指標名稱 |
指標項 |
指標描述 |
系統架構 |
產品形態 |
標準機架式1U硬件設備 |
產品性能 |
處理能力 |
▲實際網絡環境處理能力(混合包、混合流)≥200 Mbps |
▲TCP 64 字節小包處理能力≥120 Mbps |
▲UDP 64 字節小包處理能力≥110 Mbps |
▲最大并發連接數≥50萬 |
▲每秒新建連接數≥2萬 |
內存容量 |
內存≥2GB |
網絡接口 |
5個10/100/1000Base-Tx接口 提供1個RJ-45 Console口,1個百兆帶外管理口; 1個1G CF卡,2個USB口 |
產品功能 |
攻擊檢測 |
系統應支持IP碎片重組、TCP流重組、TCP流狀態跟蹤、2至7層的協議分析、超7層應用協議(如:HTTP Tunnel)識別與分析,系統應支持工作在非默認端口下的周知服務(如運行在8000端口下的Web Server)的協議識別與協議分析能力 |
系統需要支持如下常見協議的解析:ETHER、ARP、RARP、IP、ICMP、IGMP、PPPoE、Vlan Tag、MPLS、TCP、UDP、NetBIOS、CIFS、SMB、FTP、TELNET、POP3、SMTP、IMAP、SNMP、MSRPC、SUNRPC、TNS、TDS、HTTP、QQ、MSN、BT、Thunder、CHARGEN、ECHO、AUTH、DNS、FINGER、IRC、MSPROXY、NFS、NNTP、NTALK、PCT、WHOIS |
系統需支持高效模式匹配、基于閾值的檢測、會話內事件關聯分析、抗逃避等關鍵檢測機制 |
▲系統須提供對網絡病毒、蠕蟲、間諜軟件、木馬后門、刺探掃描、暴力破解、拒絕服務、緩沖區溢出、欺騙劫持、僵尸網絡、SQL注入、XSS、Xpath、網頁木馬、釣魚網站、Webshell、數據庫攻擊、網絡設備攻擊、0day攻擊、可疑行為等常見攻擊具有高精度的檢測能力 |
系統需提供對IM(即時消息)通信、P2P通信、在線視頻、在線音頻、在線游戲、在線炒股具備高精度的檢測能力 |
系統提供的攻擊特征不應少于2300條 |
▲系統需提供對事件的二次檢測能力,即對已生成的事件進行二次分析與統計,并根據統計結果進行報警,同時,系統需支持對統計閾值進行設定的圖形化用戶接口,通過該圖形化接口,用戶可以選擇需要統計的基礎事件并對閾值進行設置與調整(提供功能截圖說明,并加蓋公章) |
系統需提供自定義事件的功能,要求用戶可以通過2至7層的各級協議變量定義事件特征,事件特征支持包含、等于、不等于三種操作符,同時,所定義的檢測條件之間可以按照與、或兩種關系進行組合 |
系統需具備獨立的AV專業查毒引擎,如AV引擎非自研,須出具第三方授權文件 |
提供IP-MAC地址綁定的功能識別攻擊 |
▲系統提供自定義弱口令規則的能力,使用戶可以靈活定義網絡內的弱口令條件(提供功能截圖說明,并加蓋公章) |
系統需提供SQL注入、XSS及其各種語法變形、語義變形、編碼等環境下的精確檢測能力,包括誤報與漏報兩方面 |
流量統計 |
系統需提供對網絡流量速率進行分類統計的功能,至少需要包括:總流量、Web流量(HTTP、HTTPS)、數據庫流量(SQL Server、Oracle、MySQL)、郵件流量(SMTP、POP3、IMAP) |
▲系統需支持按照引擎統計總流量速率與分類流量速率、按照控制中心統計總流量速率與分類流量速率(即控制中心下直接管理的所有引擎的總流量速率與分類流量速率)(提供功能截圖說明,并加蓋公章) |
系統需提供最近30天每天的系統總流量速率與分類流量速率的圖形化統計數據 |
▲系統需提供具備對歷史流量速率(包括總流量速率與分類流量速率)進行自動學習的能力,并將學習出來的歷史流量速率與當前實時流量速率曲線繪制在同一張圖中,方便用戶進行比較(提供功能截圖說明,并加蓋公章) |
流量異常分析與告警 |
▲系統系提供對當前流量速率(包括總流量速率與分類流量速率)進行異常分析的能力,分析的方法包括:基于自動學習出來的歷史流量速率進行流量速率異常分析后的報警、基于用戶配置的流量速率絕對閾值進行報警兩種方式 |
▲系統對實時流量速率進行異常分析之后,可以對產生異常的流量進行報警,報警方式需要包括:郵件發送給指定的一個或多個郵箱、提供獨立的流量速率實時報警界面逐條顯示流量報警事件、采用不同顏色的提示燈顯示不同級別的流量報警。流量報警需要有詳細的報警說明信息,包括:什么流量的速率發生了異常、異常的嚴重程度(或級別是什么)、流量速率發生異常的時間段、歷史平均流量速率是多少、當前實時流量速率是多少、用戶設置的流量速率報警閾值是多少、與歷史流量平均速率或用戶設置的流量速率報警閾值相比,當前流量速率超出、或降低了多少等 |
系統需提供至少四種級別的流量速率異常級別,至少包含一種流量速率過低情況下的異常流量報警,在流量速率實時報警界面中,不同級別的流量速率異常報警事件需要采用不同的顏色進行區分 |
可以對流量速率異常產生之后的報警方式進行設置,至少可以設置:將流量速率的異常記錄寫入日志、在流量速率異常實時報警事件界面進行報警、可以設置僅對某幾種嚴重程度或級別的流量速率異常進行報警 |
系統可以設置流量速率異常的分析方法,具體可設置為:基于歷史平均流量速率的報警、基于用戶定義的閾值進行流量速率報警,在基于流量速率歷史均值進行報警的設置中,需提供定義各種級別流量速率異常的報警設置,即:以流量速率歷史平均速率為流量速率基線,定義在實時流量速率相對流量基線波動超出多大的比例情況下產生該級別的流量速率異常報警 |
威脅管理 |
▲系統提供威脅的實時展示能力,可以將引擎檢測到的威脅在威脅展示界面進行實時顯示,現實內容需全面豐富,包括:威脅的中文名稱、威脅的處理狀態、威脅的等級、威脅流行程度、威脅的源ip、威脅的目標ip、威脅發生的時間段(今日該威脅第一條的發生時間、今日該威協最后一條發生時間)、該威脅今日發生次數、該威協最近十分鐘的發生次數(提供功能截圖說明,并加蓋公章) |
▲系統需提供威脅在展示界面(而非引擎端)的合并能力,并至少提供如下幾種威脅合并方式:按照<相同名稱的事件>進行合并、按照<相同事件名稱 + 相同源ip>進行合并、按照<相同事件名稱 + 相同目的ip>進行合并、按照<相同事件名稱 + 相同源ip + 相同目的ip>進行合并(提供功能截圖說明,并加蓋公章) |
▲系統需要提供報警事件合并->展開的分級展示功能,在一級展示界面中,須展示合并后的結果,以減少海量事件造成的信息湮滅效應,通過點擊一級頁面的某條事件,進入到該事件合并前的展示頁面,該頁面記錄每條事件的詳細發生情況(提供功能截圖說明,并加蓋公章) |
▲系統需提供重要報警事件的匯總及對比頁面,在該頁面中,須對全部告警事件、拒絕服務類告警事件、掃描類告警事件、蠕蟲類告警事件、木馬病毒類告警事件進行匯總統計,同時提供上述告警事件的每天發生情況作為參考(提供功能截圖說明,并加蓋公章) |
系統需提供近期重要流行事件的發生次數統計數據 |
系統需提供今日發生次數最多的5個事件的發生次數統計數據,并以圖形化的方式進行展示 |
▲系統需提供對報警事件的自動分析能力,通過系統的自動分析,過濾掉不重要的、對用戶價值不高的告警事件,僅顯示對用戶價值高、具有分析與關注價值的報警事件,以此減少低效告警事件對用戶安全運維的干擾。為了便于用戶追溯,經系統自動分析后決定不顯示的報警事件需要自動存儲到系統的告警日志中,以備用戶查詢 |
▲系統需提供設置用戶關注事件的能力,通過設置,可以明確地將事件設置為需要關注或不需要關注,用戶的設置結果將取代用戶自動分析的結果,即:用戶設置為需要關注的報警事件,直接在告警界面進行顯示,用戶設置為不需要關注的報警事件,不再在用戶的事件報警展示界面進行展示(提供功能截圖說明,并加蓋公章) |
系統需提供對歷史事件進行查詢的能力,通過歷史事件查詢功能,用戶可以通過制定查詢條件對歷史告警事件進行查詢,同時需提供至少3種默認的查詢條件模板 |
▲系統需提供至少3種事件顯示窗口,除此之外,系統提供自定義報警事件顯示窗口的能力,自定義的事件顯示窗口支持與自定義的事件過濾條件模板之間進行動態的綁定,即在自定義的事件顯示窗口中,意義動態更換所綁定的事件過濾條件模板,與事件過濾條件模板進行動態綁定之后,用戶自定義的的事件顯示窗口將按照所綁定的事件過濾條件模板進行報警事件的過濾(提供功能截圖說明,并加蓋公章) |
系統需提供全局預警的能力,即:在多級部署環境中,其中一個控制中心監測到某一個攻擊之后,可以通過全局預警功能將此攻擊事件通告給其它的控制中心 |
在監測到攻擊之后,系統需提供如下幾種響應方式:SNMP、SYSLOG、寫入日志、發送郵件、實時報警、TCP Killer阻斷連接、防火墻聯動、捕獲原始報文等 |
在檢測到攻擊事件之后,系統需提供向多個不同SYSLOG服務器發送報警信息的能力 |
系統需提供防火墻聯動的能力,支持的防火墻至少需要包括:Netscreen、TopSec、天清FW、KingGuard、PowerV,防火墻聯動的方式需支持:阻斷ip、按MAC阻斷、阻斷源端口、阻斷目的端口、單向阻斷等,同時支持設定阻斷時間 |
系統需支持在檢測到攻擊事件之后捕獲攻擊原始報文的能力,所捕獲的攻擊原始報文需保存成標準的cap格式,可以通過sniffer pro、whirshark、ethereal打開。系統需支持按照時間、cap文件大小兩種條件捕獲攻擊原始報文,同時也可以按照會話、ip等條件捕獲攻擊原始報文 |
▲系統需支持按照ip、ip地址區間配置內網地址范圍,在配置了內網地址范圍之后,報警事件在顯示的同時將標注源ip地址、目的ip地址是屬于內網地址或外網地址(提供功能截圖說明,并加蓋公章) |
系統需提供常用的內置策略模板,并可以將策略導入、導出、合并,同時支持用戶自定義策略,自定義策略的時候,可以根據事件名稱、協議類型、安全類型等維度進行事件的快速查 |
▲系統支持從威脅發現到威脅展示、威脅說明、分析幫助、處理過程幫助、處理過程記錄、后繼續自動處理的威脅全過程處理流程,幫助用戶發現威脅、分析威脅、處理威脅,完成威脅管理工作的閉環 |
系統需提供常用的內置策略模板,并可以將策略導入、導出、合并,同時支持用戶自定義策略,自定義策略的時候,可以根據事件名稱、協議類型、安全類型等維度進行事件的快速查 |
報表 |
系統需提供基本報表的查詢功能,可以將事件發生的詳細信息生成報表 |
系統需提供統計報表功能,統計報表可以按照常見的事件屬性進行統計查詢,也可以按照兩個常見的事件屬性進行交叉查詢,系統所提供的報表模板不應少于50個 |
▲系統需提供對多期日志進行對比分析的能力并自動生成報表,每期的時間段可以手工設定,該報表用于輔助用戶分析一段時間內的威脅 |
報表需支持HTML、Word、EXCEL、PDF四種格式的導出 |
報表需支持手動立即執行、周期性自動執行兩種執行方式 |
系統支持通過郵件將生成的報表發送給指定的多個接收者 |
配置部署 |
系統支持多級部署的能力,至少支持5級部署環境,每級節點至少支持50臺設備的同時管理 |
系統需支持采用可拖拽的拓撲圖展示全網的設備及管理節點,同時該圖還應該對設備與管理節點、管理節點與管理節點之間的連接狀態進行實時的更顯與顯示 |
上級節點可以跨級為下級節點發送策略,下級節點可以將報警日志逐級上報,同時,下級節點也可以設置向上級管理節點上報事件所必須滿足的條件 |
上級管理節點可以向下級管理節點自動下發升級包,包括引擎升級包、控制臺升級包、事件庫升級包 |
系統提供根據用戶的組織結構定義“組織/部門”的能力,并且“組織/部門”之間可以嵌套,“組織/部門”可以通過:IP、IP段、引擎(加網口)、子控進行定義 |
可以針對組織來查看歷史事件與生成報表 |
設備安全 |
設備與控制端、控制端與控制端之間需采用加密通信 |
設備自身具備抗DDoS的能力 |
設備自身需具備抗滲透的能力 |
升級 |
系統需支持軟件在線升級、離線升級兩種升級方式,其中在線升級支持按需即時升級與定時升級兩種方式,定時升級需要支持按天(可指定具體在幾點幾分)、按周(可制定具體在星期幾)、按月(可指定具體在幾號)進行定期升級,并可以指定具體的升級服務器的URL,在多級部署的情況下,可以指定將升級包自動下發所屬的子控 |
系統需支持特征庫在線升級、離線升級兩種升級方式,其中在線升級支持按需即時升級與定時升級兩種方式,定時升級需要支持按天(可指定具體在幾點幾分)、按周(可制定具體在星期幾)、按月(可指定具體在幾號)進行定期升級,并可以指定具體的升級服務器的URL,在多級部署的情況下,可以指定將升級包自動下發所屬的子控 |
特征庫升級需提供檢測最新版本的功能,同時,特征庫升級需提供升級執行的狀態(正在升級、升級完成等)。特征庫升級需提供完整的升級日志,升級的內容也可以進行定制(如只升級高級事件、中級事件),新升級的事件可以自動加入到已經應用的策略集之中 |
▲系統提供配置HTTP代理服務器的功能,并通過HTTP代理服務器外聯至互聯網進行升級 |
資質要求 |
產品資質 |
產品具有信息安全產品自主原創證明 |
產品具有計算機軟件著作權登記證書 |
▲產品具有計算機信息系統安全專用產品銷售許可證(百兆) |
▲產品具有Certificate of CVE Compatibility |
產品具有中國國家信息安全產品認證證書 |
▲產品具有涉密信息系統產品檢測證書(百兆) |
▲產品具有國家信息安全測評信息技術產品安全測評證書(EAL3級) |
廠家資質 |
廠商通過CMMI3認證,提供證書復印件 |
廠商具有計算機信息系統集成二級以上資質,提供證書復印件 |
廠商具備獨立發掘漏洞能力,需獨立發現并被CVE收錄的漏洞數量超過60個 |
廠商具有信息安全測評中心頒發的信息安全服務二級以上資質,提供證書復印件 |
廠商具有國家信息安全認證中心頒發的信息安全風險評估服務一級資質認證,提供證書復印件 |
廠商具有國家信息安全認證中心頒發的信息安全應急處理服務一級資質認證,提供證書復印件 |
▲廠商具有國家保密局頒發的涉及國家秘密的計算機信息系統集成甲級資質,提供證書復印件 |
廠商具有中國信息安全認證中心頒發的ISCCC信息安全管理體系認證證書,提供證書復印件 |