技术要求响应表点对点应答.doc

附件三网络信息安全解决方案招标项目及要求技术要求响应表产品技术要求规范投标产品技术规范描述偏离情况内网安全管理产品应可以做到安全准入认证与控制（非ARP欺骗方式），可以限制未授权的电脑访问公司网络ProVisa内网安全管理（以下简称ProVisa）支持软硬件方式的准入控制，可以限制未授权的电脑访问公司网络及互联网，非法内联的控制非采用ARP欺骗的方式满足产品应包括身份认证、安全准入检查、内网安全管理、桌面应用程序管理、移动外设管理、资产管理、内网审计功能，满足内网安全管理的要求ProVisa内网安全管理分为准入控制、内网安全、上网行为管理、桌面管理、拓扑管理五大模块，能够实现身份认证，安全准入检查、内网安全管理、桌面应用程序管理、移动外设管理、资产管理、内网审计功能，可以满足用户对内网安全管理的需求满足身份认证应支持基于用户名、密码、IP、MAC、系统硬件特征等认证方式；支持AD认证；支持多因素认证；支持IP地址与MAC地址的绑定ProVisa内网安全管理支持多因素身份，包括基于账号、密码、IP、MAC地址、硬盘序列号灯的认证；支持AD、LDAP认证；支持多因素身份认证，如USB key；支持角色身份的绑定，如IP与MAC地址绑定，IP与系统特征绑定等。满足产品应具备安全准入检查功能，包括：系统漏洞检查、杀毒软件使用检查、危险进程检查、ARP欺骗检查等，发现不符合安全准入策略的终端禁止接入网络ProVisa支持Windows系统漏洞检查、支持杀毒软件的检查，发现未开启杀毒软件禁止进入网络；支持危险进程的检查；支持ARP欺骗的检查、隔离、报警。满足产品应能够自动检测ARP欺骗行为，发现ARP欺骗行为后可以自动报警并提示用户；同时客户端可以自动阻止ARP欺骗包的外发，保证内网不受ARP欺骗的侵扰ProVisa能够自动检测客户端ARP发包行为，发现欺骗包自动隔离，并且可以给客户端、服务端告警。满足产品应支持按照不同的用户、部分进行划分，对不同级别的用户、部门可以授予不同的权限ProVisa按照验证状态支持已验证组、未验证组的划分；已验证组中，可以按照部门、用户划分并分配不同的权限满足产品应支持远程协助功能，管理员可以通过远程协助操作客户端电脑ProVisa支持远程协助功能，管理员可以通过远程协助操作客户端电脑满足产品应支持桌面进程的管理、窗口的管理，支持对P2P类软件、IM类软件、股票类等各类软件的使用控制，支持基于不同的时间段定义控制策略ProVisa支持基于进程、窗体的管理，能够对P2P类软件、IM类软件、股票类软件进行控制，并可根据不同的时间段定义不同的控制策略满足产品应支持对外设的管理，如USB、光驱、打印、红外、1394接口等，可以禁止或者允许外设接口的使用ProVisa支持对外设的管理、如USB、光驱、打印、红外、1394接口等，可以根据需求禁用或者启用外设接口满足产品应支持分组、全局的消息通知、软件分发ProVisa支持基于全局、分组、用户的消息通知、软件分发；软件分发支持自动安装，提示安装满足产品应支持网页访问，文件上传下载等的日志记录，应可以记录访问源用户，源IP、目的IP、URL、访问时间、访问内容、动作等，并可以根据条件检索ProVisa支持上网行为记录，能够记录网页访问日志、文件上传下载记录，可以记录用户、IP、URL、访问时间、访问内容、动作等，并可以根据条件进行检索满足支持实时带宽监控，支持实时动态带宽图；支持历史带宽查询、用户带宽统计ProVisa支持实时带宽功能，管理员可以实时看到用户上行、下行带宽；内网、外网带宽；并支持用户、部门的历史带宽查询；支持用户带宽统计满足支持多种图形化报告，用户访问排名、网站访问排名、网络访问报表，带宽统计，历史带宽记录等ProVisa支持多种图形化报表，用户排名、网站访问排名、网络访问报表，带宽统计，历史带宽记录等。满足数据、文档保护系统产品应在不改变用户原有工作流程和文件使用习惯的前提下，对需要保护的文件进行强制加密保护，并对文件的使用进行全程监控，有效防止被动和主动泄密，消除内部安全隐患于无形之中前沿文档安全管理系统（以下简称前沿）采用应用层加密技术，无需改变用户原有工作流程、文件使用习惯，可以对需加密的文件强制加密，并对文件使用过程全程监控，可有效防止主动和被动的泄密满足产品应支持自动加密、手动加密、手自一体化加密；并支持全盘加密、安装文件格式加密前沿支持自动加密、手动加密、手自一体化加密；并能够支持全盘加密、特定文件格式加密、特定部门加密等满足产品应支持文档权限的控制，系统可控制的操作有文档阅读、文档编辑、文档复制和文档打印等；产品应自动屏蔽键盘截屏键和其他第三方截屏软件前沿支持文档权限的控制，可以控制文档阅读、编辑、复制、打印控制等功能；可以自动屏蔽系统截屏键和第三方截屏软件；满足使用密文的用户不能将密文拷贝出单位，一旦拷出文档将无法正常打开；无论是谁或通过哪种方式，如邮件、U盘、光盘刻录、上传、更改文件后缀名或是另存为其他格式等，文件始终保持被加密状态前沿可以定义文档不可以被拷贝，或者拷贝后未经授权无法打开；不管是否更改文件格式、采用何种途径传输，文件始终保持加密状态满足员工需要将计算机（笔记本）带离内部工作环境时，应向系统提出申请，等待审核人员审批。系统提供受保护文档在外部环境中正常使用的功能。另外，可控制离线文档可被使用的时间与权限前沿支持文件移动办公审批功能，可以给离线用户设置文件使用权限和时间范围。满足产品应支持外发文件控制，可设置外发文件的阅读次数，阅读天数，是否需要密码等设置，保证文档安全前沿支持文件外发的审批与控制，可以设置外发文件的阅读次数，阅读天数，密码保护等，全方位保证文档的安全满足产品应支持将加密文档与指定的载体（如认证过的光盘、优盘、笔记本等）进行绑定，带离内部环境使用。文档被拷贝出指定载体后不能继续使用前沿支持加密文档与制定的载体进行绑定，可以带离公司环境后继续使用，文档拷出载体则无法继续使用满足产品应可为离开办公环境的计算机（已安装文档安全系统客户端）提供加密文档的使用授权，使工作人员可携带计算机在外部环境中使用加密文档，方便工作人员临时使用文档前沿支持移动办公授权，可以使移动办公人员方便在外部使用加密文档满足系统应具有完善日志记录功能，能够实时、准确的记录使用者对文件进行的：新建、打开、保存、删除、打印、加密、解密、权限变更、申请、审批等所有操作前沿具备完善的日志记录和审计功能，可以实时、准确记录文件使用的事件，包括：新建、打开、保存、删除、打印、加密、解密、权限变更、申请、审批等所有对加密文档的操作满足产品应支持日志查询，系统提供多条件组合查询方式，如文件名，计算机名，部门，操作名称等组合查询。方便，快捷的查询出用户需要查询的日志。并可将日志导出成excel 或txt 格式文件前沿支持日志查询，可提供多条件组合查询，如文件名、计算机名、部门、操作方式等；所有的日志都可以导出为excel、txt等格式或打印满足防火墙系统设备应采用专用硬件平台、专业安全系统Juniper SSG 320-SH(以下简称SSG 320)采用专用的硬件平台，以及专业的安全系统满足产品应至少固定4个10/100/1000Base-T ，并可扩展至8个10/100/1000Base-TSSG 320标配4个1000Base-T接口，可通过扩展支持到最多20个个1000Base-T接口满足产品性能应大于等于以下标准：防火墙性能：400 Mbps每秒处理的防火墙数据包数量：150,000 PPS3DES+SHA-1 VPN性能：150 Mbps并发VPN通道：400最大并发会话数：64,000最大安全策略数：2000SSG-320性能如下：防火墙性能：450Mbps每秒处理包性能：1750,00PPS3DES VPN性能：175Mbps并发会话数：500并发会话数：64,000最大安全策略数：2000满足防火墙应支持路由模式、NAT模式、透明模式SSG-320支持路由、NAT、透明模式满足产品应支持IPSec VPN；IPSec VPN应支持基于策略的VPN、基于路由的VPNSSG-320支持IPSec VPN,L2TP VPN；IPSec VPN支持基于策略、基于路由的VPN组网满足产品应可以防护DOS、DDOS等报文攻击，如：Syn flooding、Icmp flooding、Udp flooding、Port scan、ip sweep等攻击，对于syn flooding攻击，应支持syn protect、syn proxy、syn cookie等多种防护方式SSG 320支持DOSDDOS等攻击，如syn floodingICMP flooding、UDP flooding等攻击，支持syn protectsyn proxysyn cookie等多种防护模式满足产品应支持静态路由、策略路由SSG 320支持静态路由、策略路由、动态路由满足产品应支持安全域的划分，支持安全域的数量不少于10个SSG 320支持安全区的划分，最大支持40个安全区满足产品应支持双机热备功能，支持主/备、主/主模式，并能实现双机热备下的配置同步、会话状态同步SSG 320支持主备、双主模式，并能实现双机热备模式下的配置同步，会话状态同步满足产品应支持统一威胁管理功能，支持入侵检测功能、URL过滤功能、防病毒功能、反垃圾邮件功能等SSG 320支持统一威胁防护，支持IPS、URL过滤、防病毒、反垃圾邮件等满足产品应支持web、SSH、console等方式管理SSG 320支持WEB、SSH、CONSOLE、telnet等方式管理满足SSL VPN系统产品应具有至少4个1000Mbps接口联想网域SAG 210（以下简称SAG 210）具备4个1000Mbps接口满足产品应具备至少80 M bps加密处理性能，支持200个用户并发登录SAG210具备80Mbps以上加密处理性能，最大可支持200个用户并发登录满足产品应该支持B/S网络应用访问，访问Web应用，免客户端、免控件，实现100零客户端SAG210支持B/S网络应用架构，不需要客户端即可访问WEB应用满足产品应该支持C/S网络应用访问，支持各种静态、动态协议应用、包括邮件、数据库、FTP、文件共享等。支持TCP、UDP协议SAG210支持C/S网络应用，支持静态、动态协议应用，包括邮件、数据库、FTP、文件共享。支持TCP、UDP协议满足产品应该支持隧道方式全网络连接，实现客户端对全子网，全端口范围的应用访问，全网络连接应支持账号与虚拟IP地址的绑定SAG210支持隧道方式全网络连接，可以访问内网所有端口，建立全网络联机。满足产品应支持WEB单点登录，一次认证完成登录SSL VPN和Web服务。支持域认证方式、表单认证方式和基本认证方式SAG210支持单点登录，认证一次即可访问SSL VPN系统和WEB服务。支持域认证、表单认证、基本认证。满足产品应支持应用程序关联、WEB跳转，可定义用户登录SSL VPN后自动运行所需应用程序；可定义用户登录后直接转到Web应用页面，简化访问步骤；用户登录后可直接点击快捷标签链接访问内部服务器SAG210支持应用程序关联、WEB跳转，可自定义用户登录SSL VPN后自动运行所需要的程序，可以定义用户登录后直接跳转到指定的WEB也没，登录后可以看到快捷标签直接访问内部服务器满足产品应支持虚拟DNS管理，优先使用内部DNS解析，提高访问效率。自建DNS域名IP对应关系，实现用户通过域名访问内部应用SAG21支持虚拟DNS，可设置优先使用内部DNS服务器满足产品应支持增强的安全认证，包括：多因子认证，本地口令、RSA SecurID、SMS、X.509证书、电子钥匙证书口令；短信支持，短信猫、短信网关、SP服务商；增强型口令安全，可提供口令复杂度检测、首次登录修改密码、动态验证码，锁定暴力猜测帐号；多级帐号身份，共享帐号供多人使用，VIP帐号享有优先登录权SAG210支持增强的安全认证，支持多因子认证，本地口令、RSA SecurID、SMS、X.509证书、电子钥匙证书口令；短信支持，短信猫、短信网关、SP服务商；增强型口令安全，可提供口令复杂度检测、首次登录修改密码、动态验证码，锁定暴力猜测帐号；多级帐号身份，共享帐号供多人使用，VIP帐号享有优先登录权满足产品应支持访问痕迹清除，注销或关闭IE后，自动清除访问记录和缓存，防止在公共场合登录系统导致信息泄漏SAG210支持访问SSL VPN系统的COOKIE、临时文件清除，防止信息泄露满足产品应支持隧道隔离，可定义终端连接SSL VPN后就无法访问其他网络，确保隧道数据安全SAG210支持隧道隔离，可以定义登录SSL VPN后是否可以访问其他网络满足产品应支持安全准入检查，可支持终端操作系统、IE、杀毒软件、补丁、注册表、磁盘文件、硬件特征，系统特征等信息特征检查，支持伪造识别功能SAG210支持准入安全检查，可以检查操作系统、IE、杀毒软件、补丁、注册表、磁盘文件、硬件特征，系统特征等信息特征检查，支持伪造识别功能满足产品应支持个性化门户定制，用户可自己定制门户页面风格，无需额外Web服务器SAG210支持个性化LOGO、登录主页定制满足产品应支持应用防护功能，支持状态跟踪、防SQL注入，过滤灰色控件，屏蔽跨站脚本、杜绝非法URL入侵；支持基于IP、基于帐号并发会话连接控制，有效保抵御DDOS攻击SAG210支持应用防护功能，支持状态跟踪、防SQL注入，过滤灰色控件，屏蔽跨站脚本、杜绝非法URL入侵；支持基于IP、基于帐号并发会话连接控制，有效保抵御DDOS攻击满足产品应支持双机热备方式部署，支持主/备模式、主/主模式部署SAG210支持双机热备方式部署，支持主/备模式、主/主模式部署满足应用层安全网关系统产品应具有至少3个1000Mbps 接口，支持划分为三路链路进行应用层安全防护Anchiva A206应用层安全网关（以下简称Anchiva 206）至少支持6个1000Mbps接口，支持划分为三路链路满足产品应至少具备200Mbps HTTP防病毒过滤性能Anchiva A206产品具备200Mbps HTTP病毒过滤性能满足产品应支持bypass功能，至少支持2路bypassAnchiva A206产品支持bypass功能，至少支持2路bypass满足产品应支持防恶意软件功能，能够分析检测并阻止HTTP、HTTPS、FTP、SMTP、POP3双向流量中的病毒、木马、间谍软件、蠕虫、后门等网络威胁Anchiva A206支持防恶意软件功能，能够分析检测并阻止HTTP、HTTPS、FTP、SMTP、POP3双向流量中的病毒、木马、间谍软件、蠕虫、后门等网络威胁满足产品应支持数据安全过滤与审计，具有针对web访问内容的审计与关键字过滤功能；具有针对webmail、论坛、Blog等上传内容的关键字过滤功能；具有针对SMTP邮件、POP3邮件、FTP上传和下载的审计与关键字过滤功能；具有针对IM的审计功能。能够在网关处最大程度的保证网络数据的安全Anchiva A206支持数据安全过滤与审计，具有针对web访问内容的审计与关键字过滤功能；具有针对webmail、论坛、Blog等上传内容的关键字过滤功能；具有针对SMTP邮件、POP3邮件、FTP上传和下载的审计与关键字过滤功能；具有针对IM的审计功能。能够在网关处最大程度的保证网络数据的安全满足产品应支持Internet应用控制，应用层安全网关应能分析识别IM、P2P 、流媒体、网络游戏、网络炒股等Internet应用或内容后，通过基于用户按时间段制订允许、阻断、限流和记录日志等细粒度的策略达到对Internet应用的控制、分析与监控；同时为了满足策略群组中特定用户的需求，还可以设定特定的例外IP或用户Anchiva A206支持互联网应用控制，支持IM、P2P、流媒体、网络游戏、网络炒股等应用控制，可根据IP、用户等设置阻断、限流、记录日志等策略满足产品应支持网站管理，URL过滤，采用数据云URL过滤技术，云技术智能收集分类平台，使企业能够避免因职员访问聊天类、金融类、购物类、娱乐类等网络内容所带来的生产力的损失Anchiva A206支持网站分类管理、支持URL过滤，采用URL云过滤技术，智能收集分类表，可以避免生产力流失满足产品应该支持带宽管理功能，基于网络应用、URL类别、IP/IP组/IP地址段、用户/用户组、时间段的上行流量和下行流量带宽保证以及带宽限制，不仅能够提供对非关键网络应用的控制和限速，达到为企业网络流量整形的目的，还能够为关键的业务系统或网络应用提供带宽保证，达到网络流量优化和网络应用加速的目的Anchiva A206支持带宽管理，可基于网络应用、URL类别、IP/IP组/IP地址段、用户/用户组、时间段的上行流量和下行流量带宽保证以及带宽限制，Anchiva A206能够提供对非关键网络应用的控制和限速，达到为企业网络流量整形的目的，还能够为关键的业务系统或网络应用提供带宽保证，达到网络流量优化和网络应用加速的目的满足产品应该支持Web攻击防御，通过对进出Web服务器的http/https协议相关内容的实时分析监测、过滤，来精确判定并阻止各种Web入侵行为，阻断对Web服务器的恶意访问与非法操作，适应Web2.0时代的主动实时监测过滤风险技术，而不是被动的遭受攻击后的恢复，将恶意代码、非授权篡改、应用攻击等众多因素结合在一起进行综合防范，从而做到对Web服务器的保护，防SQL注入，防XSS攻击，防命令行注入，防弱口令攻击、防挂马攻击等Anchiva A206支持Web攻击防御，通过对进出Web服务器的http/https协议相关内容的实时分析监测、过滤，来精确判定并阻止各种Web入侵行为，阻断对Web服务器的恶意访问与非法操作，适应Web2.0时代的主动实时监测过滤风险技术，而不是被动的遭受攻击后的恢复，将恶意代码、非授权篡改、应用攻击等众多因素结合在一起进行综合防范，从而做到对Web服务器的保护，防SQL注入，防XSS攻击，防命令行注入，防弱口令攻击、防挂马攻击等满足AD域部署域控制器搭建，安装Windows 2008 server，在其上安装相应软件并将其搭建为域控制器，安装需要的网络服务确保域控制器能够正常工作提供Windows server 2008安装，搭建域控制器，并确保域控制器能够正常运行满足创建组织架构，按照电联公司现有的部门管理架构在域控制器上创建相应的OU以及个人账户，并安装账户的密码管理策略给每个用户创建账号、口令提供AD组织架构创建服务，安装电联现有的部门管理架构和命名规范创建相应的OU和个人账户，并安装密码管理策略创建用户账户、口令满足工作组到域模式迁移，逐步把电联公司现有的所有电脑（运行在工作组模式下）加入到域，完成从工作组模式到域模式的迁移提供从工作组模式到域模式的迁移服务，逐步把电联现有的所有电脑（运行在工作组模式下）加入到域，完成从工作组模式到域模式的迁移满足应用系统迁移，需要保障电联现有的应用系统，包括个人应用系统与服务器应用系统，如ERP、邮件、OA、财务软件、打印机等完成到域模式迁移后能够正常运行提供应用系统迁移服务，确保电联现有的应用系统的可用性，包括个人应用系统与服务器应用系统，如ERP、邮件、OA、财务软件、打印机等完成到域模式迁移后能够正常运行满足根据电联公司对内部电脑的管理要求，定制相应的组策略，实现统一管理提供策略定制服务，定制相应的组策略，实现统一管理满足搭建SUS服务，通过SUS服务的搭建和组策略的定制，实现对Windows系统补丁的统一更新和管理提供SUS安装配置服务，通过SUS服务的搭建和组策略的定制，实现对Windows系统补丁的统一更新和管理满足邮件安全网关邮件安全网关应具备反垃圾邮件、防病毒邮件以及内容过滤技术，能够对入站和出站的电子邮件进行安全检查和过滤；Symantec 8340邮件安全网关（以下简称Symantec 8340）具备反垃圾邮件、防病毒邮件、内容过滤、即时通讯过滤功能，可对入站、出站的电子邮件、即时消息进行安全检查和过滤满足设备应支持不少于1000用户的邮件安全过滤Symantec 8340可以支持不少于1000用户的邮件过滤满足设备存储空间应不少于80G，为保证数据安全，要求设备硬盘为raid 1模式Symantec 8340硬盘存储采用raid 1模式，存储空间80G满足设备应具备电子邮件防火墙功能，能够对账号搜集攻击 (DHA)进行防护，能进行发件人验证，SMTP连接管理Symantec 8340具备电子邮件防火墙功能，能够对账号搜集攻击 (DHA)进行防护，能进行发件人验证，SMTP连接管理满足设备应支持黑、白名单，RBL列表，支持多种语言的垃圾邮件扫描，如中文、英文、日文、韩文、西班牙语、葡萄牙语等Symantec 8340支持邮件IP、域名、邮箱的黑白名单，支持RBL列表添加，支持多语言垃圾邮件扫描，如中文、英文、日文、韩文、西班牙语、葡萄牙语等满足设备应能对邮件进行病毒扫描，并定义扫描附件的解压缩层级Symantec 8340支持对邮件的病毒扫描，可以定义附件扫描以及解压缩层级满足设备应支持基于内容的过来，可以定义邮件头、主题、内容、附件等的词典过滤器，并支持以上过滤器之间的与、或、非逻辑运算组合Symantec 8340支持基于内容的过来，可以定义邮件头、主题、内容、附件等的词典过滤器，并支持以上过滤器之间的与、或、非逻辑运算组合满足支持隔离邮件通知功能，个人邮箱使用者可以用自己的账号登陆个人隔离邮件，并可以根据发件人、收件人、邮件正文、主题、时间等条件搜索隔离邮件Symantec 8340支持隔离邮件通知功能，个人邮箱使用者可以用自己的账号登陆个人隔离邮件，并可以根据发件人、收件人、邮件正文、主题、时间等条件搜索隔离邮件满足支持WEB管理，支持自定义模板的报告生成和导出Symantec 8340支持WEB、SSH、CONSOLE管理，支持预定义、自定义的报告生成和导出满足技术服务供应商应对本项目中所有产品提供安装部署服务，保证所有产品能够稳定运行，产品安装部署完后应提交安装配置文档提供所有产品的安装部署服务，保证所有产品能够稳定运行，安装完成后提交安装配置文档满足本项目所有产品，要求提供现场的产品培训服务。本项目中防火墙、VPN系统，供应商应提供专业的产品培训，帮助管理员熟练掌握产品的原理、部署、配置、排错提供所有产品的现场培训服务，确保管理员能够掌握管理管理功能；对本项目中的防火墙、VPN系统，免费提供2个名额的产品培训，帮助管理员掌握产品的工作原理、部署、配置、