序号

技术指标

具体要求

*

硬件参数

▲高度≦**；***（**核心**线程）≥*，内存≥****，****≥***、***≥****，支持*****部署，接口类型：千兆电口≥*个，万兆光口≥*个，***接口≥*个；剩余接口扩展槽≥*个；双电源，提供*年软件升级授权和*年威胁情报中心授权；（提供承诺函，格式自拟，并加盖供应商公章）

*

性能指标

▲流量处理能力≥**；（提供承诺函，格式自拟，并加盖供应商公章）

*

安全态势监控

支持多个维度的动态实时展示大屏，至少应包括安全综合态势大屏、威胁态势大屏、漏洞态势大屏、资产态势大屏、文件威胁大屏等，对大屏中展示的数据支持下钻查询；

*

支持从用户威胁、外部威胁、内部威胁、外连威胁、对外威胁等维度进行安全态势的分析及呈现，同时支持综合威胁态势、资产态势、漏洞态势、文件态势和机构威胁态势等维度来进行安全态势呈现及大屏展示；

*

支持检测资产安全，支持通过**流量自动提取和分析出资产手机号码信息，并关联资产呈现，点击资产详情可以查看事件详细信息、访问关系；

*

支持攻击关系分析，以攻击者视角展示针对每个攻击目标所采用的攻击手段的攻击关系视图，同时展示攻击事件的攻击手段***统计，以及每种攻击手段的描述说明，并支持下钻；

*

重保监测

支持在护网/重保期间，通过设置关注业务系统**进行实时监控，可设置项包含但不限于最近一小时、最近*小时、最近**小时、最近**小时、最近一周，威胁类型排行包含但不限于黑客攻击、***注入、缓冲区溢出、命令执行、敏感访问、***攻击、信息泄露、目录遍历、跨站脚本、文件上传、木马病毒，可针对性地选择对应的威胁类型，界面呈现仅重点关注的事项；

*

分析模型

支持自定义攻击事件分析模型，至少包括：事件规则匹配模型、事件统计分析模型、事件关联分析模型；内置**种及以上安全事件分析模型，如冰蝎********通信、利用******上传********、********安全工具扫描、*******工具扫描等；

*

支持自定义配置的分析条件，配置维度包括：***、****方法、****域名、****状态码、***解析域名、***指纹、***版本、***服务端协议版本、***客户端协议版本、文件类型、文件哈希值、恶意文件家族、****发件人等；

**

**能力

**恶意流量的智能识别：支持基于机器学习的加密流量下的恶意软件通信识别，至少包括******* ******僵尸网络活动检测；支持基于机器学习的提取攻击者真实访问的***，全面掌握攻击者的攻击意图和访问记录，包括：攻击者**、攻击者***、访问行为的原始报文等；

**

支持**判真功能，存在多个攻击手段的攻击事件显示为**判真事件，**判真事件在设备界面将存在存在**判真标识；

**

支持**自动处置功能，当处置列表有昨天的处置信息，今天没有处置信息时，攻击事件支持自动按照昨天的处置历史信息进行处置，攻击事件被盖上相应的处置标签，历史处置记录按时间轴形式显示处置时间、设备信息或备注信息，处置列表新增一条处置信息，显示处置目标、所属机构、数据来源、威胁等级、威胁资产数量、事件类型、处置来源、处置手段、处置时间、生效日期和备注信息；

**

**威胁

支持查看**威胁的日志统计数据，包括攻击级别分布，攻击名称****和手机号****统计图以及**威胁事件的列表；支持查看**威胁日志的攻击列表展示，包括攻击者、受害者、所属机构、攻击类型、攻击名称、关键字、发现时间；

**

**威胁单条威胁日志展示的主机信息包括源**、源端口、目的**、目的端口、协议、资产的机构分组或非资产的国家名，检测信息包括发现时间、检测引擎、攻击名称、攻击级别、攻击类型、数据来源、特征**、解释说明和解决方案；

**

威胁分析功能

支持以饼状图、柱状图、折线图等形式展示整网攻击次数总览、攻击类型***、攻击者***、受害者***、不同维度的攻击趋势以及攻击级别数量分布等；

**

支持不少于*个维度的威胁分析，包含但不限于外部威胁、外连威胁、对外威胁、内部威胁、用户威胁、**威胁等*个方向展开分析；

**

支持从攻击者和受害者视角分别展示用户威胁列表，至少包括：用户名称、攻击类型、攻击名称、发起或遭受攻击次数等，并支持下钻展示单个用户发起或遭受攻击的列表及详情；

**

支持从用户维度统计威胁信息，至少包括：攻击级别分布、发起攻击用户***、遭受攻击用户***、攻击类型***、攻击名称***和攻击趋势等；

**

支持时间轴溯源分析，以时间轴的形式展示攻击者在入侵全过程中各个入侵时间节点中的攻击目标、攻击次数、攻击手段以及攻击阶段，同时提供各攻击手段安全处置建议；展示该攻击事件历史的处置记录；

**

攻击溯源

支持基于*******;**框架的攻击链分析，内置不少于**个入侵阶段的攻击链知识库，入侵阶段包括但不限于：侦察目标、资源开发、初始访问、命令执行、持续控制、权限提升、防御规避、凭据访问、环境观察、横向移动、收集信息、命令控制、窃取数据、侵害破坏；

**

支持攻击事件时间溯源轴展示匹配上的威胁建模模型信息，攻击手段显示模型名称，事件类型显示威胁建模设置的事件标签，覆盖的攻击阶段显示威胁建模设置的攻击链，安全处置建议显示威胁建模设置的处置建议；

**

支持时间轴溯源分析，以时间轴的形式展示攻击者在入侵全过程中各个入侵时间节点中的攻击目标、攻击次数、攻击手段以及攻击阶段，同时提供各攻击手段安全处置建议；展示该攻击事件历史的处置记录；

**

支持多层溯源功能，开启多层溯源后，默认展示两层溯源信息，攻击手段在展示图中消失(改为显示受害者**），右侧展示攻击手段****及描述信息；支持选择****层进行溯源，溯源层数不足时默认展示可溯源的最高层数，不同层源使用不同颜色区别展示，并可点击攻击者跳转查看攻击事件详情；

**

资产画像

支持资产画像功能，可显示资产的外部访问的流量统计信息、访问的源**、目的**、访问方式和流量趋势；内部访问的流量统计信息、访问的源**、目的**、访问方式和流量趋势；外连访问的流量统计信息、访问的源**、目的**、访问方式和流量趋势；

**

安全处置

支持对于已检测出的网络攻击，联动现网安全防护设备下发处置任务，联动处置的设备类型至少包括：应急处置系统、***、***、**等，支持通过平台查看、导出和搜索处置列表，可针对正在生效的处置记录进行失效处理；

**

支持****自动编排功能，攻击事件匹配上剧本设定的攻击条件、机构分组、**等信息后，攻击事件按照剧本设置的处置策略如封禁、白名单、判认、忽略、邮件、通报等处置手段进行处置，攻击事件被盖上相应的处置标签，处置列表显示处置目标、数据来源、联动设备、处置状态、处置信息、所属机构、处置来源、处置手段、操作用户、处置事件、备注信息；

**

威胁情报检索

支持独立的威胁情报检索模块，可根据**、域名、文件哈希等进行威胁情报检索功能；支持对检索到的威胁情报进行展示，展示内容包括：级别、类型、时间、评分、关联情报，以及影响的资产范围；

**

系统管理

支持自定义弱密码字典的增删改查，可用于检测自定义的弱密码，弱密码字典支持对事件和密码进行筛选和检索；

**

支持信任列表的增删改查，可用于过滤无需流量采集设备进行检测的具体**或攻击，信任列表支持源**、目的**、攻击类型、攻击名称等的组合配置和下发；

**

支持对流量采集设备进行本地安全策略配置，并下发到对应探针，策略至少包括：采集接口配置、日志服务器地址和流量分析策略（标准模式、增强模式、深度模式和专家模式），其中分析策略中专家模式支持自定义攻击策略（包含信息探测、访问风险、流量攻击、恶意软件、***安全事件、远控代理、密码攻击、漏洞攻击、高敏库、行业属性）、采样等级、高级设置（至少包含：访问日志策略、端口扫描阀值、**扫描阀值、***头部、**引擎、自定义弱口令规则、攻击上下文存储和**检测引擎等的配置）；

**

大数据安全模块

具备高容错、高吞吐量的数据处理能力，其中组件至少包括但不限于**********、******、*****、*****、********、***********、*********、*********、*************、**等**种大数据组件，并可监控各组件运行状况；

**

产品资质

▲所投产品具备公安部《计算机信息系统安全专用产品销售许可证》或 网络安全专用产品安全检测证书，提供复印件，并加盖厂商公章。

**

联动要求

▲基于业务及运维安管理要求，态势感知需具备与终端检测与响应系统联动，实现多维度的安全监测及阻断的能力（提供承诺函，格式自拟，并加盖供应商公章）

序号

技术指标

具体要求

*

硬件参数

▲高度≤**；***（*核心*线程）≥*，内存≥***，硬盘≥**，剩余硬盘扩展槽≥*，接口类型：千兆电口≥*个，万兆光口≥*个，***接口≥*个；剩余接口扩展槽≥*个，配置双电源；（提供承诺函，格式自拟，并加盖供应商公章）

*

性能参数

▲流量采集能力≥**；（提供承诺函，格式自拟，并加盖供应商公章）

*

流量采集功能

网络流量全量采集并解析成待检测数据。包括数据采集、会话还原、协议识别、文件还原模块，主要于底层捕获流量信息，并进行协议识别还原；

*

通过旁路镜像采集网络全部流量，支持在线支持同时接入多个镜像口，每个口相互独立不影响，设备部署不影响原有网络结构；

*

弱口令检测功能

可自定义弱口令规则，低、中、高三种密码规则，结合预定义弱口令字典，对弱口令威胁的检测更准确;界面可展示检测的弱口令威胁日志，有关键字的会展示关键字;单条弱口令的详情展示包括主机信息、检测信息和数据包信息，主机信息包括源**、源端口、目的**、目的端口、协议、资产的机构分组或非资产的国家名，检测信息包括发现时间、检测引擎、攻击名称、攻击级别、攻击类型、数据来源、特征**、用户名、密码、解释说明和解决方案；

*

支持查看、下载原始攻击数据包，打开数据包可查看到报文信息;可展示检测的弱口令访问日志，访问信息包括用户名和密码;单条弱口令的详情展示包括但不限于主机信息、检测信息和数据包信息，主机信息包括源**、源端口、目的**、目的端口、协议、资产的机构分组或非资产的国家名，检测信息包括但不限于发现时间、数据引擎、威胁名称、威胁级别、威胁类型、数据来源、解释说明、解决方案、关键字、特征**、特征描述等信息；

*

漏洞扫描检测功能

支持多种恶意系统漏洞扫描检测，主机渗透攻击检测，至少包括：系统漏洞攻击、命令注入、应用程序漏洞攻击、*********攻击、***漏洞攻击、***漏洞攻击、邮件漏洞攻击、文件漏洞攻击、网络设备漏洞攻击、浏览器漏洞攻击、***系统漏洞攻击、多媒体应用漏洞攻击、******漏洞攻击、****漏洞攻击等；

*

隐匿隧道报文解析

支持多种协议的隧道报文解析，至少包括：****、****、***等协议的隧道通信；

*

**威胁检测功能

支持**威胁检测：支持对**协议解析和威胁检测，可以通过平台查看**威胁的日志统计数据，包括攻击级别分布，攻击名称****和手机号****统计图以及**威胁事件的列表。支持**威胁检测，至少包括****关联建立信令风暴、****关联修改信令风暴、****关联删除信令风暴、****会话建立信令风暴、****会话修改信令风暴、****会话删除信令风暴、非法终端等；

**

***渗透攻击检测功能

支持多种***渗透攻击检测，至少包括：***注入、跨站脚本、代码注入、文件上传、目录遍历攻击、文件包含、端口扫描、目录扫描、漏洞扫描、*******扫描、暴露面探测等；支持多种恶意软件检测，至少包括：勒索病毒、挖矿软件、僵尸网络、*********、蠕虫病毒等；

**

**检测能力

支持基于机器学习的加密流量下的恶意报文识别，至少包括******* ******僵尸网络活动检测；支持基于机器学习的提取攻击者真实访问的***，全面掌握攻击者的攻击意图和访问记录；

**

挖矿检测功能

支持多种类型挖矿病毒检测，至少包括：*****挖矿病毒、**********挖矿木马、****************挖矿蠕虫、*********挖矿木马等；支持多种协议的暴力破解，至少包括：***、***、****、***等协议；支持多种数据库的漏洞攻击，至少包括：*****、******、********* *** ******和*****等数据库；

**

流量存储

全包存储：支持全流量报文的存储，以及远程调取、查看和下载功能；

**

支持全流量存储规则配置，至少包括：会话保存天数和深度、系统预留空间、协议保存优先级，其中能设置优先级的协议有****、*****、***、***、***、****、****、***、****、****、***等；

**

适配对接

支持与态势感知平台自动化对接。