网络安全防护系统征求意见公告（第一次）

序号

名称

单位

数量

单价

（万元）

总价

（万元）

1

入侵防御

套

1

11

11

2

漏洞扫描

套

1

11.8

11.8

3

网络准入系统

套

1

47.2

47.2

序号

模块名称

详细的技术参数

1

入侵防御

一、硬件规格

★1.标准机架设备；采用国产化CPU和国产化操作系统；

2. 采用双硬盘架构，系统盘≥32G，数据盘≥2T SSD；配备千兆电口≥8个(至少包含2组Bypass接口)，≥4个千兆光口，≥4个万兆光口，支持≥1个接口扩展槽；至少具备1个CON接口，2个USB口。

3.大吞吐量≥26 Gbps；IPS吞吐量≥6 Gbps；最大并发连接数≥450万；每秒新建会话数≥17万。

二、功能要求

1.支持路由、透明、混合和虚拟线模式，支持各种NAT转换功能，包括源NAT、目的NAT转换等；支持针对最大并发会话、每秒新建会话配置限制策略；

2.支持目的路由、源路由、源接口路由等静态路由；支持RIP、ISIS、OSPF、OSPFv3、BGP等动态路由；支持基于源、目的、用户、应用、服务和时间表的策略路由。支持LLDP功能，***网络拓扑变化信息的收集。

3.系统支持二层、三层、trap等类型的安全域配置，安全域可绑定一个或多个接口，不同的安全域可自定义应用识别、病毒过滤、入侵防御、攻击防护、高级威胁检测、URL过滤、沙箱检测及数据安全等安全防护功能。

4.支持扩展威胁情报功能，支持热点威胁情报推送到设备，***网上的最严峻的热点威胁情报信息，并提供配置向导协助用户生成安全防护策略进行有效防护。系统内置多种预定义的侵防御模板，具备17000种以上攻击特征库规则列表，至少支持基于协议类型、操作系统、攻击类型、流行程度、严重程度、特征ID等方式的查询。

5.支持专业的Web Server防护功能，系统具备高频访问限制功能，可自定义URL路径，并对URL访问频率进行限制。系统支持访问控制功能，可对WEB站点进行上传路径检查，防止攻击者利用上传漏洞向Web站点上传恶意代码。

6.支持基于国家地理位置、URL等元素建立安全策略；支持基于源MAC地址、目的MAC地址的流量方向、动作等做访问控制策略

7.支持扩展基于流的病毒过滤，支持智能文件病毒过滤引擎，通过传统病毒库+机器学习模型实现全方面病毒检测功能；

8.支持基于源\目的IP\域名的具体流量提供DNS代理能力，支持与安全DNS直接对接,实时识别并阻断恶意域名请求;支持使用DOH协议加密传输DNS报文，防止DNS数据泄露。

★9.与医院现有威胁感知系统深度联动，可实时执行其下发的阻断策略；（提供产品软件界面截图和承诺函，并加盖厂商公章）

10.边界流量过滤功能，支持基于 MAC 黑名单、例外白名单、静态IP 黑名单、黑名单库、动态 IP 黑名单、Service 黑名单的边界流量过滤。

11.支持安全策略的时间表有效性检测，失效的基于时间的策略规则将着色高亮显示在策略列表中；支持自定义NAT规则的优先级，并能够对命中的NAT规则做命中分析和冗余检测。

12.支持数据包路径检测，可以自定义新建检测对象，检测对象可基于接口、源地址、源用户、源端口、目的地址、目的URL、目的端口、协议、应用等参数配置。

13.提供三年质保服务及三年特征库升级服务。

2

漏洞扫描

一、硬件规格

★1.标准机架式一体化设备，采用国产化CPU和国产化操作系统。

2.配置≥6个千兆电口，≥4个千兆光口，支持≥1个扩展板卡插槽， 内存≥8G，存储容量≥4T。

3.主机扫描IP并发最大支持≥50，任务并发数≥5；配置主机检测，Web检测，弱口令检测，均提供不限制IP/域名扫描授权。

二、功能要求

1.支持扫描国产操作系统、应用及软件的安全漏洞，支持针对专用设备包括PLC、SCADA、DCS、网络设备的漏洞扫描； 支持Android、IOS、BlackBerry、Windows Phone在内的移动设备漏洞扫描；

2.支持同时下发系统扫描、Web扫描、弱口令扫描任务，无需单独下发扫描任务，扫描目标可以是IP、域名、URL的任一格式；

3.支持SSH、SMB、TELNET、RDP、POP、POP3、IMAP、FTP协议等登录扫描；支持批量导入登录信息、批量登录验证；

4.支持针对IPv4、IPv6环境的漏洞扫描。支持Web登录扫描，支持Cookie认证、Form认证、Basic认证、NTLM认证、Session认证、Digest认证、SSL，并支持Web登陆验证，确保Web登录成功；

5.支持Web扫描会话录制，***网页爬虫爬取不到的URL；支持至少三种漏洞验证方式如浏览器验证、注入验证、通用验证；

6.支持缺省内置标准基线核查模板，包括：等保三级检测要求、工信部配置规范、中国电信安全配置规范、中国移动安全配置规范；

7.支持分布式部署，****中心统一下发策略、查看任务结果、导出报表，无需登录子引擎；****中心查看子引擎及其状态；****中心、子引擎均可执行扫描任务。

8.***网络扫描，***网络状况自动控制发包速率，***网络；

9.支持针对已有任务做任务复制，快速生成一个相同任务，支持对复制出来的任务进行再编辑，包括：基本信息、策略、目标范围、调度、扫描参数；

10.支持导出同时包含系统扫描、Web扫描、弱口令扫描结果的报表，***网站漏洞、网站所在主机漏洞以及主机弱口令；

11.支持自定义导出报表模板，可定制指定漏洞等级（高危、中危、低危、信息）、指定漏洞状态（新增、误报、已修复）、指定公司信息、公司LOGO、指定报表标题以及章节内容的报表模板，并可在导出报表时灵活选择已经定义好的报表模板；

12.支持系统告警，能够对系统CPU、内存、磁盘、网络状态、设备授权到期及漏洞库升级授权到期进行告警，可以灵活配置告警参数；

13.提供三年质保服务及三年漏洞库升级服务。

3

网络准入系统

一、服务器规格

标准2U机架结构；标准配置千兆电口≥6个，千兆光口≥4个，每秒事务数（TPS)：≥7000（次/秒），最大吞吐量：≥2.8Gbps，最大并发连接数：6000（条）；提供2500点授权，设备最大支持5000点授权扩容；提供三年售后服务。

二、内网安全准入要求

1.支持通过镜像、策略路由、***网桥方式部署，实现对于接入终端的准入管控；支持推送重定向页面方式，引导用户通过web***网流程。***网之后，访问指定页面，或者跳转到此前访问的页面。

★2.支持传统Windows 终端的准入，还支持Linux 终端、摄像头、国产终端、瘦终端机、移动终端，***网络打印机，网络摄像头等终端的识别准入，并能根据策略分类进行终端准入管理；***网所有接入终端的IP地址、MAC地址、主机名、网卡厂商、终端类型、操作系统、接入位置、接入时间、接入状态，***网可视化展示。（提供证明文件并加盖厂商公章）

3.要求支持注册审核管理功能，已注册终端必须通***网络，***网终端安全可信、可管、可控。

4.支持动态安检：***网终端可以指定不少于10分钟的检测周期，***网络隔离，直至修复完毕；支持终端通过修改系统时间绕过周期安检的防范措施；客户端内置自检功能，每分钟自动执行检测；支持WEB页面进行安检引导、一键修复、修复方法提示、延迟修复等安检修复操作；***网络隔离，并在访问WEB页面时给予安检提示，引导终端自助完成安检检测。

5.要求支持对路由、无线、AP、HUB等环境下的终端实施准入控制，支持安卓、IPAD等非windows操作系统的终端实施准入控制，具有移动APP，满足准入、安全检查、WiFi管理等功能。

★6.支持兆芯、飞腾、龙芯、申威、鲲鹏等信创终端准入，以及中标麒麟、银河麒麟、统信、深度等国产操作系统准入。（提供证明文件并加盖厂商公章）

三、内网安全管理要求

★1.客户端要求：客户端必须支持windows终端、MacOS、国产操作系统，（Windows终端、MacOS、国产操作系统总授权为2200点，后续安装支持windows终端、MacOS、国产操作系统总数不超过2200点既可，提供厂家承诺书，并加盖厂家公章）移动端需支持安卓的移动设备（300点移动端授权）。

2.支持客户端安全模式下运行，客户端功能依然生效，并提供安全模式客户端启动的独立配置项。（提供截图证明，并加盖厂家公章）

3.桌面图片管理：产品需支持统一管理计算机背景图片，包括，桌面背景图片、屏幕保护背景图片、锁屏壁纸、开机背景图片等。

4.资产管理：产品必须具备采集软硬件资产信息功能，能够获取软硬件资产信息，并对资产变动进行预警；产品需具备设备未关机走势图功能，统计一定时间内未关机设备的走势图以及设备列表，并提供TOP10的饼图，可通过TOP10IP查询未开机设备记录时间信息。

5.运维工作台：支持在运维工作台以卡片方式/列表方式展示终端信息，包括部门、使用人、IP地址、MAC地址、操作系统、设备名称等信息；需支持在任一客户端直接登录运维工作台。（提供截图证明，并加盖厂家公章）

★6.远程运维：产品具备远程管理功能，管理员可通过管理控制台和客户端方式进行远程控制，支持远程查看、控制、文件传输、重启等；产品的远程管理功能，需要支持windows终端、MacOS、国产操作系统不同设备间互相远程；支持对安卓移动端产品的远程管理功能；远程管理支持双向穿透NAT或VPN的远程屏幕控制。（提供截图证明，并加盖厂家公章）

7.审计要求：产品需支持行为审计功能，支持包括但不限于账户、进程、服务、终端使用等行为的审计。

8.软件分发：产品需要提供文件分发，支持可执行程序、MSI安装包或者文档数据文件自动下发与安装；文件分发需要支持立即执行，周期（每天/每周/每月）执行，自定义执行分发任务，分发后可以对终端的软件进行判断，能够自动统计分发成功率及软件安装成功率，支持进程、注册表、安装路径等多种参数判断方式。

★9.外设管控：产品需支持对外设接口的控制，启用或禁用软驱、光驱、U口、打印机、Model、串口、并口、1394火线口、红外接口等外部设备；产品需支持对U盘进行注册管理，注册U***网使用，U盘支持绑定到指定部门、终端、用户，内网中仅绑定的终端上能使用该U盘，未注册U盘将无法在客户端上使用，实现“外盘外用”；需要支持windows终端、MacOS、国产操作系统、安卓及移动端，配置管控的U盘类型并提供已管理类型列表，未知类型列表、不管控类型列表等。

10.网卡绑定：能够实时监测终端IP地址、MAC地址、DNS***网络信息，支持对应信息的实时绑定，当IP或MAC发生改变时能够强制恢复至修改前。网卡绑定后，管理员可以授权部分用户修改IP地址，必须为用户提供独立的IP配置菜单入口。

11.杀毒软件管理：支持添加杀毒软件规则列表，该列表可以从杀毒软件库选择杀毒软件，也支持自定义添加杀毒软件；支持采集已安装的其他杀毒软件信息；在未安装杀毒软件时：支持对安装杀毒结果的上报、支持上报报警信息、***网络、关机、终端警告等管控。

12.时间同步：可使所有计算机保持时间一致，并与本系统服务端时间相同。

13.移动端管理：

1）支持对移动终端WiFi连接进行控制，包括只允许连接指定的无线SSID、禁止启用无线连接、帮助移动设备自动连接白名单无线SSID；支持对移动端热点共享行为进行控制，***网络（提供承诺函，并加盖厂家公章）。

2）支持对移动终端进行丢失检测，能够在移动终端丢失后对设备进行强制锁屏、自动周期重启、恢复出厂设置等丢失数据防护措施，防止移动设备丢失后导致数据泄密（提供承诺函，并加盖厂家公章）。

3）支持对移动终端安装应用进行黑白名单控制，可以通过设置指定软件名单（软件名单支持从采集列表导入）的方式，强制终端只能安装某些软件或禁止安装某些软件，以实现防范非法应用危害移动终端安全。

4）支持对移动端进行软件分发、卸载，并可以对移动终端下发软件apk包静默运行安装、对已安装应用软件进行静默卸载等，协助用户实现便捷的软件推送安装、推送卸载（提供承诺函，并加盖厂家公章）。

★5）支持对移动终端进行远程操作、查看、重启等运维动作（提供承诺函，并加盖厂家公章）。

14.国产化管理要求：支持信创终端的远程管理、违规外联、外设管控、USB设备管控，安全基线检查、终端行为审计等安全要求；