附件《昆山農(nóng)商銀行手機銀行APP安全加固招標(biāo)要求》

附件：《昆山農(nóng)商銀行手機銀行APP安全加固招標(biāo)要求》

一、技術(shù)要求

手機銀行APP加固要求

基本要求

提供對昆山農(nóng)商行發(fā)布的APP進行安全檢測及安全加固服務(wù)。

加固后的APP客戶端接受昆山農(nóng)商行組織的實際攻擊及破解測試。

APP加固項目共分兩個階段，首次加固和加固驗收后一年服務(wù)周期。

首次加固技術(shù)要求

投標(biāo)人安排技術(shù)人員現(xiàn)場提供APP加固服務(wù)，負責(zé)加固后的APP在測試環(huán)境、正式環(huán)境的正常使用。

投標(biāo)人負責(zé)將產(chǎn)品需部署在昆山農(nóng)商行指定要求的機房設(shè)備內(nèi)。

投標(biāo)人不得限制安全加固APP類型數(shù)量。

投標(biāo)人不得限制安全加固APP客戶端數(shù)量。

支持后臺靜默升級及升級流量控制，以在用戶無感知的情況下整體或局部自動更新或回退APK包，且可以不通過應(yīng)用市場。在升級過程中無提示，無彈窗，用戶體驗好。

加固后應(yīng)用安裝包大小、內(nèi)存占有率、CPU占有率等不能降低用戶加固前體驗。加固后對各類手機兼容性保證，需通過第三方手機檢測平臺兼容性測試，測試機型500款以上，比原包兼容性不能低5%.并提供性能測試報告。

加固后應(yīng)用不能影響客戶端穩(wěn)定性，不能導(dǎo)致應(yīng)用崩潰。

支持安卓及IOS加固。（支持安卓4.3以上版本，IOS7.0以上版本）。

應(yīng)用檢測及加固要求，包括但不限于：

序號

加固內(nèi)容

1

服務(wù)器證書校驗

2

中間人攻擊

3

密碼鍵盤截屏

4

activity劫持

5

activity導(dǎo)出

6

進程注入

7

攔截客戶端關(guān)鍵代碼

8

逆向分析

9

二次打包

10

調(diào)試信息是否關(guān)閉

11

本地數(shù)據(jù)庫是否加密

12

cookie清理機制

13

數(shù)據(jù)是否能被第三方應(yīng)用訪問

14

程序是否能被動態(tài)調(diào)試或泄露敏感信息

15

程序數(shù)據(jù)任意備份

16

權(quán)限誤用

17

組件間通信中的隱式發(fā)送

18

WebView相關(guān)漏洞測評

19

SecureRandom猜解

20

兼容性測試

加固驗收后一年服務(wù)周期的要求

負責(zé)培訓(xùn)招標(biāo)方的技術(shù)人員，培訓(xùn)周期已招標(biāo)方技術(shù)人員獨立完成加固工作為止。

投標(biāo)人提供7X24小時的遠程APP加固技術(shù)支持服務(wù)；遠程支持無法解決的問題，需4小時內(nèi)到達現(xiàn)場支持。

提供渠道監(jiān)測服務(wù)，包括實時預(yù)警，強制下架等。

服務(wù)周期內(nèi)至少提供兩次以上滲透測試服務(wù)，滲透測試范圍，包擴但不限于昆山農(nóng)商銀行手機銀行系統(tǒng)；

提供應(yīng)急響應(yīng)服務(wù)，范圍包括：對手機銀行應(yīng)急響應(yīng)服務(wù)，以及昆山農(nóng)商銀行其他信息安全事件的應(yīng)急響應(yīng)。每年至少提供兩次免費的現(xiàn)場應(yīng)急響應(yīng)服務(wù)，配合行方解決安全事故。對新出現(xiàn)的安全隱患漏洞及時更新，并通知昆山農(nóng)商銀行進行升級。

安全事件及時響應(yīng)，安全事件可能影響或已影響昆山農(nóng)商銀行聲譽的安全事件發(fā)生時，響應(yīng)時間2小時內(nèi)，并盡快解決問題。

可能存在的臨