四主要技术要求.docx
- 文档编号:10546231
- 上传时间:2023-02-21
- 格式:DOCX
- 页数:75
- 大小:38.18KB
四主要技术要求.docx
《四主要技术要求.docx》由会员分享,可在线阅读,更多相关《四主要技术要求.docx(75页珍藏版)》请在冰豆网上搜索。
四主要技术要求
(四)主要技术要求
序号
货物名称
招标技术要求
1
下一代防火墙(互联网出口区域﹑专网出口区域)
硬件配置
整机吞吐量≥6G;
应用层吞吐量≥800M;
并发连接数≥180W;
每秒新建连接数≥60000;
标准1U机架设备,标配4个千兆电口,2个千兆光口;
SSD64G硬盘;
网络特性
支持802.1QVLANTrunk、access接口,VLAN三层接口,子接口、GRE隧道;
支持静态ARP、ARP代理、DNS、DNS代理、DHCPserver、DHCP中继、SNMPV1/V2/V3/Traps、TCPMSS配置;
路由支持
支持RIPv1/v2,OSPFv2/v3,BGP等动态路由协议;
基础功能
支持连接会话展示,可针对具体的IP地址进行会话详情查询,支持封锁异常会话信息,并支持设置监听具体IP的会话记录;
访问控制规则支持基于源/目的IP,源端口,源/目的区域,用户(组),应用/服务类型,时间组的细化控制方式,支持长连接功能并可以配置连接时长;
内容安全
支持URL过滤,支持GET,POST请求过滤和HTTPS网站过滤;
支持采用无特征AI检测技术对恶意勒索病毒及挖矿病毒等热点病毒进行检测,给出基于AI技术的病毒检测报告;
支持针对SMTP、POP3、IMAP邮件协议的内容检测,如邮件附件病毒检测、邮件内容恶意链接检测,邮件账号撞库攻击检测等,并给出恶意邮件的提示,支持根据邮件附件类型进行文件过滤;
支持识别管控的应用类型超过1200种,应用识别规则总数超过3000条;
支持自定义应用规则;
DoS/DDoS攻击防护
支持Land、Smurf、Fraggle、WinNuke、PingofDeath、TearDrop、IPSpoofing攻击防护;
支持SYNFlood、ICMPFlood、UDPFlood、DNSFlood、ARPFlood攻击防护;
僵尸主机检测
▲设备具备独立的热门威胁库,防护类型包括木马远控、恶意脚本、勒索病毒、僵尸网络、挖矿病毒等,特征总数在60万条以上;
支持对未知域名进行拦截,防止中毒主机访问恶意的域名;
入侵防护功能
支持对服务器、客户端、口令暴力破解、恶意软件等漏洞攻击防护;
支持同防火墙访问控制规则进行联动,可以针对检测到的攻击源IP进行联动封锁,支持自定义封锁时间;
Web应用安全防护
支持HTTP异常协议检测,对Content-Type、multipart头部字段重复的异常协议,URL、HTTP头部溢出等进行识别检测,可对HTTP方法进行过滤;
▲支持对网站黑链进行检测;(需提供相关功能截图证明加盖投标人公章)
支持对网站的恶意扫描防护和恶意爬虫攻击防护;支持其他类型的Web攻击,如文件包含,目录遍历,信息泄露攻击等;
安全可视化
支持针对业务安全的风险汇总,包括现存的存在风险的业务数量,哪些业务存在漏洞、哪些已经遭受攻击、哪些已经失陷;
安全集中管理
支持通过集中管理平台统一配置业务保护策略,包括但不限于ACL、IPS、僵尸网络、内容安全、WEB应用防护,统一定期更新安全规则库,保障业务安全;
身份认证
支持本地密码认证,LDAP、Radius等服务器外部密码认证方式;
支持基于域、Proxy、Pop3、Web、Radius单点登录方式;
系统配置管理
支持以安全策略模板方式快速部署安全策略,安全策略模板支持默认模板和自定义模板等多种格式;
支持安全策略一体化配置,通过一条策略既可实现不同安全功能的配置;
高级威胁
支持高级威胁事件分析,并展示热点事件详情,如全网威胁情报、高级黑客、持续性攻击、网站存在后门(webshell)、黑链、感染流行僵尸网络、大面积病毒感染、外发攻击等,并将高危事件推送到运维管理员手机微信端进行预警;
厂商资质
厂商需是国家信息安全漏洞库CNNVD技术支撑单位;
2
下一代防火墙(WIFI接入出口区域)
硬件配置
整机吞吐量≥6G;
应用层吞吐量≥800M;
并发连接数≥180W;
每秒新建连接数≥60000;
标准1U机架设备,标配4个千兆电口,2个千兆光口;
SSD64G硬盘;
网络特性
支持802.1QVLANTrunk、access接口,VLAN三层接口,子接口、GRE隧道;
支持静态ARP、ARP代理、DNS、DNS代理、DHCPserver、DHCP中继、SNMPV1/V2/V3/Traps、TCPMSS配置;
路由支持
支持RIPv1/v2,OSPFv2/v3,BGP等动态路由协议;
基础功能
支持连接会话展示,可针对具体的IP地址进行会话详情查询,支持封锁异常会话信息,并支持设置监听具体IP的会话记录;
▲支持DNS-Mapping;(需提供相关功能截图证明加盖投标人公章)
访问控制规则支持基于源/目的IP,源端口,源/目的区域,用户(组),应用/服务类型,时间组的细化控制方式,支持长连接功能并可以配置连接时长;
内容安全
支持URL过滤,支持GET,POST请求过滤和HTTPS网站过滤;
支持针对SMTP、POP3、IMAP邮件协议的内容检测,如邮件附件病毒检测、邮件内容恶意链接检测,邮件账号撞库攻击检测等,并给出恶意邮件的提示,支持根据邮件附件类型进行文件过滤;
支持识别管控的应用类型超过1200种,应用识别规则总数超过3000条;
支持自定义应用规则;
DoS/DDoS攻击防护
支持Land、Smurf、Fraggle、WinNuke、PingofDeath、TearDrop、IPSpoofing攻击防护;
支持SYNFlood、ICMPFlood、UDPFlood、DNSFlood、ARPFlood攻击防护;
僵尸主机检测
设备具备独立的热门威胁库,防护类型包括木马远控、恶意脚本、勒索病毒、僵尸网络、挖矿病毒等,特征总数在60万条以上;
支持对未知域名进行拦截,防止中毒主机访问恶意的域名;
入侵防护功能
设备具备独立的入侵防护漏洞规则特征库,特征总数在7400条以上;
支持对服务器、客户端、口令暴力破解、恶意软件等漏洞攻击防护;
支持同防火墙访问控制规则进行联动,可以针对检测到的攻击源IP进行联动封锁,支持自定义封锁时间;
Web应用安全防护
支持HTTP异常协议检测,对Content-Type、multipart头部字段重复的异常协议,URL、HTTP头部溢出等进行识别检测,可对HTTP方法进行过滤;
▲支持CC攻击、CSRF攻击、COOKIE攻击等攻击防护功能;(需提供相关功能截图证明加盖投标人公章)
支持对网站黑链进行检测;
支持对网站的恶意扫描防护和恶意爬虫攻击防护;支持其他类型的Web攻击,如文件包含,目录遍历,信息泄露攻击等;
安全可视化
▲支持业务服务器的自动发现以及业务服务器脆弱性和服务器开放端口的自动识别,支持包含敏感数据业务的识别;(需提供相关功能截图证明加盖投标人公章)
支持针对业务安全的风险汇总,包括现存的存在风险的业务数量,哪些业务存在漏洞、哪些已经遭受攻击、哪些已经失陷;
安全集中管理
支持通过集中管理平台统一配置业务保护策略,包括但不限于ACL、IPS、僵尸网络、内容安全、WEB应用防护,统一定期更新安全规则库,保障业务安全;
身份认证
支持本地密码认证,LDAP、Radius等服务器外部密码认证方式;
支持基于域、Proxy、Pop3、Web、Radius单点登录方式;
系统配置管理
支持以安全策略模板方式快速部署安全策略,安全策略模板支持默认模板和自定义模板等多种格式;
支持安全策略一体化配置,通过一条策略既可实现不同安全功能的配置;
高级威胁
支持高级威胁事件分析,并展示热点事件详情,如全网威胁情报、高级黑客、持续性攻击、网站存在后门(webshell)、黑链、感染流行僵尸网络、大面积病毒感染、外发攻击等,并将高危事件推送到运维管理员手机微信端进行预警;
厂商资质
厂商需是国家信息安全漏洞库CNNVD技术支撑单位;
3
SSLVPN(核心交换区域)
硬件配置
1U机架式设备,标配4个千兆电口,单电源;
SSLVPN加密速度≥100Mbps;
SSLVPN并发用户数≥300;
SSLVPN每秒新建用户数≥60;
IPSecVPN加密速度≥50Mbps;
IPSecVPN隧道数≥3000;
防火墙吞吐量≥150Mbps;
最大并发会话数目≥350000;
部署方式
支持网关模式、单臂模式部署两种方式;
基本特性
专业VPN设备,非插卡或防火墙带VPN模块设备。
支持PC终端使用包括Windows8、Windows7、WindowsVista、Windowsxp、MacOS、Linux等主流操作系统来登录SSLVPN系统,并完整支持该操作系统下的各种IP层以上的B/S和C/S应用;
易用性
可支持虚拟门户功能,在一台设备上配置不同的访问域名、IP地址,以及不同的使用界面,实现一台设备为多个不同用户群体服务的的使用效果;
▲产品应提供环境检测、自动修复工具,支持对Windows的环境兼容性一键检测能力,以及对检测结果进行一键修复的能力,避免由于用户操作系统环境存在问题影响SSLVPN的使用,减轻运维工作。
(需提供相关功能截图证明加盖投标人公章)
终端安全
▲产品应提供HTTPS驱动病毒查杀工具,支持对Windows环境下的针对HTTPS拦截监听的驱动病毒进行扫描查杀,避免因为HTTPS驱动病毒导致无法正常接入和使用SSLVPN(需提供相关功能截图证明加盖投标人公章)
权限控制
支持主从认证账号绑定,必须实现SSLVPN账号与应用系统账号的唯一绑定,VPN资源中的系统只能以指定账号登陆,加强身份认证,防止登录SSLVPN后冒名登录应用系统
身份认证
产品可进行用户名/密码、LDAP、USBKEY、硬件特征码、短信认证或动态令牌的五因素捆绑认证
支持与阿里钉钉、企业级微信绑定,实现其内置OA的安全接入
高速性
支持至少4条外网线路;并能实现基于SSLVPN的智能选路。
▲支持针对不同的web页面进行数据优化,支持动态压缩技术,基于数据流进行压缩,减少不必要的数据传输。
(提供界面配置截图加盖投标人公章)
高管理要求
支持15级以上的管理员分级分权限管理,从Admin派生树形结构下级管理员;上级管理员可分配下级管理员享有设备配置模块权限,可管理的用户、资源、角色权限,并可限制下级管理员是否允许创建下级管理员、创建资源、创建角色;上级管理员可限制下级管理员对权限内配置享有查看或配置权限
支持253台不同型号设备间进行集群(A/A)
防火墙
产品应具备基于状态监测技术的防火墙功能,能够抵抗常见的网络攻击
资质要求
提供中华人民共和国公安部颁发的《计算机信息系统安全专用产品销售许可证》证书并加盖投标人公章。
产品售后服务
1.要求原厂商在本地设有直属办事处等服务机构,以便于为客户提供完善、及时的售后服务。
2.必须提供7×24小时800电话支持;本地化应急服务紧急攻击事件2小时内响应
3.必须提供产品相关的使用和技术培训
4
负载均衡(核心交换区域))
硬件配置
千兆电口≥6个;
系统内存≥4GB;
提供SSD固态硬盘,硬盘容量≥128GB;
吞吐量≥2Gbps;
并发会话数≥350万;
四层新建能力≥8万CPS;
七层新建能力≥5万RPS
产品形态
需采用独立的专用硬件AD应用交付设备,而非通过添加功能模块的方式实现;
设备部署
支持串接部署方式和旁路部署方式,支持三角传输模式。
多合一功能集成
提供针对多条出口线路的链路负载均衡功能,实现inbound和outbound流量的均衡调度,以及链路之间的冗余互备。
提供针对L4/L7内容交换的服务器负载均衡功能,可在单一设备上支持多个应用和服务器集群,可以根据多种算法和要求分配用户的请求。
负载均衡算法
支持轮询、加权轮询、加权最小连接、动态反馈、最快响应、最小流量、加权最小流量、带宽比例、哈希、主备、首个可用、优先级等算法。
可编程流量控制
▲通过某种编程语言(如lua)实现自定义的流量编排,对TCP、SSL、HTTP和HTTPS等类型的流量进行分发、修改和统计等操作。
(提供设备操作界面截图证明材料加盖投标人公章)
链路负载均衡
▲支持基于URL的链路调度功能,内置不少于1000条的国外URL网址库,无需手动导入并支持自动更新,管理员可查看并进行编辑。
可根据URL将访问国外网站的请求调度到指定线路。
(提供设备操作界面截图证明材料加盖投标人公章)
业务交付优化
支持TCP连接复用功能,利用HTTP连接池机制,将来自客户端的多个请求合并成一个连接发送到服务器,减少服务器端的工作负荷,并提升业务效率。
安全加固
▲支持全代理模式的设备部署与业务处理,提供正向代理和反向代理功能,不允许客户端与服务器直接建立连接,由设备分别与其建立连接并提供代理访问,有效降低服务器的安全风险。
至少支持HTTP和socks5等代理协议。
(提供设备操作界面截图证明材料加盖投标人公章及实际的功能测试报告加盖投标人公章)
高可用性
支持双机热备部署方式,可自动同步配置并提供连接会话的镜像功能,实现无缝故障切换;
运维管理
内置智能告警系统,支持E-mail、SNMPTrap三种告警方式,管理员可基于业务安全所关注方面来选择告警触发事件与对应的告警方式,当业务网络环境中发生问题时(如服务器宕机、网络攻击、链路中断等故障场景),即会自动向管理员发送告警信息。
资质要求
所投产品具备国家工业和信息化部颁发的《电信设备进网许可证》(提供复印件加盖投标人公章)
5
万兆防火墙(二级﹑三级服务器区域)
硬件配置
整机吞吐量≥10Gbps;
应用层吞吐量≥2Gbps;
并发连接数≥220W;
每秒新建连接数≥12W;
标准2U机架设备,标配6个千兆电口,4个千兆光口,4个万兆光口;
SATA1T存储;
部署方式
支持路由,网桥,单臂,旁路,虚拟网线以及混合部署方式;
网络特性
支持链路聚合功能;
支持端口联动功能,当上行/下行端口链路出现故障时,对应的另一端下行/上行端口自动切断链路;
路由支持
支持静态路由;
支持动态路由协议;
支持多播路由协议;
基础功能
支持连接会话展示,可针对具体的IP地址进行会话详情查询,支持封锁异常会话信息,并支持设置监听具体IP的会话记录;
访问控制规则支持失效规则识别,如规则内容存在冲突、规则生效时间过期、规则超长时间未有匹配等情况;
访问控制规则支持数据模拟匹配,输入源目的IP、端口、协议五元组信息,模拟策略匹配方式,给出最可能的匹配结果,方便排查故障,或环境部署前的调试;
支持IPv4/v6NAT地址转换,支持源目的地址转换,目的地址转换和双向地址转换,支持针对源IP、目的IP和双向IP连接数控制;
支持基于应用类型,网站类型,文件类型进行带宽分配和流量控制;
▲支持IPSecVPN,SSLVPN等VPN接入方式;
内容安全
支持URL过滤和文件过滤功能,URL过滤支持GET,POST请求过滤和HTTPS网站过滤,文件过滤支持文件上传和下载过滤;
支持采用无特征AI检测技术对恶意勒索病毒及挖矿病毒等热点病毒进行检测,给出基于AI技术的病毒检测报告;
DoS/DDoS攻击防护
支持Land、Smurf、Fraggle、WinNuke、PingofDeath、TearDrop、IPSpoofing攻击防护,
支持对信任区域主机外发的异常流量进行检测,如ICMP,UPD,SYN,DNSFlood等DDoS攻击行为;
Web应用安全防护
支持抵御SQL注入、XSS、系统命令等注入型攻击;
支持CC攻击、CSRF攻击、COOKIE攻击等攻击防护功能;
支持关联上下文,对webshell脚本上传动作进行语法,语义匹配和过滤;
入侵防护功能
支持同防火墙访问控制规则进行联动,可以针对检测到的攻击源IP进行联动封锁,支持自定义封锁时间;
僵尸主机检测
支持对终端已被种植了远控木马或者病毒等恶意软件进行检测,并且能够对检测到的恶意软件行为进行深入的分析,展示和外部命令控制服务器的交互行为和其他可疑行为;
安全集中管理
支持安全设备的集中管理,包括配置统一下发,规则库统一更新,安全日志,流量日志实时上报等功能;
安全监控平台可以查看到每台安全设备最近的有效安全事件及安全有效事件趋势图,支持根据每台安全设备的最近的安全趋势进行安全状况分级;
高可用性
▲双机支持A/S方式部署;
支持配置同步,会话同步和用户状态同步;
支持双机心跳线冗余;
系统配置管理
支持以安全策略模板方式快速部署安全策略,安全策略模板支持默认模板和自定义模板等多种格式;
支持管理员权限分级,支持安全管理员、审计员、系统管理员三种权限;
6
数据库审计(数据库服务区域)
硬件配置
1U机架式设备,单电源;
配置6个千兆电口,2个千兆光口,内置2TSATA硬盘;
单向数据库流量≥400M;
业务流量吞吐>2G;
SQL审计抓包≥10000条SQL语句/s;
日志审计能力≥10亿条/天;
日志留存时长≥90天;
日志检索能力≥20000条/秒;
部署方式
▲审计方式:
旁路交换机镜像、Agent抓包
数据库审计旁路镜像模式部署不影响数据库性能和网络架构;
数据库审计Agent抓包方式支持业务系统和数据库一体化部署的审计
部署方式:
单机(采集器)、多机(管理器)
多机部署支持集中管理,可集中管理多台采集器审计的事件、分析,实现统一配置、统一报表、统一查询;
▲部署环境:
支持虚拟化平台部署
支持导入到主流虚拟化平台以模板的方式部署
支持Sangfor-HCI(vma格式)、Kvm(qcow2格式)、Vmware(ova格式)
部署管理
采用B/S管理方式,无需在被审计系统上安装任何代理;无需单独的数据中心,一台设备完成所有工作;提供图形用户界面,以简单、直观的方式完成策略配置、警报查询、攻击响应、集中管理等各种任务。
支持IPv6协议,可识别IPv6协议的数据流,支持基于IPv6地址格式的审计策略。
审计能力
▲支持多种数据库类型的审计
支持Oracle数据库审计、SQL-Server数据库审计、DB2数据库审计、MySQL数据库审计、Informix数据库审计、达梦数据库审计、人大金仓数据库审计、postgresql数据库审计、sysbase数据库审计。
▲支持同时审计多种数据库及跨多种数据库平台操作
超长SQL语句解析、记录、账号、关联SQL操作语句绑定变量参数。
支持白名单审计,系统使用审计白名单将非关注的内容进行过滤,不进行记录,降低了存储空间和无用信息的堆砌。
支持客户端程序、数据库用户、操作类型、数据库名表名、响应时间、返回行数、影响行数、响应内容等实现对敏感数据库操作的精细监控;
支持HTTP请求审计,可指定GET、POST、URL、响应码进行精细审计。
支持时间段、源IP、客户端程序、业务系统、数据库用户、数据库名、操作类型、表名、返回行数、影响行数、响应时长、响应码等对数据库日志进行精细检索。
支持时间段、源IP、业务系统、搜索关键字等对WEB审计日志进行精细检索。
管理员操作日志检索。
允许查看SQL语句会话日志、柱状图、会话视图等。
数据库安全
▲内置大量SQL安全规则包括如下
内置大量的SQL安全规则可以针对导出方式窃取、备份方式窃取、导出可执行程序、备份方式写入恶意代码、系统命令执行、读注册表、写注册表、暴露系统信息、高权存储过程、执行本地代码、常见运维工具使用grant、业务系统使用grant、客户端sp_addrolemember提权、web端sp_addrolemember提权、查询内置敏感表、篡改内置敏感表等。
支持自定义数据库安全策略,可根据业务需要自定义各种场景的安全规则,对于违规的数据库访问可进行实时警告和阻断。
支持以源IP、业务主机、操作类型、SQL模版、数据库用户为维度的数据库行为趋势。
支持以新型SQL趋势统计、支持SQL响应性能分析。
支持执行SQL语句失败分析,包括登录失败排行,SQL语句失败排行。
▲联动数据库安全系统实现数据库访问可视和威胁分析。
数据库访问可视:
数据库安全系统联动深信服上网行为管理系统和数据安全系统(BA)可以提供数据库系统、业务系统、运维人员、互联网接入之间的访问关系以及交互式分析,可以通过多维度展示具体人员、具体事件、具体内同、高危操作、登录失败、访问次数的视图。
数据库威胁分析:
可以通过自定义交互分析设置正常访问和异常访问视图、数据库泄密分析、数据库风险、外发数据人员、受攻击业务系统、风险总次数这几个维度实时监控内网数据威胁态势方便快速溯源。
支持查看最近的账号安全事件。
支持Syslog告警、SNMPtrap告警、邮件告警,短信告警。
▲旁路主动发rest包阻断技术
Netfilter框架技术可针对IP、端口、业务系统做精准阻断。
系统管理
可以实时监控系统的CPU使用率,内存使用率和磁盘占用率。
快速定位系统的负载压力和系统运行状况。
支持系统日志查看,系统升级,重启操作,磁盘空间自动删除系统必备功能。
7
下一代防火墙(运维管理区域)
硬件配置
整机吞吐量≥2.5G;
应用层吞吐量≥400M;
并发连接数≥100W;
每秒新建连接数≥18000;
标准1U机架设备,标配6个千兆电口;
64GSSD硬盘;
部署方式
支持路由,网桥,单臂,旁路,虚拟网线以及混合部署方式;
网络特性
支持802.1QVLANTrunk、access接口,VLAN三层接口,子接口、GRE隧道;
支持静态ARP、ARP代理、DNS、DNS代理、DHCPserver、DHCP中继、SNMPV1/V2/V3/Traps、TCPMSS配置;
路由支持
支持RIPv1/v2,OSPFv2/v3,BGP等动态路由协议;
基础功能
支持连接会话展示,可针对具体的IP地址进行会话详情查询,支持封锁异常会话信息,并支持设置监听具体IP的会话记录;
支持IPv4/v6NAT地址转换,支持源地址转换,目的地址转换和双向地址转换,支持针对源IP、目的IP和双向IP连接数控制;支持NAT64、NAT46地址转换;
内容安全
支持针对SMTP、POP3、IMAP邮件协议的内容检测,如邮件附件病毒检测、邮件内容恶意链接检测,邮件账号撞库攻击检测等,并给出恶意邮件的提示,支持根据邮件附件类型进行文件过滤;
支持采用无特征AI检测技术对恶意勒索病毒及挖矿病毒等热点病毒进行检测,给出基于AI技术的病毒检测报告;
DoS/DDoS攻击防护
支持SYNFlood、ICMPFlood、UDPFlood、DNSFlood、ARPFlood攻击防护;支持IP地址扫描,端口扫描防护,支持ARP欺骗防护功能、支持IP协议异常报文检测和TCP协议异常报文检测;
支持内网访问控制,配置内网区域只允许指定的IP地址或IP范围对外进行访问,防止内部伪造源IP对外DoS攻击的情况;
僵尸主机检测
▲支持蜜罐功能,定位内网感染僵尸网络病毒的真实主机IP地址;(需提供相关功能截图证明加盖投标人公章)
入侵防护功能
支持对服务器、客户端
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 主要 技术 要求
![提示](https://static.bdocx.com/images/bang_tan.gif)