长沙市司法局：“智慧法治”本地安全体系设备信创适配改造服务项目采购需求公开

名称

环境参数

总体要求

交付产品必须确保能在采购单位现有目标环境中稳定兼容运行。若因产品兼容性问题导致无法实现合同目的，采购单位有权不予验收，并解除合同。

服务器型号

中兴通讯***** **（采购方已具备，不包含在本项目中）

***

***技术架构，******Ⅲ*********（******Ⅲ********核**.**************含散热片）和******Ⅲ*********（******Ⅲ********核**.**************含散热片）（采购方已具备，不包含在本项目中）

服务器端操作系统

统信服务器操作系统。（采购方已具备，不包含在本项目中）

客户端操作系统

银河麒麟、统信、中标麒麟等国产主流操作系统。（采购方已具备，不包含在本项目中）

数据库

国产主流数据库，需要保证兼容性、可移植性、维护保障支持力度等。

中间件

国产主流中间件，需要保证兼容性、可移植性、维护保障支持力度等。

*.云安全管理平台

（*）安全资源池集成***应用防火墙、云数据库审计、云主机安全防护、云堡垒机、等安全组件，可自选安装；

（*）资产管理和服务编排能力，可对虚拟机、网段等资产进行分组管理，资源变更配置、创建、销毁；

（*）跨区云安全资源池监控告警、告警策略编辑、告警事件管理，**展示资源监控状况；支持存储资源监控，能对本地存储、分布式存储、机械硬盘、***硬盘进行实时监控、分析和预警；

（*）安全报表生成、管理及报告模板编辑能力；

（*）具备构建网元组件弹性伸缩组的能力，通过弹性伸缩组提供网元组件高可用、负载均衡、热增热减等能力，支持超大流量场景的网元业务访问；

（*）基于安全网元伸缩组的策略配置服务，可统一向伸缩组配置安全防护策略，具备策略备份、恢复能力；

（*）支持大网引流，通过流量控制器，可实现运营商级大网流量调度的无缝对接能力，以及池内外流量调度；支持大网流量无缝对接能力，包括但不限于****、*****、**** ***、***路由、****端到端等引流方式，实现大网流量接收、处理、转发。具备灵活的服务链编排能力，支持不依赖物理交换机的安全资源池内***网络配置，实现单物理服务器内、跨物理服务器流量调度，支持安全网元组件的多种工作模式下的服务链编排，包括但不限于透明模式、透明代理模式、路由模式等；

（*）支持****加速功能，使得网卡数据不通过***直接传输到内存，从而提升大流量传输速度，速度可达物理网卡速度级别；

（*）支持记录系统的所有操作日志，可对所有的操作日志进行检索、导出，日志滚动存储*个月以上，并支持自定义备份。

（**）具备与短信平台等第三方异构系统的对接能力。

*.云安全*堡垒机组件

（*）支持统一账户管理、统一身份认证和密码管理策略，支持***、***、短信、数字证书二次认证，支持密码强度、密码有效期、口令尝试死锁、用户激活等安全管理功能；支持用户分组管理;支持用户信息导入导出；

（*）提供基于用户、用房组、目标设备、时间、协议类型**、行为等要素实现细粒度的操作授权，可基于用户到资源、用户组到资源、用户到资源组、用户组到资源组授权，用户组和账户组内的新增成员可自动继承授权关系；

（*）支持的运维协议包括但不限于***、***、***、******、*****、*********、*******、***等；

（*）支持不限操作系统类型，无需安装任何客户端插件，使用浏览器通过**方式即可直接运维***、***、******、***和应用发布资源；

（*）支持运维事件事中控制，实时监控正在运维的会话，包括运维用户、运维客户端地址、资源地址、协议、开始时间等信息，监控信息与客户端信息完全一致；可根据配置的安全策略对运维操作进行检测，实时告警和阻断违规操作；

（*）支持运维事件事后审计，对常用运维协议如***/***/******/**** /****/*****/***/***/***等会话过程进行完整的记录，审计结果可以录像和日志方式呈现，录像信息包括运维用户名称、目标资源名称、客户端**、客户端计算机名称、协议名、运维开始时间、结束时间、运维时长等信息；对运维操作会话可进行单项、组合查询，提供录像回放，回放可快放、慢放、拖拉，支持键盘输入关键字定位回放，支持回放文件下载；

（*）报表功能，提供任务报表、会话报表、告警报表、日志报表等，并可仪表盘展示。

*.云安全****应用防火墙组件

（*）****/*****协议安全。可完整解析****/*****，支持各种****/*****编码，提供严格的****/*****协议验证，提供****限制及支持类字符集编码；

（*）威胁识别与拦截。可根据安全策略实时过滤****/*****请求中混杂的非法恶意流量，如***注入、***等，安全策略不少于**种，包括但不限于识别及拦截***注入攻击、跨站脚本攻击、代码注入攻击、本地文件包含攻击、远程文件包含攻击、命令注入攻击、****注入攻击、***模板注入攻击、****响应拆分攻击、系统命令执行攻击、***注入攻击、备份文件攻击、信息泄露、*******代码执行攻击、******表达式攻击、********攻击、文件上传攻击、常见系统漏洞攻击、****脚本攻击、*******、*****解析漏洞攻击、恶意*********、*******、***************、软件漏洞等攻击，对零日攻击、未公开漏洞可根据威胁情报学习、增强动态防御能力；

（*）挂马防护及后门检测。具备通过爬虫和网页挂马检测对服务器侧响应的网页内容进行是否植入恶意代码的在线检测能力，提供本地后门扫描功能；

（*）提供文件修改合法性检查能力。***可对指定的网页文件操作请求进行合法性检查，避免网页被恶意篡改；

（*）支持黑白名单配置。可设定可信**（白名单）和非法**（黑名单），禁止黑名单对任何***服务器的访问；

（*）支持透明代理模式、路由代理模式、端口镜像模式部署。

（*）提供必要的日志信息，包括设备管理日志、网页安全日志、防篡改日志、访问控制日志、***访问日志等。

*.云安全*数据库审计组件

（*）支持手动添加数据库功能，支持自动发现网络中存在的数据库功能；支持包括******、*********、***、*****、******、达梦、********、神通、人大金仓、**********、*****、****、*******、*****、*****、*****************、********************、****、*******、******、*****、*******、************等超**种类型的数据库；

（*）审计策略配置功能。支持对访问的时间、访问客户端**、客户端***、客户端端口号、源应用程序名、数据库用户、数据库**、数据库***、数据库、操作对象、操作类型、***内容、***结果内容、执行时长（毫秒）、响应状态、影响行数、返回行数、匹配的策略、风险等级等内容进行审计；支持自定义审计策略，可以自定义审计策略的参数和审计粒度，可实现精准定位操作对象与指令类型；

（*）支持多方式部署。可以采用旁路镜像或*****方式部署，适配物理机、私有云及公有云环境，支持云环境*****部署，无需底层流量镜像，单套系统可审计多数据库；

（*）支持数据库连接工具白名单功能，可自动忽略数据库连接工具访问数据库的默认操作，已内置上百条语句；

（*）支持数据脱敏功能，支持对审计日志中敏感字段（如用户名、表名、个人身份信息等）进行模糊化处理；

（*）支持回溯功能，通过多维度查询（如时间、用户、指令）快速定位审计记录，支持千万级数据秒级回显，支持以曲线连接多点的形式展示用户的访问来源、目标、操作的轨迹；

（*）支持实施威胁检测功能，可对越权访问、***注入等危险操作实时告警；

（*）支持数据库漏洞检测功能，支持对***、******、*****、********、******、达梦*主流关系型数据库的漏洞检测；支持对***、******、*****、*****、********、******、神通、达梦、金仓等主流关系型数据库的敏感数据自动发现，并针对敏感数据制定相应审计策略；

（*）支持审计报告生成功能。依据《数据安全法》《网络安全法》等法规，生成可追溯的审计报告，支持审计日志查询、录像回放及指令检索；

（**）支持审计日志检索与可视化功能，可通过多维度查询（如时间、用户、指令）快速定位审计记录；

（**）性能要求：峰值***处理能力不小于**万条/秒；

*.云安全*云主机安全组件

（*）支持反病毒功能，内置反病毒引擎，反病毒引擎支持防感染模式、网络映射驱动器扫描等多种能力；支持自定义扫描程序***使用率、内存占用大小阈值；支持单独界面对容器及镜像资产进行病毒查杀，开启病毒扫描功能，可对容器镜像资产进行仅扫描、扫描并自动处理等病处理方式；支持终端的病毒查杀，内置防病毒引擎数量≥*个；

（*）支持漏洞扫描及修复功能，具备漏洞管理能力，支持*******、*****及麒麟、统信等国产操作操作系统，对扫描出的操作系统漏洞、第三方组件漏洞能执行一键修复或者进行关联规则设置，解决系统应用层面高危漏洞利用问题；

（*）支持操作审计功能，支持命令审计开关，可配置需监控命令操作类型，包括危险命令执行、黑客工具下载、明文密码显示、外部下载或上传、危险赋权及其他操作，并记录发生时间、终端名称、**地址、上报命令操作类型、命令内容、命令进程及登录用户和**等命令审计事件信息；系统日志监测：可通过审计记录用户登录时间、操作行为、资源访问等信息，生成安全报表，帮助管理员发现未授权访问或异常操作；

（*）支持入侵检测和识别功能，支持对********、反弹*****、暴露破解、恶意扫描、敏感操作、本地提取等入侵行为的检测和展示；具有入侵行为溯源功能，能够通过入侵检测报告展示发起入侵设备的**地址等详细信息；

（*）支持***应用主防检测，支持***、***、****等脚本语言应用，可通过跟踪***应用请求上下文识别攻击行为，如任意命令执行、文件上传、任意文件读写、********反序列化、*******等基于传统签名方式无法有效检测的应用漏洞攻击行为；

（*）支持安全标准检查功能，系统内置提供安全检查标准库和用户自定义检查库，能够根据标准库和自定义库开展安全检查。标准库包含：勒索防护检查标准库、*******等保三级检查标准库、*****等保三级/二级检查标准库、国产操作系统等保三级/二级检查标准库；能够根据检查结果生成检查报告，向管理员展示检查出的紧急、高危、中危、低危漏洞；

（*）支持自定义体检功能，支持安全检测策略设置，用户可自定义安全体检项；内置独立发现的***组织情报，包括介绍、***、**域名、常用漏洞等情报，***组织数量≥**个；支持结合情报，对终端是否失陷进行快速检测；

（*）支持数据传输与存储加密功能，可支持*******、*****及麒麟、统信等国产操作操作系统，通过***/***协议加密数据传输，静态数据加密保护存储在云主机的敏感信息；

（*）支持云主机账户安全加固功能，可以自动检测云主机用户的弱口令，强制要求复杂密码策略（含大小写、特殊字符），并启用账户锁定机制（如连续输错密码后冻结账号）；

（**）支持策略管控，提供管理策略约束功能，超级管理员可对策略进行锁定，其他管理员不可针对此项策略进行修改，只能执行此策略；

（**）支持云主机分组管理功能，管控的云主机数量≥**个（以*******、*****及麒麟、统信等国产操作操作系统合计）。

*.安全大脑*大数据中心

（*）支持多种类安全设备和应用系接入，包含但不限于主机、服务器、防火墙、***/***、***、其他网络设备、其他安全设备、数据库、应用系统、中间件、存储设备、虚拟化设备、机房设备、云平台（***）等，且本项目中所包含的其他所有网络安全设备和应用系统均可以接入，进行统一管理；

（*）支持***探针数据接入和联动功能，支持在单一界面进行*** 探针数据接入、联动响应对接。并对系统接入的*** 探针进行统一管理，展示接入***探针或三方数据源概况；

（*）支持数据解析功能，支持在线配置数据解析规则；支持添加、删除、重命名、合并、拆分与裁剪现有字段，对范式化后字段再解析处理。支持字段解析的自动化智能推荐，能够根据该日志数据的特点自动推荐匹配优先的对象类型，同时在字段映射时自动推荐靠前的字段类型；通过数据解析可实现识别目标设备数值异常（如流量突增）、目标设备被异常访问，可实现访问流量特征提取，针对已知威胁和未知威胁的特诊进行自动识别和分析；

（*）支持日志匹配功能，支持针对日志中的源地址、目的地址、主机 **、日志来源地址这四个字段，匹配系统中存储的资产信息、地理信息（***）、网段信息，补全资产、***、网段数据到日志、告警中；支持自定义丰富化策略，指定日志中的任意字段，上传映射表，富化需要的字段；

（*）支持丰富的配置功能，支持按属性、对象、事件/设备*层结构进行数据标准化配置，属性、对象、事件/设备均支持客户自定义配置；在自定义配置中用户可以对对象、事件/设备、属性进行增加、修改、删除、查询、分组管理等实用性操作；

（*）支持隐私属性配置，针对用户口令等字段，配置隐私属性，实现对数据加密存储，仅对高权限账号展示原文；

（*）支持日志查询和索引功能，支持定义日志数据存储策略，对采集到的不同日志，能够依据源目地址、名称、级别等字段进行灵活筛选；支持数据存储高速索引、全部索引分区，并可分别配置高速索引、全部索引存储时间，提高数据查询性能；支持在日志中下钻查询到设备、应用系统、对应的策略；

（*）支持数据分权功能，新建组织机构后，系统自动为该组织机构分配日志、告警、安全事件、资产漏洞的默认权限，在此基础上用户可以根据实际业务需求进行字段级别的权限细化调整；还支持按照组织机构配置用户对业务数据的查看权限，并对历史数据生效；

（*）具备运维监控功能，支持系统的“引擎监控”、“组件监控”和“集群监控”，覆盖节点部署模块运行情况，支持点击下钻查看详情包括***、内存、网络、磁盘等使用情况；

（**）支持安全事件报告生成功能，用户可以自由组合特定时间段、特定网段、特定设备、特定类型风险、特定防护策略等参数，由系统自动生成相应的安全事件报告；

（**）支持安全应急响应预案功能，用户可以自定义配置由特定事件触发应急预案，用户可以通过自定义预案对象、触发机制、预案关联设备、预案动作或命令、预案执行等参数来构建满足日常防护需求的应急预案。其中预案对象包括云主机、应用系统、数据库等类型；其中触发机制包括但不限于发现异常访问流量、发现未授权访问、发现数据流量异常；其中预案动作或命令包括但不限于隔离受影响终端、封禁恶意**/域名、禁用入侵账户等遏制措施。

*.安全大脑*指挥运营中心

（*）支持安全态大屏展示功能，系统内置大屏模版≥*种，包括但不限于威胁攻击态势、资产安全态势、安全事件态势、安全成果态势、综合安全态势、威胁情报态势、运行监控态势、大数据中心态势、***运行态势；还支持自定义大屏，包括创建、编辑、预览、删除等操作，以满足不同场景需求；

（*）支持自定义仪表盘功能，可以根据需要添加不同的监控组件，自定义选择过滤条件和过滤条件组的监控组件添加、修改和删除。支持从仪表盘下钻至具体事件、告警、资产等并且可直接配置下钻选项，支持跳转到自定义的其它仪表盘，实现仪表的嵌套来满足分析需要；

（*）支持威胁图谱统一检索功能，可对外网**、内网**、样本****、账号、域名、主机等*类实体进行统一检索，跳转到对应详情页；并支持对上述*类实体的网络连接关系进行图谱绘制，以拓线图谱的方式展示本实体与其他内外网实体之间的关联互访关系，标记出各实体的类型与风险等级，通过图谱快捷交互展示关联实体的概要信息并跳转至详情页进行查看；支持检索一键切换**可视化分析，通过可视化**图表自定义展示与分析，图表展示包括基础柱状图、分组柱状图、堆叠柱状图、百分比堆叠柱状图、基础折线图、多条折线图、基础条形图等类型≥**种；

（*）支持威胁关联分析规则配置功能，系统内置威胁关联分析规则≥***条；支持关联规则根据数据标准进行规则编写的自动化推荐，系统根据事件类型自动推荐其所属的对象，并且可由系统自动判断规则内容是否与事件类型匹配。支持告警调整规则配置管理，包括新建、删除、编辑、导入导出等；具备时序关联分析、非时序关联分析、互斥关联分析等能力；

（*）支持安全事件查看功能，支持查看安全事件详情，包括但不限于概览、威胁图谱、告警、相关证据、影响面和处置信息等；支持自动化威胁猎捕模型，可在线编写脚本语言算法模型模拟分析人员溯源取证的过程，基于告警为入口触发条件的威胁场景自动溯源分析，向前、向后自动抽取若干分钟、小时和天为单位的数据，结合时间、过滤条件关联，多层逻辑嵌套、自动聚合分析包括日志、流量、告警等内容，聚合跨阶段展示整个威胁事件；支持将安全事件中所有涉及到的实体、实体之间的关系进行可视化呈现；支持实体上下文信息自动化补全，上下文信息包括不限于攻击者情报、历史攻击行为，受害者资产信息等，支持直接下钻到威胁图谱和情报详情查阅；

（*）支持攻击信息提炼功能，支持从所有产生的告警中，提炼出外网攻击者的**列表和******列表，方便快速针对具体攻击者做分析研判；支持展示攻击者威胁图谱分析，支持在图谱上进行操作包括****预案执行、多源查询、添加自定义情报等。支持使用系统内置情报或手动上传的情报包对历史数据进行回扫，排查历史攻击行为；支持手动创建回扫任务或者配置自动回扫任务；

（*）支持情报数据更新功能，可以云端拉取或本地导入情报包，其中***情报包含恶意文件信息、恶意域名信息、恶意**信息、注册表项信息、端口信息等，数量≥****万，含***、挖矿、勒索、后门、僵木蠕等**多种各种恶意软件相关失陷检测情报，覆盖域名、**:****、***等多种数据类型；攻击源**情报，含普通扫描、渗透扫描、漏洞利用、暴力破解等**多种攻击源**类型，并以小时级周期性下发更新；

（*）支持工单管理功能，支持设置工单标题、优先级、截止时间、组织机构、受理人、是否需要审批、工单通知方式、工单内容、工单附件；支持工单状态闭环管理，关闭工单时，可设置是否更新相关威胁告警/安全事件/漏洞的处置状态为“已处置”；

（*）支持知识图谱技战术热力图，通过颜色深浅来代表该技术的攻击强度；支持***** *******;**之外扩展出具备中国特有的技战术总结；

（**）支持资产信息管理功能，能够按资产组分视图展示，支持联动配置资产组中的设备/应用系统信息；

（**）支持等保信息更新联动功能，应用系统中等保相关信息支持与合规管理中相关的等保任务可以实现联动更新；

（**）支持对接配置本项目中流量威胁分析系统；支持自定义流量检测规则，可配置协议类型、规则名称、威胁等级、特征、匹配模式、攻击源等字段；

*.流量威胁分析系统

硬件参数要求：**机架式设备，国产***，内存≥****，硬盘≥***，千兆电口≥*个，千兆光口≥*个，冗余电源；流量采集性能≥***；

功能要求：

（*）内置黑***检测规则≥**万条，黑***检测规则≥****条，动态域名检测规则≥****条，流量检测规则≥*.*万条，攻击确认规则覆盖全部告警信息；

（*）支持协议和文件类型识别功能，支持对***、***、****、****、****、****、****、***、******、***、****等至少**种网络协议进行采集和协议还原，支持至少**种文件类型还原和识别，包括***、***、***、***、***、****、***、***、***等类型，支持自定义扩展文件类型，支持自定义协议类型；

（*）支持实时威胁检测功能，可以提供相关攻击手段样例*******截图辅助进行分析研判；支持通过域名、***、**进行威胁情报检测，本地威胁情报的数据≥***万条，威胁情报类型包含***攻击、勒索软件、挖矿软件、网银木马、窃密木马、黑客工具、后门软件、僵尸网络、常规木马、其他远控等；支持**种以上***特种木马家族的通信特征指令检测，包括攻击目标为中国的组织例如美人鱼、验证器、海莲花、摩诃草、蔓灵花、奇幻熊等；

（*）支持在线解码****/****等协议，还原数据包内容以识别异常行为；

（*）支持已捕获数据包的上传检测功能，重现网络攻击过程，能够为深度溯源提供取证和技术支持；

（*）支持挖矿活动检测，对挖矿活动生命周期各个阶段进行检测，在侦察阶段，支持对资产探测、端口扫描行为的检测；在投放植入阶段，支持漏洞植入利用行为检测，支持文件传递虚拟沙箱动静态行为预警；在控制阶段，支持僵尸网络、***网络等通信控制行为的检测；在挖矿运行阶段，支持挖矿通信、矿池连接通信行为的检测；在横向移动阶段，支持内网横向漏洞攻击、端口扫描、暴力破解等横向攻击拓展行为的检测；

（*）支持对勒索软件***检测，包括程序下载地址、关联域名、**、***等。支持恶意文件动态行为检测，自动提取样本所释放的衍生文件并进行检测；支持*********提取，能将*********反汇编成汇编代码；

（*）支持通过机器学习模型检测恶意文件，并支持通过机器算法对恶意样本分类，至少包含病毒、木马、后门、蠕虫、广告等*种分类方式；

（*）支持加密流量解析功能，能够对加密流量进行分析，支持对木马、蠕虫等恶意软件使用的****证书进行检测，支持离线证书链验证、自签名证书识别、证书使用有效期判定、通配符证书识别、多域名证书识别、弱哈希算法识别等功能，支持不少于***个家族加密攻击流量的识别；支持识别***组织远控木马产生的伪装类***流量，检测类型包括长度异常检测、明文异常检测、域名异常检测、触发异常检测、证书异常检测和握手异常检测，可识别不少于**种***远控木马；支持提取***/***流量传输层元数据和应用层元数据并对数据流进行预处理，利用恶意***检测模型实现对恶意***流量识别，预警异常***。

（**）支持数据包还原功能，能够还原会话；支持对多种常见协议的登录行为数据进行还原，包括： *** ******、*******等；还原的信息包括账号、密码等信息；支持通过双向会话流数据进行二次分析，判定攻击的结果状态，包括攻击成功、失败、未知；）

（**）支持对接安全大脑*指挥运营中心；

部署方式要求：系统支持桥接、流量镜像、***等部署方式，可在不干扰现有网络架构的前提下捕获全量流量；支持按**地址、协议类型、端口等条件过滤捕获目标流量