曲靖市沾益区财政局网络标准化改造及安全等保二级测评采购公告ZYCG2022-10（竞谈）

序号

建设内容

数量

单位

技术参数

1

防火墙

1

台

1.产品支持不少于8个10/100/100 (略) 电口，2个10/100/1000M SFP口，支持不少于1个扩展槽，支持单电源，1U机箱，网络层吞吐量不小于6Gbps，应用层吞吐量不小于3Gbps，并发连接数不小于*，每秒新建连接数不小于*，包含3年软硬件维保服务，设备功能包括ACL控制、应用识别与流控、入侵防御、 (略) 络检测等功能；

2. (略) 由、透明、 (略) 线、旁路镜像、混合等多种部署方式，同时防火墙支持一虚多功能，适应复杂使用环境的接入要求；

3.产品支持IPSec VP (略) 功能， (略) 质量实 (略) 切换；

4.产品支持IPv6访问控制策略设置，基于IPv6的IP地址、服务、域名、应用、时间等条件设置访问控制策略；

5.产品支持对不少于9000种应用的识别和控制，应用类型包括游戏、购物、图书百科、工作招聘、P2P下载、聊天工具、旅游出行、股票软件等类型应用进行检测与控制；

6.产品预定义漏洞特征数量超过*种，支持在产品漏洞特征库中以漏洞名称、漏洞ID、漏洞CVE标识、危险等级和漏洞描述等条件快速查询特定漏洞特征信息，支持用户自定义IPS规则；

7.产品支持僵尸主机检测功能，产品预定义特征库超过*种，可识别主机的异常外联行为，产品支持勒索病毒检测与防御功能，产品支持CC攻击防护功能，产品支持未知威胁检测能力；

8.产品支持对常见Web应用攻击防御，攻击类型至少支持跨站脚本（XSS）攻击、SQL注入、文件包含攻击、信息泄露攻击、WEBSHELL、网站扫描、网页木马等类型，产品预定义Web应用漏洞特征库超过4700种；

9.产品支持用户账号全生命周期保护功能，包括用户账号多余入口检测、用户账号弱口令检测、用户账号暴力破解检测、失陷账号检测，防止因账号被暴力破解导致的非法提权情况发生；

10.产品支持策略生命周期管理功能，支持对安全策略修改的时间、原因、变更类型进行统一管理，便于策略的运维与管理。

2

网络入

侵防御系统

1

台

1.标准1U机架式设备，吞吐量不低于12G,并发连接数不低于280W，配备不少于6个千兆电口，不少于4个千兆光口；

2. (略) 出站负载，支持基于源/目的IP、源/目的端口、协议、ISP、应用类型以及国家地域 (略) (略) (略) 功能；

3.访问控制规则支持数据模拟匹配，输入源目的IP、端口、协议五元组信息，模拟策略匹配方式，给出最可能的匹配结果，方便排查故障，或环境部署前的调试；

4.访问控制规则支持基于源／目的IP，源端口，源／目的区域，用户（组），应用/服务类型，时间组的细化控制方式，支持长连接功能并可以配置连接时长；

5.支持基于应用类型，网站类型，文件类型进行带宽分配和流量控制，支持基于时间、地域、认证用户、子接口和VLAN等因素实现对象的流量控制；

6.支持SYN Flood、ICMP Flood、UDP Flood、DNS Flood、ARP Flood等DoS/DDoS攻击防护；支持IP地址扫描和端口扫描防护；

7.设备具备独立的入侵防护漏洞规则特征库，特征总数在7000条以上；

8.设备具备独立的热门威胁库，支持木马、勒索软件、蠕虫、挖矿病毒等种类，特征总数在*条以上；

9.支持在同一个 (略) 所有服务器的安全状况进行风险评估，支持对当前所有业务的安全防护状态进行动态保护，支持对所有已被入侵和受控的设备进行风险检测与分析，针对风险可以实现快速响应与处置；支持手动评估功能，自动展示最终的风险；

10.支持产品安全能力图谱，可展示设备对资产防护的有效性，对当前的风险预测、风险防御、风险检测能力进行展示，并对当前资产安全状态进行评级；同时展示当前设备的安全能力等级，展示每日安全能力的更新情况；

11.支持基于攻击阶段图的方式来匹配并展示当前用户遭受到攻击的具体所处状态，并详细给出针对性处理建议，便于用户快速响应安全问题；

12.支持安全策略一体化配置，通过一条策略快速实现不同安全功能的配置，简化策略配置工作。

3

全网行为管理

1

台

1.支持准入用户数不少于500，每秒新建认证会话数不低于4000，1U设备，至少提供4个千兆电口，不低于4G内存，磁盘容量不低于128G；

2.支持部署在IPv6环境中，设备接口及部署模式均支持IPv6配置，所有核心功能（上网认证、应用控制、流量控制、内容审计、日志报表等）都支持IPv6；

3.支持802.1x认证，支持对接本地和AD域用户源， (略) 模式部署下准入生效，支持基于802.1x的外部CA证书认证，同时支持在线证书状态查询（OCSP）；

4.支持图形化查 (略) IP使用情况，帮助管理员减少人工维护IP表的工作量；

5. (略) 用户的web访问质量进行检测， (略) 络提供清 (略) 络质量评级，支持以列表形式展示访问质量差的用户名单 ，支持对单用户进行定向web访问质量检测；

6.支持20款以上主流杀毒软件的运行情况、软件版本、病毒库更新时间检查，对不满足检查要求的终端可重定向页面修复、弹窗提示、限制权限、 (略) ；

7.支持二维码认证，担保人扫描访客的二维 (略) 络访问授权；支持访客填写信息、担保人填写信息、免填写信息三种模式;

8.支持PC端常用操作系统：微软Windows XP以上常用版本，其他符合党委政府要求的正版国产化操作系统，能有效管理至少120电脑客户端，能安全 (略) 由器、 (略) 络打印 (略) 络；

9.支持终端调用管理员指定脚本/程序以满足个性化检查要求，比如检测系统更新是否开启、开放端口、已安装程序列表、终端发通知等对不满足检查要求的终端可弹窗提示、 (略) ；

10.告警事件中增加违规外联告警选项，用于对违规外联行为使用进行预警；

11.支持阻断终端用户使用外设，防止终端 (略) 拷贝信息，必须支持便携设别（收集、相机）、存储设备、网络设备、蓝牙设备、摄像头、打印机的使用管控；

12.不允许使用外部HTTP代理，不允许使用外部Sock4/5代理，不允许在HTTP,SSL一些的标准端口上使用其他协议（比如在80端口上传输非HTTP协议数据，在443端口上传输非HTTPS协议数据等）；

13. (略) 环境下实现客户端应用审计、U盘审计、IM审计，外发行为日志留存在终端本地，终 (略) 后同步到设备日志中心; (略) 环境下，已配置的外设管控、外联管控、访问控制策略保持生效;

14.支持对终端上U盘和移动硬盘接入设置可读写、拒绝、可读、告警;支持允许特定的外设（包括U盘/存储设备）在终端上使用，并提供批量获取硬件ID的工具;

15.支持终端调用管理员指定脚本/程序以满足个性化检查要求，比如检测系统更新是否开启、开放端口、已安装程序列表、终端发通知等对不满足检查要求的终端可弹窗提示、 (略) 。

4

日志审计

1

台

1.软硬一体化，2U机架式设备，至少提供6个千兆电口；不少于2个万兆光口；可管理资源数≥50个，内存≥16G，硬盘容量≥4T，支持licence扩容，日志数据至少保存半年以上；

2.支持主动、被动相结合的数据采集方式，支持通过Agent采集日志数据，支持通过syslog、SNMP Trap、JDBC、WMI、webservice、FTP、文件\\文件夹读取、Kafka)等多种方式完成日志收集；

3.支持接入TLS加密方式的日志，支持对日志传输状态、最近同步时间进行监控，可统计每个日志源的今日传输量和传输总量；

4.支持通过正则、分隔符、json、xml的可视方式进行自定义规则解析，支持对解析结果字段的新增、合并、映射；

5.支持对每个日志源设置过滤条件规则，自动过滤无用日志，满足根据实际业务需求减少采集对象发送到核心服务器的安全事件数， (略) 络带宽和数据库存储空间的占用；

6.支持对单个/多个日志源批量转发，支持定时转发，可通过syslog和kafka (略) ，并且支持转发原始日志和已解析日志的两种日志；

7.支持通配符、范围搜索、字段等多种输入方式、搜索框模糊搜索、指定语段进行语法搜索；可根据时间、严重等级等进行组合查询；可根据具体设备、来源/目的所属（可 (略) 、内网资产等）、IP地址、特征ID、URL进行具体条件搜索；支持可设置定时刷新频率，根据刷新时间显示实时接入日志事件；

8.支持解码小工具，按照不同的解码方式解码成不同的目标内容，编码格式包括base64、Unicode、GBK、HEX、UTF-8等；

9.支持自定义审计规则与关联规则， (略) 站攻击、漏洞利用、C&C通信、暴力破解、拒绝服务、主机脆弱性、主机异常、恶意软件、账号异常、权限异常、侦查探测等内置关联分析规则，内置关联分析规则数量达到350条以上；

10.支持对IPv4/ipv6对象的自动发现功能，对自动发现的设备可以修改、删除或转为资产，支持告警事件归并、告警确认和告警归档，支持基于频率、频次、时间的设定条件；

11.日志进行归一化操作后，对日志等级进行映射，根据不同日志源统计不同等级下的日志数量；

12.提供管理员账号创建、修改、删除，并可针对创建的管理员进行权限设置；支持IP免登录，指定I (略) ；支持只 (略) ；支持页面权限配置和资产范围配置，用于管理账号权限，满足用户三权分立的需求，支持usb-key认证。

5

交换机

1

台

1.整机最大支持交换容量≥432Gbps，包转发率≥166Mpps；

2.整机配置千兆电口≥48个，万兆SFP+≥4个；

3.配置标准USB接口，支持U盘快速开局，支持MAC地址≥16K；

4.支持ARP表项≥4K，支持4K个VLAN，支持Voice VLAN，基于端口的VLAN，基于MAC的VLAN，基于协议的VLAN；

5.支持Smart link，支持 1:1 和 N:1 VLAN Mapping 功能；

6.支持RIP.RIPng.OSPF.OS (略) 由协议 ；

7.支持IPv4 FIB表项≥4K，支持IGMP v1/v2/v3 Snooping；

8.支持防止DOS.ARP攻击功能.ICMP防攻击；

9.支持端口隔离.端口安全.Sticky MAC；

10.支持 IP.MAC.端口.VLAN的组合绑定，支持DHCP Snooping.DHCPv6 Snooping功能。

6

门禁

1

套

门禁一套。

7

消防

1

套

灭火设备一套

8

等保二级测评

1

项

严格按国家有关标准规范完成等级备案，确保等级测评验收通过；编制相关档案资料并存档，取得相关公安部门出具的备案证明。