網上銀行目前已成為商業銀行業務創新、渠道拓展以及競爭力提升的重要手段，網銀業務因其較低的經營成本，方便快捷的交易途徑，已對傳統柜面營業網點形成了明顯的替代效應。與此同時，網上銀行面臨的安全威脅形勢依然比較嚴峻，其中比較常見的安全威脅主要是來自互聯網的掃描探測、拒絕服務攻擊、網絡釣魚攻擊、網頁篡改、URL劫持、蠕蟲病毒等惡意代碼的侵襲等，而且安全威脅越來越集中于應用層，如SQL注入、跨站腳本(XSS)攻擊等。嚴重的攻擊威脅可能會對網上銀行業務帶來以下一些影響：
網銀業務中斷。由于黑客對網銀系統發起拒絕服務攻擊，尤其是比較隱蔽的諸如TCP半連接攻擊等，大量消耗WEB服務器資源，導致用戶無法訪問網站及網銀系統。
賬號、密碼以及資金被盜。入侵者可能通過惡意SQL命令的執行，獲取數據讀取和修改的權限；XSS攻擊則將目標指向了Web業務系統所提供服務的客戶端以及系統管理員，從而獲得管理員權限，控制網銀網站，或竊取網銀用戶賬號密碼等信息。
網站頁面被篡改。網銀業務賴以運轉的網絡設備、操作系統、應用軟件等都會不可避免的出現一些安全漏洞，攻擊者可能利用這些安全漏洞對網銀系統發起攻擊，篡改網站頁面,對商業銀行將帶來不良的社會影響。
解決方案
到底該如何對網上銀行的攻擊進行深層次安全防御？天融信基于多年來銀行安全建設經驗以及對網銀業務的深刻理解，采用天融信TopIDP3000系列高端入侵防御設備，針對商業銀行網上銀行安全提出了深層次防御方案，對來自互聯網的訪問數據進行深層次檢測與防護。天融信TopIDP3000系列高端入侵防御設備采用先進的多核處理器硬件技術，集成入侵檢測與防御、病毒過濾、流量管控和URL過濾等功能，通過新一代并行處理技術，設置檢測與阻斷策略對流經TopIDP的網銀訪問流量進行分析過濾，對異常及可疑流量進行積極阻斷，從而提高網銀系統的整體安全性。
該方案在網上銀行互聯網入口處部署專用的高性能入侵防御設備，采用串接的方式部署于網上銀行互聯網接入干路中，同互聯網防火墻協同，TopIDP入侵防御設備主要負責對4-7層的攻擊與威脅行為進行深度檢測與防護，保障網銀用戶合法的應用訪問請求，阻斷非法的訪問請求或惡意攻擊行為，如下圖所示：
方案優勢
天融信網上銀行安全深層次防護方案具有如下一些特點及優勢：
靈活部署
天融信TopIDP支持混合部署模式，即可以采取在線串接部署模式，也可以采用旁路部署模式，充分發揮一機多用的效能，用戶可根據實際需要將該TopIDP產品旁路部署于關鍵網絡區域中交換機鏡像端口，也可以部署于網絡內部核心服務器前端，保護相應的網絡資源。此外，在線串接部署時還支持透明、路由、NAT等模式，客戶可根據實際需要進行細粒度配置。
高可用性設計
天融信TopIDP產品提供軟、硬雙BYPASS功能，保障鏈路在各種情況下的通暢。軟件BYPASS是在入侵防御引擎關鍵進程出現異常或需要重新啟動（如軟件升級重啟系統，軟件故障等）的情況下啟動；硬件BYPASS是在入侵防御引擎出現硬件故障或掉電的情況下啟動，多途徑確保鏈路通訊正常。TopIDP還支持光口bypass功能（需另行配置光口bypass交換機產品），可以通過特定的觸發狀態（斷電或死機），使兩個網絡不通過IPS設備，而直接物理上導通。此外，在鏈路高可用性設計方面，天融信TopIDP產品支持主-主、主-備以及負載均衡部署模式，從鏈路層面提高用戶對網銀業務系統訪問的高可用性。
高性能
TopIDP采用先進的多核處理器硬件平臺+并行處理技術+自主知識產權操作系統TOS（Topsec Operating
System），內置處理器動態負載均衡專利技術。在軟件實現方面，TopIDP產品在目前多核處理器硬件平臺基礎上，將并行處理技術成功融入天融信自主知識產權的安全操作系統TOS中，集成多項發明專利，形成了先進的多核架構技術體系。此外，TopIDP采用多引擎并行檢測機制，內置五大檢測引擎，分別是攻擊檢測引擎、病毒惡意代碼檢測引擎、應用識別檢測引擎、URL過濾引擎、惡意網站過濾引擎，并行檢測內外部攻擊數據流量，以提高檢測的效率。通過公開對比測試結果顯示，TopIDP在100%背景流量、策略全開情況下，性能測試結果達到業界領先水平。
強大的規則庫
天融信TopIDP內置五大檢測規則庫，包括攻擊規則庫、病毒惡意代碼庫、應用識別規則庫、URL規則庫、惡意網站庫等。其中，攻擊規則庫能夠實時檢測和阻斷包括溢出攻擊、RPC攻擊、WEBCGI攻擊、拒絕服務、木馬、蠕蟲、系統漏洞等在內的超過2800種網絡攻擊行為，能實時檢測并精確阻斷當前主流應用層攻擊行為，包括SQL注入攻擊、XSS攻擊等黑客攻擊行為；病毒與惡意代碼規則庫與國際國內知名防病毒廠商卡合作，在TopIDP產品中引入了著名的karpersky safestream（或江民）網絡病毒庫，采用基于數據流的檢測技術，能夠檢測包括木馬、后門和蠕蟲在內的新近流行的超過2萬種網絡病毒。TopIDP產品采用基于目標主機的流檢測引擎，可即時處理IP分片和TCP流重組，有效阻斷各種逃逸檢測的攻擊手段。