)控內容包括其運行狀況、日志內容、安全警告等，應