安全审计系统

第二章招标项目内容、数量、规格和技术要求

核心数据和核心设备的安全是数据中心管理的重中之重。05年以来我市劳动保障数据中心网络安全防护管理不断加强，陆续配置了防火墙、防毒墙、网闸等安全设备，建立了数据级异地容灾系统，较好地保障了劳动保障网络信息系统的稳定安全运行。但因经费等原因，数据中心在核心设备和核心数据安全防护方面还相对较弱，按照劳动保障网络信息系统安全等级保护的要求和数据中心网络安全管理实际需要，为进一步完善劳动保障网络信息系统安全防护体系，提出本次网络安全设备采购需求。

一、网络安全设备采购需求

（一）网络安全设备采购清单：

分类	设备名称	基本目的	基本参数要求	数量	备注
网络安全防御门栓	千兆防火墙	防护核心数据安全，提高整个网络可靠性	2U机架式结构；最大配置不少于24个接口，现配8个千兆SFP（含4个原厂SFP光模块）和8个10/100/1000BASE－TX电接口，2个10/100/1000BASE－TX管理口。要求接口支持STP协议。网络吞吐量不少于5G，最大并发连接数不少于200万，每秒最大新建连接数不少于5万，现配置双电源。	2台	原厂三年质保
网络安全防御门栓	IPS入侵防御系统	抵御网络攻击，防护网络系统安全	1U机架式结构，最大配置不少于24个接口，现配4个SFP口（含4个原厂SFP光模块）和4个10/100/1000BASE－TX接口，支持4路Bypass功能，2个10/100/1000BASE－TX管理口，吞吐量不少于6G，具有3000条以上的攻击事件，三年特征库升级服务	1台	原厂三年质保
网络交换设备	24口二层交换机	根据网络整合需要添置，与核心交换机H3C 9508对接	H3C S5100-24P-SI 24个10/100/1000Base-T以太网端口和4个复用的1000Base-X SFP千兆以太网端口（Combo）	4台	原厂三年质保
	48口二层交换机	根据网络整合需要添置，与核心交换机H3C 9508对接	H3C S5100-48P-SI 48个10/100/1000Base-T以太网端口和4个复用的1000Base-X SFP千兆以太网端口（Combo）	3台	原厂三年质保
	SFP光纤单模模块	用于H3C光纤连接用，10KM	H3C 光纤单模模块，有效距离10KM	4个	原厂三年质保
数字认证系统	数字认证系统	用于浙江省社会保险网上申报系统统一软件安全认证	网关支持多种签名数据，支持原文包含模式及原文分享模式的PKCS＃7签名的验证。并发用户数>200，最大吞吐量>50Mbit/s。支持B/S结构和C/S结构。支持符合X509标准的各种数字证书的签名验证。支持国内多种数字证书的签名验证，如：ZJCA、CFCZ、SHECA颁发的证书。多种开发接口支持，如：C/C++、pop油墨ASP.NET、JAVA、VB、DELPHI、POWERBUILDER等。验证结果除了包括是否正确值外，还需要包括：签名用户的证书、原文、签名值(1024bit)等。	1台	原厂三年质保
行为审计设备	网络访问行为审计系统	对用户上网行为进行审计	2U机架式结构；包括2个可插拨的扩展槽, 可在用户现场升级端口无需返厂，配置2个10/100/1000BASE－TX数据采集口，2锁架个10/100/1000BASE－TX管理口，最少400G存储空间，支持双电源。	1台	原厂三年质保
安全管理软件	安全设备与策略管理系统	实现劳动保障网络系统内所有安全设备的分级部署和集中监控管理	系统要求能实现整网安全设备的网络拓扑管理、设备策略管理、用户管理、CA管理、日志管理，具有设备监控报警、设备升级管理、查询及统计分析功能。要求界面美观、简洁易操作，支持基于角的权限划分和管理。	1套	原厂三年质保

（二）采购主要设备技术参数要求

1、千兆防火墙

指标项	技术指标要求
系统架构	★采用专用硬件架构与专用安全操作系统，基于操作系统内核的会话检测技术，专用的安全操作系统具有自主知识产权，硬件设备可以机架安装。
	★采用双安全操作系统，防止配置不当或防火墙系统故障造成的网络中断，充分保证了系统的稳定性。
	★软件采用模块化结构设计，可以扩展IPSEC VPN，SSL VPN，AV等功能。
性能指标	★2U机架式结构；最大不少于24个接口,包括3个可插拨的扩展槽, 可在用户现场升级端口无需返厂，现配8个千兆SFP（含4个原厂SFP光模块）和8个10/100/1000BASE－TX电接口，2个10/100/1000BASE－TX管理口。接口支持STP协议。配双电源。
	★网络吞吐量不少于5G
	最大并发连接数不少于200万
	每秒最大新建连接数不少于5万
FW功能参数	工作模式支持透明、路由、透明及路由混合模式
	支持单对单、单对多、多对多的地址转换功能
	支持路由、透明模式下的虚拟系统功能，支持NAT模式下的虚拟系统功能
	支持每个虚拟系统具备独立的管理权限、安全策略，且虚拟系统间互不干扰
	可对DMZ区服务器实现保护，如替换服务器（FTP、SMTP、POP3、telnet,HTTP）的BANNER信息
	支持对HTTP、SMTP、POP3、FTP等协议的深度内容过滤；支持对移动代码如Java applet、Active-X、VBScript、Java script的过滤
	动态端口支持协议：H.323、SIP、FTP、RTSP、SQL*NET、MMS、RPC、TFTP，并对其实现安全控制
	支持服务器负载均衡功能，在没有专业均衡设备的条件下，通过防火墙实现多台服务器的性能叠加
	支持多链路备份功能，以实现链路层高可用性
	支持H.323/SIP的高可用性
	支持策略路由，可基于源地址选择路由
	支持动态路由协议RIP/OSPF/BGP等
	★具有MPLS网络数据的安全控制
	支持使用一次性口令认证（OTP）、本地认证、双因子认证（SecureID）以及数字证书（CA）等常用的安全认证方、支持RADIUS、TACACS/TACACS+、LDAP、域认证等安全认证方式；
IPS功能	具有对HTTP、SMTP、POP3、FTP等协议的深度内容过滤，具有URL、关键字过滤
	支持对移动代码如Java applet、Java script等的过滤
	具有MSN、QQ、阿里旺旺、google talk等Instant Messenger通信，并可以对于这些应用进行登陆限制,支持根据登陆等帐号进行登陆限制
	可限制BT，eMule，讯雷等多种P2P应用，可以统计P2P流量和连接数，可以控制P2P流量的带宽
	可以识别并阻断以下攻击行为： land 、Smurf、Pingofdeath、ip_option、teardrop、targa3、ipspoof、Portscan等
VPN功能（IPSEC ）	支持与防火墙、SSL VPN统一的认证体系，支持本地认证、双因子认证（SecureID）以及数字证书（CA）等常用的安全认证方、支持LDAP、域认证等安全认证方式；
	n-苯基咔唑支持多路VPN隧道间备份、负载均衡；
	支持链路叠加、支持手工及智能选路；
	可扩展支持3000以上隧道数；
VPN功能（SSL）	支持角分组的可信接入；
	支持PDA的安全接入；
	支持B/S ,C/S应用系统的安全转发；
	可扩展支持1500以上并发用户数；
	★具有Cleaned VPN功能，能对隧道内数据进行病毒查杀和内容过滤。
★AV功能	可过滤HTTP，FTP，POP3，SMTP，IMAP协议的病毒，并支持35万种以上的病毒
	非法报文攻击过滤：land 、Smurf、Pingofdeath、winnuke 、tcp_sscan、ip_option、ipspoof；统计型报文攻击：Synflood、Icmpflood、Portscan、ipsweep；
	SYN代理：对来自定义区域的Syn Flood攻击行为进行阻断过滤；可通过设置端口和阀值阻断CC攻击；
	具有病毒库的在线自动更新，三年特征库升级服务。
★产品资质要求（投标时提供，加盖原厂公章）	1. 中华人民共和国公安部颁发的《计算机信息系统安全专用产品销售许可证》 2. 中国国家保密局测评中心颁发的《涉密信息系统产品检测证书》 3. 中国信息安全评测中心颁发的《信息技术产品安全评测证书级别：EAL3》 4. 国家版权局颁发的防火墙系统计算机软件著作权登记证书
★产品原厂服务要求（投标时提供，加盖原厂公章）	1.原厂商具备信息安全服务二级资质，提供资质证书证明材料 2. 3年原厂商质保服务，投标时出具原厂商3年售后服务承诺函

2、入侵保护系统

高频淬火工艺

指标	技术指标项	指标要求
设备要求	★专用的硬件和软件保障	产品采用多核处理器的硬件平台架构，专用的安全操作系统具有自主知识产权。
	★端口数量和扩展能力	1U机架式结构：最大配置不少于24个接口，可在用户现场升级端口无需返厂，包括4个SFP口（含4个原厂SFP光模块）和6个10/100/1000BASE－TX接口（其中2个可作为HA口和管理口），4个接口具有Bypass
	★系统吞吐量	不少于6G
	★攻击规则库	具有3000条以上的攻击事件，三年特征库升级服务
工作模式	网络接入	透明，路由，IDS监听，混合
防火墙	访问控制	基于状态检测的动态包过滤基于源/目的IP地址、端口、协议、时间的访问控制支持报文合法性检查，支持IP/MAC绑定
	NAT	支持双向NAT，支持动态地址转换和静态地址转换支持协议包括H.323、SIP、FTP、RTSP、SQL*NET、MMS、RPC、TFTP、PPTP等
	拒绝服务（DOS/DDOS）	能对当前主流的拒绝服务做检测和阻断，例如：WinNUKE攻击、UDP Flooding、SYN Flooding等
	HTTP	能对当前主流的HTTP类攻击做检测和阻断，例如：HTTP Apache 批处理文件漏洞、Apache2.0.39及以前版本存在目录遍历漏洞、Cart32 管理员口令泄露漏洞等
	自定义攻击	可以根据用户需求自行设置攻击规则，能对其他有害攻击行为做检测和阻断
应用监控	P2P应用	支持识别BT、迅雷、Napster、Popo、Kazaa等P2P类应用
	IM	支持识别QQ、MSN、ICQ、UC以及Google Talk等IM类应用
	游戏	支持识别魔兽世界、征途、劲舞团、跑跑卡丁车、梦幻西游以及QQ游戏等网络游戏
	异常流量	能对设备的异常流量进行分析、阻断
入侵防御	★引擎	具有路由、交换、直连、IDS监听四种模式支持基于源、目的、规则集、动作的入侵检测规则支持策略改变引擎自动重起
	DDOS防御	非法报文攻击：land、Smurf、Pingofdeath、winnuke、targa3、ipspoof 统计型报文攻击：Synflood、Udpflood、Portscan、ipsweep 支持主机连接数和半连接数的限制
	动作	支持阻断drop，检测到策略中设置的数据后，丢弃报文支持报警Alert，检测到策略中设置的数据后，进行报警支持TCP Reset，向攻击者发TCP Reset包支持防火墙联动，与防火墙联动，仅限IDS模式运行
	报表	Webui支持实时显示按发生次数累计的攻击事件排名支持Top10攻击者、Top10被攻击者、Top10事件统计报表支持按时间统计的IPS流量报表支持选定时间、网络攻击分类的统计报表支持报表输出，输出格式可以为PDF、DOC、HTML格式
	木马(Trojan)	具备丰富的木马特征库，能识别包括灰鸽子、PCShare、Gh0st、上兴、Byshell、Npch、Downloader等多种热点木马及其变种，以及识别多种网页挂马攻击
	规则库维护	支持自定义规则库导入、导出，支持系统规则库手动、自动升级
	系统规则	预置系统规则集包含认证类、木马类、拒绝服务类、即时通讯类、p2p类、溢出攻击类、扫描类、系统漏洞类、蠕虫类、HTTP攻击类、RPC攻击类、高风险类、中风险类、低风险类和所有事件等
	自定义规则	支持自定义规则，支持自定义规则集
网络适应性	路由	支持静态路由支持基于源/目的地址、接口、Metric的策略路由支持Vlan路由，能够在不同的VLAN虚接口间实现路由功能
网络适应性	ARP 金丝雀定位	支持ARP代理、ARP学习，可设置静态ARP
高可用性	★双机热备	支持双机热备（Active-Active模式）支持连接、配置同步
	★Bypass	提供专业的硬件ByPass功能，保证网络通畅
	★负载均衡	具有轮询、加权轮叫、最少连接、加权最少链接等多种服务器负载均衡方式
	★备份系统	采用双安全操作系统，防止配置不当或防火墙系统故障造成的网络中断，充分保证了系统的稳定性。
系统管理	管理方式	支持WEB图形配置、命令行配置，支持本地配置、远程配置支持基于SSH、SSL的安全配置
	SNMP	支持SNMP 的v1 、v2 、v2c 、v3 版本与当前通用的网络管理平台兼容，如HP Openview 等丰富的私有MIB系统信息
	监控和报警	支持网络接口、CPU利用率、内存使用率等支持邮件、SNMP、控制台等多种组合报警方式
	日志	支持Welf、Syslog等多种日志格式的输出支持通过第三方软件来查看日志
	其它	系统升级，支持远程维护和系统升级系统升级，支持TFTP、FTP、HTTP方式升级配置恢复，可进行配置文件的备份、下载、删除、恢复和上载
★产品资质要求（投标时提供复印件，加盖原厂公章）	1. 中华人民共和国公安部颁发的《计算机信息系统安全专用产品销售许可证》 2. 中国国家保密局测评中心颁发的《涉密信息系统产品检测证书》 3. 中国信息安全评测中心颁发的《信息技术产品安全评测证书级别：EAL3》 4. 国家版权局颁发的入侵防御系统计算机软件著作权登记证书
★产品原厂服务要求	1.原厂商具备信息安全服务二级资质，提供资质证书证明材料 2. 3年原厂商质保服务，投标时出具原厂商3年售后服务承诺函

3、24口二层交换机数量4台

本文发布于:2024-09-22 09:56:40，感谢您对本站的认可！

本文链接：https://www.17tex.com/tex/3/325523.html

上一篇：水泥质量与检验题库——选择题

下一篇：(完整版)运维安全审计系统测试报告

标签：支持系统设备网络管理配置认证要求

留言与评论（共有 0 条评论）