网络安全防护系统征求意见公告（第一次）

序号

模块名称

详细的技术参数

*

入侵防御

一、硬件规格

★*.标准机架设备；采用国产化***和国产化操作系统；

*.采用双硬盘架构，系统盘≥***，数据盘≥** ***；配备千兆电口≥*个(至少包含*组******接口)，≥*个千兆光口，≥*个万兆光口，支持≥*个接口扩展槽；至少具备*个***接口，*个***口。

*.大吞吐量≥** ****；***吞吐量≥* ****；最大并发连接数≥***万；每秒新建会话数≥**万。

二、功能要求

*.支持路由、透明、混合和虚拟线模式，支持各种***转换功能，包括源***、目的***转换等；支持针对最大并发会话、每秒新建会话配置限制策略；

*.支持目的路由、源路由、源接口路由等静态路由；支持***、****、****、******、***等动态路由；支持基于源、目的、用户、应用、服务和时间表的策略路由。支持****功能，可实现邻居设备对网络拓扑变化信息的收集。

*.系统支持二层、三层、****等类型的安全域配置，安全域可绑定一个或多个接口，不同的安全域可自定义应用识别、病毒过滤、入侵防御、攻击防护、高级威胁检测、***过滤、沙箱检测及数据安全等安全防护功能。

*.支持扩展威胁情报功能，支持热点威胁情报推送到设备，热点威胁情报可显示当前互联网上的最严峻的热点威胁情报信息，并提供配置向导协助用户生成安全防护策略进行有效防护。系统内置多种预定义的侵防御模板，具备*****种以上攻击特征库规则列表，至少支持基于协议类型、操作系统、攻击类型、流行程度、严重程度、特征**等方式的查询。

*.支持专业的*** ******防护功能，系统具备高频访问限制功能，可自定义***路径，并对***访问频率进行限制。系统支持访问控制功能，可对***站点进行上传路径检查，防止攻击者利用上传漏洞向***站点上传恶意代码。

*.支持基于国家地理位置、***等元素建立安全策略；支持基于源***地址、目的***地址的流量方向、动作等做访问控制策略

*.支持扩展基于流的病毒过滤，支持智能文件病毒过滤引擎，通过传统病毒库+机器学习模型实现全方面病毒检测功能；

*.支持基于源\目的**\域名的具体流量提供***代理能力，支持与安全***直接对接,实时识别并阻断恶意域名请求;支持使用***协议加密传输***报文，防止***数据泄露。

★*.与医院现有威胁感知系统深度联动，可实时执行其下发的阻断策略；（提供产品软件界面截图和承诺函，并加盖厂商公章）

**.边界流量过滤功能，支持基于*** 黑名单、例外白名单、静态** 黑名单、黑名单库、动态 ** 黑名单、******* 黑名单的边界流量过滤。

**.支持安全策略的时间表有效性检测，失效的基于时间的策略规则将着色高亮显示在策略列表中；支持自定义***规则的优先级，并能够对命中的***规则做命中分析和冗余检测。

**.支持数据包路径检测，可以自定义新建检测对象，检测对象可基于接口、源地址、源用户、源端口、目的地址、目的***、目的端口、协议、应用等参数配置。

**.提供三年质保服务及三年特征库升级服务。

*

漏洞扫描

一、硬件规格

★*.标准机架式一体化设备，采用国产化***和国产化操作系统。

*.配置≥*个千兆电口，≥*个千兆光口，支持≥*个扩展板卡插槽， 内存≥**，存储容量≥**。

*.主机扫描**并发最大支持≥**，任务并发数≥*；配置主机检测，***检测，弱口令检测，均提供不限制**/域名扫描授权。

二、功能要求

*.支持扫描国产操作系统、应用及软件的安全漏洞，支持针对专用设备包括***、*****、***、网络设备的漏洞扫描； 支持*******、***、**********、******* *****在内的移动设备漏洞扫描；

*.支持同时下发系统扫描、***扫描、弱口令扫描任务，无需单独下发扫描任务，扫描目标可以是**、域名、***的任一格式；

*.支持***、***、******、***、***、****、****、***协议等登录扫描；支持批量导入登录信息、批量登录验证；

*.支持针对****、****环境的漏洞扫描。支持***登录扫描，支持******认证、****认证、*****认证、****认证、*******认证、******认证、***，并支持***登陆验证，确保***登录成功；

*.支持***扫描会话录制，通过登录预录制方式扫描常规网页爬虫爬取不到的***；支持至少三种漏洞验证方式如浏览器验证、注入验证、通用验证；

*.支持缺省内置标准基线核查模板，包括：等保三级检测要求、工信部配置规范、中国电信安全配置规范、中国移动安全配置规范；

*.支持分布式部署，管理中心统一下发策略、查看任务结果、导出报表，无需登录子引擎；支持从管理中心查看子引擎及其状态；管理中心、子引擎均可执行扫描任务。

*.支持自适应网络扫描，根据网络状况自动控制发包速率，避免影响用户网络；

*.支持针对已有任务做任务复制，快速生成一个相同任务，支持对复制出来的任务进行再编辑，包括：基本信息、策略、目标范围、调度、扫描参数；

**.支持导出同时包含系统扫描、***扫描、弱口令扫描结果的报表，可以统一分析网站漏洞、网站所在主机漏洞以及主机弱口令；

**.支持自定义导出报表模板，可定制指定漏洞等级（高危、中危、低危、信息）、指定漏洞状态（新增、误报、已修复）、指定公司信息、公司****、指定报表标题以及章节内容的报表模板，并可在导出报表时灵活选择已经定义好的报表模板；

**.支持系统告警，能够对系统***、内存、磁盘、网络状态、设备授权到期及漏洞库升级授权到期进行告警，可以灵活配置告警参数；

**.提供三年质保服务及三年漏洞库升级服务。

*

网络准入系统

一、服务器规格

标准**机架结构；标准配置千兆电口≥*个，千兆光口≥*个，每秒事务数（***)：≥****（次/秒），最大吞吐量：≥*.*****，最大并发连接数：****（条）；提供****点授权，设备最大支持****点授权扩容；提供三年售后服务。

二、内网安全准入要求

*.支持通过镜像、策略路由、透明网桥方式部署，实现对于接入终端的准入管控；支持推送重定向页面方式，引导用户通过***执行入网流程。支持终端完成入网之后，访问指定页面，或者跳转到此前访问的页面。

★*.支持传统******* 终端的准入，还支持***** 终端、摄像头、国产终端、瘦终端机、移动终端，以及网络打印机，网络摄像头等终端的识别准入，并能根据策略分类进行终端准入管理；支持自动识别全网所有接入终端的**地址、***地址、主机名、网卡厂商、终端类型、操作系统、接入位置、接入时间、接入状态，并全网可视化展示。（提供证明文件并加盖厂商公章）

*.要求支持注册审核管理功能，已注册终端必须通过管理员审核通过之后才可以接入网络，确保接入内网终端安全可信、可管、可控。

*.支持动态安检：对于已入网终端可以指定不少于**分钟的检测周期，一旦检测不合规立即将其网络隔离，直至修复完毕；支持终端通过修改系统时间绕过周期安检的防范措施；客户端内置自检功能，每分钟自动执行检测；支持***页面进行安检引导、一键修复、修复方法提示、延迟修复等安检修复操作；支持将安检不合规的终端进行网络隔离，并在访问***页面时给予安检提示，引导终端自助完成安检检测。

*.要求支持对路由、无线、**、***等环境下的终端实施准入控制，支持安卓、****等非*******操作系统的终端实施准入控制，具有移动***，满足准入、安全检查、****管理等功能。

★*.支持兆芯、飞腾、龙芯、申威、鲲鹏等信创终端准入，以及中标麒麟、银河麒麟、统信、深度等国产操作系统准入。（提供证明文件并加盖厂商公章）

三、内网安全管理要求

★*.客户端要求：客户端必须支持*******终端、*****、国产操作系统，（*******终端、*****、国产操作系统总授权为****点，后续安装支持*******终端、*****、国产操作系统总数不超过****点既可，提供厂家承诺书，并加盖厂家公章）移动端需支持安卓的移动设备（***点移动端授权）。

*.支持客户端安全模式下运行，客户端功能依然生效，并提供安全模式客户端启动的独立配置项。（提供截图证明，并加盖厂家公章）

*.桌面图片管理：产品需支持统一管理计算机背景图片，包括，桌面背景图片、屏幕保护背景图片、锁屏壁纸、开机背景图片等。

*.资产管理：产品必须具备采集软硬件资产信息功能，能够获取软硬件资产信息，并对资产变动进行预警；产品需具备设备未关机走势图功能，统计一定时间内未关机设备的走势图以及设备列表，并提供*****的饼图，可通过*******查询未开机设备记录时间信息。

*.运维工作台：支持在运维工作台以卡片方式/列表方式展示终端信息，包括部门、使用人、**地址、***地址、操作系统、设备名称等信息；需支持在任一客户端直接登录运维工作台。（提供截图证明，并加盖厂家公章）

★*.远程运维：产品具备远程管理功能，管理员可通过管理控制台和客户端方式进行远程控制，支持远程查看、控制、文件传输、重启等；产品的远程管理功能，需要支持*******终端、*****、国产操作系统不同设备间互相远程；支持对安卓移动端产品的远程管理功能；远程管理支持双向穿透***或***的远程屏幕控制。（提供截图证明，并加盖厂家公章）

*.审计要求：产品需支持行为审计功能，支持包括但不限于账户、进程、服务、终端使用等行为的审计。

*.软件分发：产品需要提供文件分发，支持可执行程序、***安装包或者文档数据文件自动下发与安装；文件分发需要支持立即执行，周期（每天/每周/每月）执行，自定义执行分发任务，分发后可以对终端的软件进行判断，能够自动统计分发成功率及软件安装成功率，支持进程、注册表、安装路径等多种参数判断方式。

★*.外设管控：产品需支持对外设接口的控制，启用或禁用软驱、光驱、*口、打印机、*****、串口、并口、****火线口、红外接口等外部设备；产品需支持对*盘进行注册管理，注册*盘可接入内网使用，*盘支持绑定到指定部门、终端、用户，内网中仅绑定的终端上能使用该*盘，未注册*盘将无法在客户端上使用，实现“外盘外用”；需要支持*******终端、*****、国产操作系统、安卓及移动端，配置管控的*盘类型并提供已管理类型列表，未知类型列表、不管控类型列表等。

**.网卡绑定：能够实时监测终端**地址、***地址、***配置等相关网络信息，支持对应信息的实时绑定，当**或***发生改变时能够强制恢复至修改前。网卡绑定后，管理员可以授权部分用户修改**地址，必须为用户提供独立的**配置菜单入口。

**.杀毒软件管理：支持添加杀毒软件规则列表，该列表可以从杀毒软件库选择杀毒软件，也支持自定义添加杀毒软件；支持采集已安装的其他杀毒软件信息；在未安装杀毒软件时：支持对安装杀毒结果的上报、支持上报报警信息、支持断开网络、关机、终端警告等管控。

**.时间同步：可使所有计算机保持时间一致，并与本系统服务端时间相同。

**.移动端管理：

*）支持对移动终端****连接进行控制，包括只允许连接指定的无线****、禁止启用无线连接、帮助移动设备自动连接白名单无线****；支持对移动端热点共享行为进行控制，禁止移动设备开启热点共享网络（提供承诺函，并加盖厂家公章）。

*）支持对移动终端进行丢失检测，能够在移动终端丢失后对设备进行强制锁屏、自动周期重启、恢复出厂设置等丢失数据防护措施，防止移动设备丢失后导致数据泄密（提供承诺函，并加盖厂家公章）。

*）支持对移动终端安装应用进行黑白名单控制，可以通过设置指定软件名单（软件名单支持从采集列表导入）的方式，强制终端只能安装某些软件或禁止安装某些软件，以实现防范非法应用危害移动终端安全。

*）支持对移动端进行软件分发、卸载，并可以对移动终端下发软件***包静默运行安装、对已安装应用软件进行静默卸载等，协助用户实现便捷的软件推送安装、推送卸载（提供承诺函，并加盖厂家公章）。

★*）支持对移动终端进行远程操作、查看、重启等运维动作（提供承诺函，并加盖厂家公章）。

**.国产化管理要求：支持信创终端的远程管理、违规外联、外设管控、***设备管控，安全基线检查、终端行为审计等安全要求；