区域信息安全建设项目需求

区域信息安全建设项目需求一、项目目标通过采购部署上网行为管理设备、负载均衡设备、防火墙、安全分析与管理系统等设备，进一步加强全区业务网络安全防护和保障能力；建立分类分级、脱敏、加密等数据安全系统，保障数据共享与数据开放全过程合规使用，防止敏感数据泄露。二、项目建设周期本期目涉及到的信息安全建设项目，主要包括网络安全和数据安全建设，网络安全设备采购和搭建周期为3个月内完成并提供三年质保；数据安全软件定制开发和成品软件、扩容（升级）服务采购周期为3个月内完成并提供一年质保。三、采购清单序号分类建设内容数量单位1.网络安全建设网络安全建设上网行为管理系统1套2.负载均衡2套3.防火墙（市业务网防火墙）1套4.防火墙（网络出口冗余防火墙）1套5.防火墙（服务器区域防火墙）1套6.安全分析与管理系统1套7.VPN1套8.服务器安全管理系统200套9.光纤交换机1台10.本地备份容灾一体机扩容1项11.异地备份容灾一体机扩容1项12.防火墙升级服务包2套13.系统集成服务系统集成服务1项14.数据安全建设软件定制开发服务数据安全分类分级子系统数据源接入管理1项15.数据识别规则库1项16.数据剔除规则库1项17.安全定级策略配置1项18.安全分级任务配置1项19.数据识别结果报告1项20.敏感数据资产统计1项21.区块链子系统平行链管理1项22.智能合约管理1项23.区块链综合查询1项24.区块链实时运行1项25.区块链运行监控1项26.区块链数据校验1项27.成品软件采购数据脱敏系统1套28.数据库加密系统1套29.数据安全运营服务公共数据分类分级实施1项30.公共数据脱敏实施1项31.重要敏感数据加密实施1项四、项目需求(一)网络安全建设要求1.网络安全产品采购(1)上网行为管理系统指标项技术参数要求硬件规格规格要求建议≥5G带宽/≥50000人以下网络环境使用；最大并发连接数≥300万;最大新建连接数≥10万/秒；2U硬件;标配≥4个万兆SFP+光口；≥3个扩展槽;≥1T硬盘;冗余交流电源。硬件Bypass按钮设备必须提供物理硬件bypass按钮，便于设备巡检、设备故障时管理员无需重启、关机、断电即可恢复网络通畅。界面Bypass支持远程登录在界面实现Bypass，并可进行切换。兼容性高可用支持与机房现有的奇安信网神上网行为管理与审计系统NBM7350X设备兼容，组成双机热备主备模式部署。如不能兼容，则需提供两台性能、功能相当的设备实现双机热备主备模式部署。设备部署网关模式设备可部署在网络中提供路由转发和NAT功能，可连接ADSL线路和专线。镜像模式设备可连接一条或多条镜像线路，获取网络信息，进行行为分析和审计。网桥模式设备可直路串联在一条或多条原有网络线路上，进行行为分析、审计和控制。不改变网络拓扑，路由表项。多路桥接支持多路网桥功能，实现X进X出，即X路桥接。Portal模式设备在部署时支持模式选择，可设置为Portal模式，实现Portal服务器功能。高可用性支持多台设备主主模式部署。网络支持IPv6支持能够支持IPv6环境下的网址访问审计、生成分析报表等功能；能够在IPv6环境下，正确审计显示用户的IPv6地址。IPSecVPN支持标准IPSec协议的VPN功能，能够实现隧道建立于配置、隧道状态监视、证书管理等内容。IPSEC冗余IPSECVPN支持冗余隧道设置，支持对冗余隧道按优先级或权重的分配方式进行配置。应用管理应用审计及控制应用协议库包含的应用数量不低于7100种，应用规则总数不低于30000种。应用分类可以对下载工具、视频播放、网络游戏、金融理财、即时消息、移动应用有独立的分类进行识别控制。为覆盖工作无关应用，移动应用不少于1000种，即时消息应不低于150种，虚拟货币交易平台不低于40种；为规避外发类风险，论坛发帖应不低于3000种，网络存储不低于100种，代理隧道不低于100种。内置应用标签设备内置常用应用标签，分类至少包含内容外发风险、期货行业合规、证券行业合规、高安全风险、影响工作效率、消耗带宽6大类。网页管理网站分类库≥1.5亿条URL数据，在官网上有公开的URL库更新情况详细说明。URL分类反馈当用户的网页访问被网页浏览策略封堵时，用户如果发现分类错误能够在页面中向管理员进行反馈；管理员可查看用户反馈的分类错误，并可以选择向服务器反馈；搜索关键字审计与管理根据关键字管理搜索引擎访问；一条策略实现搜索关键字的阻断、记录、告警，方便维护。网址访问审计与管理根据URL库及URL关键字进行网址访问管理，一条策略实现阻断、记录、告警，方便维护。网页内容关键字过滤可根据网页内容关键字进行审计与过滤，一条策略实现阻断、记录、告警；每个关键字对象要求可至少录入500个关键字。阻塞提示不同网页被阻塞后会跳转不同的阻塞页面；支持用户完全自定义。IM管理QQ审计与管理可针对QQ账号制定策略，对聊天、登录及登出的行为进行记录与控制；能够对QQ文件传输行为进行审计，并且能够对传输的文件进行备份留存；支持对QQ聊天内容进行审计。可制定多条QQ审计控制策略，实现针对不同的用户匹配不同审计策略。Skype审计支持Skype账号、聊天内容、行为审计与控制。

支持skype外发文件内容的审计。Windows版客户端微信审计支持对微信windows版客户端进行聊天内容审计；

支持对微信Windows版客户端的外发文件进行文件内容审计；

支持记录发送/接受信息的微信账号；

支持记录与单人/群聊/公众号的发送/接收内容；

支持记录发送/接收文件的路径/名称/大小；

支持基于用户/位置/账号等元素对审计日志进行统计。流量管理多级虚拟通道支持多级虚拟通道，可以将物理带宽分成至少7级虚拟通道，合理分配物理带宽资源。流控策略支持基于用户、时间、应用、源IP、目的IP和服务创建流量控制策略。动态流控支持在设置流量策略后，可根据整体线路空闲情况，允许流量通道内的流量突破策略上限，以提升带宽的高使用率；空闲值可自定义。日志统计与报表日志查询可查询到网页访问、论坛发帖，webmail、邮件收发、应用访问、应用流量历史日志。日志排序所有日志可以按照用户，IP地址，匹配策略，访问控制，时间等各个列排序。日志统计可生成网页访问、论坛发帖，webmail、邮件收发、应用访问、应用流量等各种统计报表。日志USB导出支持将日志数据通过设备USB接口导出。(2)负载均衡指标项技术参数要求硬件规格要求规格：2U，内存大小≥16G，硬盘容量≥240GSSD，电源：冗余电源，接口配置≥6千兆电口+4万兆光口SFP+。产品性能要求4层吞吐量（默认网口）≥20Gbps，四层并发连接数≥16000000，4层新建连接数CPS≥500000，7层新建请求数≥RPS：500000。多合一功能集成提供针对多条出口线路的链路负载均衡功能，实现inbound和outbound流量的均衡调度，以及链路之间的冗余互备；单一设备可同时支持包括链路负载均衡、全局负载均衡和服务器负载均衡的功能。三种功能同时处于激活可使用状态，无需额外购买相应授权。服务器负载均衡支持轮询、加权轮询、按主机加权轮询、加权最小连接、按主机加权最小连接、动态反馈、最快响应时间、加权最小流量、按主机加权最小流量、源IP源端口哈希、源IP哈希、URI哈希和HOST哈希等；支持常见的主动式健康检查功能，提供基于SNMP、ICMP、SIP、ICMPv6、TCP/UDP、FTP、HTTP、DNS、RADIUS，HTTPS、LDAP、ORACLE/MSSQL/MYSQL数据库等多种类型的探测判断机制。支持外部应用监视器健康检查功能，同时可配置间隔时间、超时时间，同时可通过Web页面执行命令，并且能开启/关闭调试日志功能。支持HTTP被动健康检查，可配置指定检查URL、响应状态码、响应超时时间、统计时间以及可设置异常URL上限，并且能开启/关闭调试日志功能。支持C00KIE作用域和作用路径的自定义，支持C00KIE加密，提升C00KIE安全性。支持在同一个虚拟服务下同时配置多个IPv4和IPv6地址；支持配置每台的业务主机的并发连接数、新建连接数和每秒请求数限制，同时可配置每个虚拟服务的单个IP或所有IP的最大新建和最大并发限制。可针对单个虚拟服务配置对称路由、QoS策略、HTTP2策略和HTTP防护策略等。支持TCP策略，实现三层、四层和七层虚拟服务模式，其中三层虚拟服务模式可设置会话超时时间、TIME_WAIT超时时间等；四层虚拟服务模式可设置虚拟服务离线策略、时间戳设置、开启/关闭调整序列号和开启/关闭节点无效关闭连接；七层虚拟服务器模式可设置空闲超时时间、keepalive间隔、窗口扩大因子、Closing状态下重传次数和零窗口超时时间等；节点支持域名和IP两种形式，支持根据DNS应答的TTL值和指定时间作为DNS查询间隔。支持七层TCP自定义参数，如时间戳、节点失效关闭连接、支持SACK、重置无效连接、TTME_WAIT资源快速回收、延迟ACK和支持DSACK等。服务器负载状态支持投屏展示，能够显示设备的电源状态、风扇转速、磁盘温度、CPU温度、CPU和内存占用率、新建连接数、并发连接数、吞吐情况、SSL新建和SSL吞吐数据、压缩优化和缓存优化数据；业务的健康状态、新建连接数、并发连接数、上下行流量、每秒请求数；节点池的调度算法、健康状态、新建连接数、并发连接数、上下行流量；高可用性支持双机热备部署方式，可自动同步配置并提供连接会话的镜像功能，实现无缝故障切换；支持基于链路流量进行有效性判断，能够在预设时间内进行主动探测；支持高可用集群N+M部署方式，单集群支持16台设备，可自动同步配置并提供连接会话的镜像功能，实现无缝故障切换。(3)防火墙（市业务网防火墙）指标项技术参数要求硬件规格要求规格：1U，内存大小≥16G，硬盘容量≥256GSSD，电源：冗余电源，接口配置≥16千兆电口+6万兆光口SFP+。产品性能要求网络层吞吐量≥40G，应用层吞吐量≥25G，并发连接数≥420万，HTTP新建连接数≥19万。工作模式产品支持路由模式、透明模式、虚拟网线模式、旁路镜像模式等多种部署方式。产品支持虚拟防火墙功能，支持虚拟防火墙的创建和删除，具备独立的接口、会话管理、应用控制策略、NAT等资源。路由特性产品支持静态路由、策略路由和多播路由协议。产品支持BGP、RIP、OSPF等动态路由协议。NAT功能产品支持多对一、一对多和一对一等多种地址转换方式。产品支持NAT穿透技术ALG，支持FTP、TFTP、SQLNET、PPTP、RTSP、SIP、H.323等协议。访问控制产品支持基于网络区域、网络对象、MAC地址、服务、应用等维度进行访问控制策略设置。应用控制产品支持应用管控功能，应用特征识别库数量大于9160种。DDoS防护产品支持异常数据包攻击防御，防护类型包括IP数据块分片传输防护、Teardrop攻击防护、Smurf攻击防护、Land攻击防护、WinNuke攻击防护等攻击类型。入侵防御产品内置不低于10800种漏洞规则，同时支持在控制台界面通过漏洞ID、漏洞名称、危险等级、漏洞CVE标识、漏洞描述等条件查询漏洞特征信息，支持用户自定义IPS规则。。产品支持僵尸主机检测功能，产品内置僵尸网路特征库超过128万种，可识别主机的异常外联行为。账号安全产品支持用户账号全生命周期保护功能，包括用户账号多余入口检测、用户账号弱口令检测、用户账号暴力破解检测、失陷账号检测，防止因账号被暴力破解导致的非法提权情况发生。管理员账号权限管控产品支持管理员三权分立功能，根据管理员权限分为安全管理员、安全审计员、系统管理员三种角色。双因素认证产品支持管理员双因素认证功能，用户通过用户名/密码和Key等不同方式登陆产品管理界面。(4)防火墙（网络出口）指标项技术参数要求防火墙吞吐量最大吞吐量≥60Gbps新建连接速率每秒新建连接数≥60万并发连接数并发连接数≥800万机箱高度2U机箱网络接口提供≥4个万兆SFP+光口接口扩展≥3个接口扩展槽硬盘≥1T存储容量电源冗余电源维保及授权服务设备提供3年软硬件维保服务及3年全功能模块特征库升级服务。兼容性支持与现有的奇安信网神NSG7000-TX55M防火墙设备兼容，组成双机热备主备模式部署。部署模式产品支持路由、透明、交换以及混合模式接入，满足复杂应用环境的接入需求。支持旁路模式。网络协议所投产品必须支持VTEP（VxLanTunnelEndPoint）模式接入VxLAN网络，并可作为VXLAN二层、三层网关实现VxLan网络与传统以太网的相同子网内、跨子网间互联互通；支持通过绑定VLAN、VNI（VXLANNetworkIdentifier）、远程VTEP，手动管理VxLan网络；支持MAC、VNI、VTEP静态绑定。所投产品必须支持MPLS流量透传；支持针对MPLS流量的安全审查，包括漏洞防护、反病毒、间谍软件防护、内容过滤、URL过滤、基于终端状态访问控制等安全防护功能；所投产品必须支持支持通过802.3ad协议、轮询、热备等方式将多个物理口绑定为一个逻辑接口，实现接口级的冗余，并可根据：源目的MAC组合、MAC和IP组合或TCP/UDP端口组合等方式实现负载和备份。所投产品必须支持MTU≥9000byte的巨型帧JumboFrame。路由协议所投产品必须支持支持静态路由、策略路由及动态路由。策略路由支持用户自定义其优先级，动态路由应至少支持RIPv1/v2/ng，OSPFv2/v3，BGP4/4+协议；必须支持静态和动态多播路由，动态多播路由必须支持PIM-SM（稀疏模式）。所投产品必须支持基于策略的路由负载，支持根据应用和服务进行智能选路，支持源地址目的地址哈希、源地址哈希、轮询、时延负载、备份、随机、流量均衡、源地址轮询、目的地址哈希、最优链路带宽负载、最优链路带宽备份、跳数负载等不少于12种路由负载均衡方式，支持基于IPv4或IPv6的TCP、HTTP、DNS、ICMP等方式的链路探测，同时TCP与HTTP可使用自定义目标端口进行测试。所投产品必须支持ISP路由负载均衡，最大可支持8条链路负载，支持自定义负载权重，支持基于优先级的ISP路由链路备份；支持基于IPv4或IPv6的TCP、HTTP、DNS、ICMP等方式的链路探测，同时TCP与HTTP可使用自定义目标端口进行测试。访问控制所投产品必须支持基于源安全域、目的安全域、源用户、源地址、源地区、目的地址、目的地区、服务、应用、隧道、时间、VLAN等多种方式进行访问控制，并支持地理区域对象的导入以及重复策略的检查。所投产品比如支持基于IPv4/v6地址、应用的会话限制，限制动作包每IP新建、每IP并发、所有IP新建、所有IP并发，且可以基于安全域指定限制方向。应用识别与控制所投产品必须支持应用识别，应用特征库包含的应用数量（非应用协议的规则总数）大于2800种，可深度识别每种应用的属性，为每种应用提供预定义的风险系数，并将应用基于类型、使用场景、数据传输、风险等级等特征分类。所投产品可直观展示不同风险等级的应用在1天（24小时）或一周（7天）内传输流量的绝对数值及占全网流量的百分比。网络攻击防护所投产品必须支持基于不同安全区域防御SYNFlood、UDPFlood、ICMPFlood、IPFlood、DNSFlood、HTTPFlood攻击，并支持警告、丢弃、普通防护（首包丢弃）、增强防护（TC反弹技术）、授权服务器防护（NS重定向）、普通防护（自动重定向）、增强防护（手工确认）等多种防护措施。所投产品必须支持可配置阈值的基于安全域或基于二层接口局域网广播防护，防止局域网内广播和多播数据包泛滥。所投产品必须支持DHCP协议防护；支持手动定义可信DHCP服务器IPv4和基于阈值限制DHCP请求传输速率。病毒防护所投产品必须能够对HTTP/FTP/POP3/SMTP/IMAP/SMB六种协议进行病毒查杀；本地病毒库规模大于3000万。所投产品必须支持对最多6级的压缩文件进行解压查杀。所投产品必须支持基于MD5的自定义病毒签名；支持设置例外特征，对特定的病毒特征不进行查杀。入侵防御所投产品必须支持漏洞防护功能，同时将漏洞防护特征库分类，至少包括缓冲区溢出、跨站脚本、拒绝服务、恶意扫描、SQL注入、WEB攻击等六种分类；漏洞防护支持日志、阻断、放行、重置等执行动作,可批量设置针对某一分类或全部攻击签名的执行动作；支持基于FTP、HTTP、IMAP、OTHER_APP、POP3、SMB、SMTP等应用协议的漏洞防护。所投产品必须支持在设备漏洞防护特征库直接查阅攻击的名称、CVEID、CNNVDID、CWEID、严重性、影响的平台、类型、描述、解决方案建议等详细信息。运维管理所投产品必须支持双系统备份，且在系统切换中可实现配置的自动迁移；可记录不同时间点的历史配置文件。所投产品必须支持将告警信息以SNMPTrap、邮件、声音、短信等形式通知管理员，告警信息的范围至少包括配置变更、病毒事件、攻击事件、异常事件、失陷主机告警、并发数告警、CPU利用率、内存利用率、硬盘利用率、接口带宽利用率、NAT端口池利用率等。所投产品必须提供可明文或加密方式调用的RestfulAPI，并可指定RestfulAPI使用的本地端口；为确保设备管理的安全性，所投产品必须支持限制特定主机调用RestfulAPI支持定义第三方设备、平台通过调用RestfulAPI至少可配置所投设备的访问控制策略、源NAT策略、目的NAT策略、静态路由、高可用以及区域、地址、服务、时间、用户对象等功能。(5)防火墙（服务器区域）指标项技术参数要求防火墙吞吐量最大吞吐量≥60Gbps新建连接速率每秒新建连接数≥60万并发连接数并发连接数≥800万机箱高度2U机箱网络接口提供≥8个千兆电口，≥8个千兆SFP光口，≥4个万兆SFP+光口接口扩展≥1个接口扩展槽硬盘≥1T存储容量电源冗余电源维保及授权服务设备提供3年软硬件维保服务及3年全功能模块特征库升级服务。部署模式产品支持路由、透明、交换以及混合模式接入，满足复杂应用环境的接入需求。支持旁路模式。网络协议所投产品必须支持VTEP（VxLanTunnelEndPoint）模式接入VxLAN网络，并可作为VXLAN二层、三层网关实现VxLan网络与传统以太网的相同子网内、跨子网间互联互通；支持通过绑定VLAN、VNI（VXLANNetworkIdentifier）、远程VTEP，手动管理VxLan网络；支持MAC、VNI、VTEP静态绑定。所投产品必须支持MPLS流量透传；支持针对MPLS流量的安全审查，包括漏洞防护、反病毒、间谍软件防护、内容过滤、URL过滤、基于终端状态访问控制等安全防护功能；所投产品必须支持支持通过802.3ad协议、轮询、热备等方式将多个物理口绑定为一个逻辑接口，实现接口级的冗余，并可根据：源目的MAC组合、MAC和IP组合或TCP/UDP端口组合等方式实现负载和备份。所投产品必须支持MTU≥9000byte的巨型帧JumboFrame。路由协议所投产品必须支持支持静态路由、策略路由及动态路由。策略路由支持用户自定义其优先级，动态路由应至少支持RIPv1/v2/ng，OSPFv2/v3，BGP4/4+协议；必须支持静态和动态多播路由，动态多播路由必须支持PIM-SM（稀疏模式）。所投产品必须支持基于策略的路由负载，支持根据应用和服务进行智能选路，支持源地址目的地址哈希、源地址哈希、轮询、时延负载、备份、随机、流量均衡、源地址轮询、目的地址哈希、最优链路带宽负载、最优链路带宽备份、跳数负载等不少于12种路由负载均衡方式，支持基于IPv4或IPv6的TCP、HTTP、DNS、ICMP等方式的链路探测，同时TCP与HTTP可使用自定义目标端口进行测试。所投产品必须支持ISP路由负载均衡，最大可支持8条链路负载，支持自定义负载权重，支持基于优先级的ISP路由链路备份；支持基于IPv4或IPv6的TCP、HTTP、DNS、ICMP等方式的链路探测，同时TCP与HTTP可使用自定义目标端口进行测试。访问控制所投产品必须支持基于源安全域、目的安全域、源用户、源地址、源地区、目的地址、目的地区、服务、应用、隧道、时间、VLAN等多种方式进行访问控制，并支持地理区域对象的导入以及重复策略的检查。所投产品比如支持基于IPv4/v6地址、应用的会话限制，限制动作包每IP新建、每IP并发、所有IP新建、所有IP并发，且可以基于安全域指定限制方向。应用识别与控制所投产品必须支持应用识别，应用特征库包含的应用数量（非应用协议的规则总数）大于2800种，可深度识别每种应用的属性，为每种应用提供预定义的风险系数，并将应用基于类型、使用场景、数据传输、风险等级等特征分类。所投产品可直观展示不同风险等级的应用在1天（24小时）或一周（7天）内传输流量的绝对数值及占全网流量的百分比。网络攻击防护所投产品必须支持基于不同安全区域防御SYNFlood、UDPFlood、ICMPFlood、IPFlood、DNSFlood、HTTPFlood攻击，并支持警告、丢弃、普通防护（首包丢弃）、增强防护（TC反弹技术）、授权服务器防护（NS重定向）、普通防护（自动重定向）、增强防护（手工确认）等多种防护措施。所投产品必须支持可配置阈值的基于安全域或基于二层接口局域网广播防护，防止局域网内广播和多播数据包泛滥。所投产品必须支持DHCP协议防护；支持手动定义可信DHCP服务器IPv4和基于阈值限制DHCP请求传输速率。病毒防护所投产品必须能够对HTTP/FTP/POP3/SMTP/IMAP/SMB六种协议进行病毒查杀；本地病毒库规模大于3000万。所投产品必须支持对最多6级的压缩文件进行解压查杀。所投产品必须支持基于MD5的自定义病毒签名；支持设置例外特征，对特定的病毒特征不进行查杀。入侵防御所投产品必须支持漏洞防护功能，同时将漏洞防护特征库分类，至少包括缓冲区溢出、跨站脚本、拒绝服务、恶意扫描、SQL注入、WEB攻击等六种分类；漏洞防护支持日志、阻断、放行、重置等执行动作,可批量设置针对某一分类或全部攻击签名的执行动作；支持基于FTP、HTTP、IMAP、OTHER_APP、POP3、SMB、SMTP等应用协议的漏洞防护（投标文件需要提供能够体现漏洞防护特征库分类信息、支持的执行动作以及支持的应用协议的截图）。所投产品必须支持在设备漏洞防护特征库直接查阅攻击的名称、CVEID、CNNVDID、CWEID、严重性、影响的平台、类型、描述、解决方案建议等详细信息。运维管理所投产品必须支持双系统备份，且在系统切换中可实现配置的自动迁移；可记录不同时间点的历史配置文件。所投产品必须支持将告警信息以SNMPTrap、邮件、声音、短信等形式通知管理员，告警信息的范围至少包括配置变更、病毒事件、攻击事件、异常事件、失陷主机告警、并发数告警、CPU利用率、内存利用率、硬盘利用率、接口带宽利用率、NAT端口池利用率等。所投产品必须提供可明文或加密方式调用的RestfulAPI，并可指定RestfulAPI使用的本地端口；为确保设备管理的安全性，所投产品必须支持限制特定主机调用RestfulAPI支持定义第三方设备、平台通过调用RestfulAPI至少可配置所投设备的访问控制策略、源NAT策略、目的NAT策略、静态路由、高可用以及区域、地址、服务、时间、用户对象等功能。(6)安全分析与管理系统指标项技术参数要求一、态势感知平台硬件要求服务器规格：≥2颗12核CPU主频2.20GHz以上，内存≥256GB；系统硬盘：≥2块960GSSD固态硬盘；数据硬盘：≥12*4TB企业级SATA3.5寸硬盘；冗余双电源；千兆电口≥4个、万兆SFP+光口≥2个；USB3.0接口≥3。功能支持支持监控中心、威胁检测、分析中心、响应中心、资产中心、统计报表、安全管理、系统管理功能模块，支持第三方日志采集，支持提供威胁情报、漏洞、威胁预警包、规则一体包等知识库，提供至少9块态势感知大屏。数据采集与存储支持接入并管理日志采集器、流量采集器，可支持第三方采集器接入；默认支持接入并解析的数据源数量50个，支持按需扩容数据源数量。日志接入支持界面交互式配置，可通过图形化界面配置日志解析条件，利用正则表达式、分隔符、Key-Value、JSON等方法定义解析规则，实现灵活的日志格式范式化，系统自动生成解析规则无需通过代码编写解析规则；系统需采用分布式数据存储形式，提供数据存储类型信息（ES、HIVE）和阈值配置以实现冷热数据分别存储，提供日志类型分组的管理。资产管理支持管理主机资产和网站资产，主机资产包括不限于主机设备、网络设备、安全设备、应用系统等类型；支持管理网站资产。资产可分组管理，包括不限于按照网段、业务系统、地理位置、组织架构、自定义分组；支持资产分类和资产属性的自定义扩展。支持自动识别和标识出DHCP类型动态IP资产，并自动记录资产历史IP、最新动态IP，避免办公网IP告警无法正确溯源对应终端。支持和同品牌网络流量探针、服务器管理系统、终端管理系统、网站监测系统、云安全管理平台进行协同对接，同步资产信息，支持对发现资产的方式的优先级、资产更新策略进行配置。支持对资产及资产组基于资产价值、脆弱性、攻击威胁三大属性进行风险评估，形成百分制的量化指标供安全分析人员参考；可以以资产的维度查看资产名称、资产风险值、资产告警数、资产脆弱性数、资产失陷状态标识等关键指标信息。脆弱性管理支持导入第三方漏洞扫描报告，系统至少支持绿盟、启明、网神、天融信、Tenable五款主流扫描器厂家漏扫报告的解析识别和导入管理，支持人工漏洞报告导入，支持使用模板进行漏洞信息的导入；支持对绿盟、启明、网神、Tenable中至少两款主流扫描设备进行漏洞扫描任务调度和弱口令扫描任务调度，可自动获取扫描器的扫描策略并执行周期性扫描任务和快速扫描任务扫描；支持通过同品牌流量探针采集漏洞、弱口令信息。威胁情报提供内置威胁情报库，类型包含：远控木马、APT事件、勒索软件、黑色工具、流氓软件、其他恶意软件、窃密木马、网络蠕虫、僵尸网络；支持威胁情报库的在线升级和手动升级；支持自定义威胁情报。支持云端威胁情报查询，查询结果需包含：IP主机信息、IP位置信息、域名流行度、情报IOC详情、相关样本、可视化分析、域名解析记录、域名注册信息、关联域名、数字证书等信息。威胁预警支持对重大网络安全事件（如Log4J漏洞利用等新生大面积爆发的严重事件）进行威胁预警。通过厂商对重大网络安全事件的追踪生成预警包，并赋能分发给用户。支持通过预警包导入完成网络安全事件的影响面评估，并持续的跟进事态的发展，快速完成重大网络安全事件的预警及处置。威胁检测预置的关联规则分析场景，包括不限于：攻击利用、恶意软件、拒绝服务、异常事件、内容安全、信息收集、威胁活动、情报命中等场景的分析；预置关联规则支持展示覆盖ATT&CK矩阵情况，支持通过告警关联到ATT&CK知识库。预置关联规则覆盖第三方日志源，包括但不限于防火墙、防毒墙、IPS（IDS）、WAF、AD域、服务器、VPN等。支持关联规则的自定义，支持图形化连线拖拽的交互配置方式灵活组合规则中的计算单元，计算单元至少包括关联、统计和序列，支持引入资产、情报、漏洞、日志、流量、自定义对象资源进行关联分析，支持规则引入规则，检测复杂场景的威胁，如永恒之蓝。告警分析内置多种安全分析场景，每个场景提供独立专业的分析视图，分析场景包括但不限于攻击者分析、实体分析、威胁情报命中、勒索、挖矿、账号风险、异地账号登录、暴力破解、明文密码泄露、弱口令、VPN账号安全、邮件敏感关键词、邮件敏感后缀等告警分析。事件调查支持通过创建事件调查任务对威胁事件和可疑事件进行调查分析，调查任务中可添加的证据数据包括：日志、告警、漏洞、弱口令、配置核查、文本；支持对以攻击者和受害者情况视角对调查任务中的数据做统计分析；支持调查结果的图形化展示。工单处置工单处理流程对告警事件、漏洞、弱口令及配置核查问题进行跟踪；支持将安全事件以工单形式通过邮件、短信、消息中心、企业微信通知到工单的创建人、责任人与相关人；工单支持响应时长、处置时长的跟踪。联动处置支持与本项目防火墙进行联动处置，当发现威胁事件后，可以及时给联动设备下发阻断或告警的安全防护策略动作；支持对终端安全管理软件联动设备下发的联动处置命令，包含：全网终端隔离特定文件，特定终端隔离特定文件等；仪表板支持自定义仪表板功能，能够在仪表板内加入多种统计分析视图（含自定义），支持在引用视图时查看视图内容，还支持跳转到视图模块新增视图便于仪表板快速引用。支持选择、拖拽、边框调整等操作，形成账户独有的仪表板展示页面。态势大屏展示至少具备综合安全态势、安全运营态势、威胁预警态势、外部威胁态势、内网威胁态势、攻击者态势、资产态势、资产风险态势、全网脆弱性态势等态势感知大屏。二、态势感知流量探针指标项技术参数要求硬件规格吞吐量≥7Gbps，HTTP并发连接数≥700万，HTTP新建连接速率≥25万/秒；3U机箱，冗余电源，配置≥1个10/100/1000M专用管理接口，1个Console口，≥4个SFP+万兆光口，≥7个接口扩展板卡插槽。兼容性为了保障态势感知平台能稳定与兼容性高效的运行，本产品必须与态势感知平台兼容。旁路部署支持通过流量镜像的方式旁路部署在虚拟化网络中，实现网络流量数据采集、威胁检测和日志外发，支持通过重置会话的方式阻断TCP威胁会话连接，支持通过流量被动识别资产。流量采集采集过滤条件支持但不限于源地址、目的地址、服务、流量采样比、时间等。需支持空载荷过滤，支持对采集的流量的上下行载荷长度设置。支持离线采集，可通过手动PCAP导入或FTP等协议批量上传导入等方式对离线流量进行采集。流量识别与解析支持精准识别通讯类、语音类、视频类、更新类、下载类、邮件类、金融类、理财类等多类别的应用识别，应用识别库3000+。支持VXLAN、GRE、VLAN、MPLS的流量接入与解析，日志中可提现响应标识信息。支持Oracle、MySQL、MSSQL、PostgreSQL、MongoDB、DB2等数据库行为的解析。支持WebMail、SMTP、POP3、IMAP邮件行为解析。支持ICMP、DHCP、HTTP、TELNET、DNS、SSL等基础协议的解析。支持如ftp、smb、oracle、mysql、mssql、postgresql、ssh、pop3、smtp的登录动作解析。支持LDAP、Kerberos、Radius等认证解析。具有自定义解析流量能力，支持基于正则表达式、TLV格式、固定长度等提取模式对应用流量解析。文件还原支持还原多种文件传输协议，包括：邮件（SMTP、POP3、IMAP、webmail）、Web（HTTP）、FTP、SMB、TFTP、QQ。支持多种文件类型的筛选，可执行文件还原格式包含：bin、exe、bat、dll、sys、com、ax、acm、drv等；压缩文件还原格式包含：rar、zip、gz、7z、tar等；文档类型的还原格式包含：doc、docx、xls、txt、pptx、pdf、rtf、ppt等。威胁检测系统具备全面的间谍软件检测能力，可检测常见的病毒蠕虫、僵尸网络、黑市工具、勒索软件、挖矿木马、隧道、代理通道、后门程序、远控木马等。系统具备全面的漏洞检测能力，可检测常见的溢出攻击、跨站脚本、SQL注入、拒绝服务、跨站请求伪造、目录遍历、webshell上传等。系统支持Flood攻击检测，包括SYNFlood、ICMPFlood、UDPFlood和IPFlood；支持应用层Flood攻击检测，包括DNSFlood和HTTPFlood。系统需支持按照协议类型对攻击事件规则的设置检测有效性，协议类型包括HTTP、DNS、FTP、ICMP、IMAP、IRC、Mongodb、NNTP、POP3、RIP、RLOGIN、SMTP、SNMP、TDS、TELNET、TFTP、TNS等。系统提供的攻击特征不应少于10000条有效最新攻击规则，特征库需支持自动及手动升级。本地集成威胁情报库，支持实现基于威胁情报的失陷主机检测，情报不少于200万。系统需具备专业的查毒引擎，独立的病毒库，支持通过对HTTP、FTP、SMTP、POP3、IMAP、SMB、TFTP、NFS协议进行恶意文件检测。支持恶意文件例外，对指定特征的恶意文件及文件类型不进行查杀。具有云端检测能力，并支持云端沙箱检测。系统需具备攻击检测能力的扩展功能，支持自定义恶意文件、自定义漏洞、自定义间谍软件、自定义威胁情报；

漏洞与间谍软件需支持HTTP协议攻击特征自定义，提供http_host、http_method、http_url、http_referer等协议变量特征的自定义，支持设置协议变量的操作符，操作符包括等于、包含或通过正则表达式设置。系统本地需具备攻击告警的过滤能力，能够针对IP地址或端口对攻击告警进行过滤，支持攻击特征高亮展示，方便分析人员事件分析。数据外发通信模式支持但不限于KAFKA、ZMQ、SYSLOG等协议，需支持多路外发，并支持外发多地址的负载均衡处理。支持灵活配置外发策略，日志类别可配置。传输模式支持加密、压缩、以及认证，认证包括但不限于kerberos认证、LDAP认证。外发类别支持但不限于流量日志、威胁日志、资产日志、样本文件、威胁相关pcap等。旁路阻断支持旁路IPv4和IPv6的IP阻断、URL重定向、DNS重定向。资产识别系统具有资产识别能力，能够根据流量识别资产的操作系统、服务、开放端口、banner信息等。支持资产识别范围配置、支持资产识别展示及导出。流量及样本取证支持威胁告警的相关pcap数据留存，支持本地下载及外发，外发通信协议包括但不限于KAFKA、FTP、SFTP等。支持威胁告警的相关文件留存，支持本地下载及外发，外发通信协议包括但不限于FTP、SFTP等。支持可疑流量的留存，留存条件支持但不限于数据方向、地址、端口、应用、URL、时间等。

抓取的流量支持本地留存、定时或实时上传。网络配置接口支持IPv4、IPv6配置，支持IPv4、IPv6流量接入，支持对IPv4路由监控和对IPv6路由监控。业务统计和状态监控支持失陷主机、恶意文件检测、漏洞攻击检测的数量统计。基于应用维度的TOP5、TOP10的24小时/7天的实时流量统计和可视化展示。基于接口维度的发送、接收和总数的实时流量统计和可视化展示。基于会话维度并发、新建的24小时/7天的统计和可视化。网络流量传感器生成的网络流量日志数和威胁检测日志数的实时统计及可视化展示。支持监控系统CPU状态（使用率、温度）。安全管理支持HTTP、HTTPS、Telnet、远程SSH等多种管理方式，用户可自定义修改管理端口。支持可信主机和可信MAC功能，仅可信地址可访问该设备。支持配置设备名称、时间、DNS和NTP服务器。支持用户名/口令认证，HTTPS方式支持证书认证，WEB方式支持动态验证码认证，防止管理账号被暴力破解。支持用户自定义系统管理的安全级别，包括登录超时时间、密码有效期、密码长度、密码复杂度、登录安全策略、登录失败次数锁定、登录失败间隔、账号锁定时间，锁定方式等。配置文件管理支持配置文件的导入、导出。支持基于本地、FTP和TFTP的配置文件导出，导出的配置支持加密。二次开发接口系统提供二次开发接口，接口形式为RestfulAPI，提供功能配置、统计等接口。(7)VPN指标项技术参数要求硬件规格要求规格：1U，内存大小≥8G，硬盘容量≥64GBSSD，电源：冗余电源，接口配置≥6千兆电口+4千兆光口SFP。产品性能要求性能参数：最大理论加密流量（Mbps）≥350，最大理论并发用户数≥8000，IPSec加密最大流量（Mbps）≥200，设备整机理论最大吞吐量≥1.2Gbps，设备整机理论最大并发会话数≥150W。基本特性专业VPN设备，采用标准SSL、TLS协议，同时支持IPSecVPN、SSLVPN、PPTPVPN、L2TPVPN，非插卡或防火墙带VPN模块设备,支持复用现有vpn客户端或web页面等现有连接方式形式进行用户认证登陆，不改变用户习惯。支持终端使用包括IE6、7、8、10、11或其他IE内核的浏览器，以及最新版本的非IE内核浏览器，如WindowsEDGE，GoogleChrome，Firefox，Safari，Opera最新版登录SSLVPN系统，登录后可完整支持各种IP层以上的B/S和C/S应用。产品应支持国家商用密码算法包括：SM1、SM2,SM3,SM4算法。易用性可支持个性化登录策略，在一台设备上配置不同的访问域名、IP地址，以及不同的使用界面，实现一台设备为多个不同用户群体服务的的使用效果。支持文档WEB化管理，用户可通过任意浏览器，对存储服务器的文件进行管理操作（包括：上传、下载、删除、重命名、剪切、复制、粘贴、新建文件目录），而不需要额外安装FTP、文档共享软件等应用程序客户端。产品应提供环境检测、自动修复工具，支持对Windows的环境兼容性一键检测能力，以及对检测结果进行一键修复的能力，避免由于用户操作系统环境存在问题影响SSLVPN的使用，减轻运维工作。终端安全产品必须支持防中间人攻击，产品可在用户登录SSLVPN时智能判断存在中间人攻击行为，断开被攻击的连接，并可提示异常现象。支持用户终端登录前、登陆后的安全性检测，检测范围包括：用户接入IP、接入时间、接入线路IP、进程、文件、注册表、操作系统、使用终端，可以检测出客户端是否安装指定的防火墙或杀毒软件。设备自身安全支持设备自身的抗攻击防护，支持防Host头部攻击设置，用于防止Host头部攻击,设备只允许通过符合设置规则的地址进行访问；支持防SWEET32攻击设置，用于防止SWEET32攻击。高速性支持针对不同的web页面进行数据优化，支持动态压缩技术，基于数据流进行压缩，减少不必要的数据传输。针对B/S资源支持WebCache技术，动态缓存页面元素，提高Web页面响应速度。支持流缓存技术，实现网关与网关、网关与移动客户端之间进行多磁盘、双向、基于分片数据包的字节流缓存加速，削减冗余数据，降低带宽压力的同时提高访问速度；支持共享流缓存功能，实现多分支网关在总部共享流缓存数据，提高流缓存效果。(8)服务器安全管理系统指标项技术参数要求部署要求系统支持无代理部署模式及有代理部署模式，以便结合管理需求选择相应部署模式。支持一套管控中心统一管理，包括有代理、无代理部署模式统一管理；物理服务器、虚拟服务器统一管理；Windows、Linux、信創操作系统统一管理；私有云、公有云、容器环境统一管理。客户端及病毒库要求提供200个服务器安全管理系统客户端3年授权，及病毒防护特征库升级服务。(9)光纤交换机指标项技术参数要求硬件配置端口速率：端口支持全双工，端口速率自适应:4Gbps，8Gbps，16Gbps，32Gbps光纤通道端口：24个32Gbps光纤自感应端口，本次配置24个端口激活，并配置24个16GB原厂短波模块。可扩展性：支持完全光纤架构，最多可有239台交换机。总带宽：整机吞吐容量>=768Gbit/sec。管理方式：管理方式支持：Telnet、HTTP,SNMPv1/v3;审核、系统日志、高级性能健康。安全性：安全性要求：DH-CHAP（交换机和终端设备间）、FCAP交换机身份验证；符合FIPS140-2L2标准、HTTPS、IPsec、IP过滤、LDAPwithIPv6、端口绑定、RADIUS、用户定义的基于角色的访问控制（RBAC）、SecureCopy（SCP）、SecureRPC、SFTP、SSHv2、SSL、交换机绑定、TrustedSwitch。(10)本地备份容灾一体机扩容指标项技术参数要求硬件配置一体机扩容：每台硬件：6*8TB硬盘，含3年硬盘不返还服务。每台软件：含32TB备份容量授权许可。平台安全性相当于linux的备份存储专用系统，支持https方式登录，确保登录安全。支持设置WEB管理界面访问的白名单，支持通过IP地址、CIRD和MAC地址的方式进行限制。通过限制WEB的访问通道，提高系统安全性。WEB管理界面登录支持双重认证。使用用户名密码登陆后，要求进行邮件二次认证才允许进入备份系统。支持使用AccessKey的用户登录模式，有效解决用户应用系统密码定期自动变更和无密码场景下备份作业的按期执行。支持管理员自定义哪些类型的业务需要启用审批，业务类型包括修改存储池、创建备份作业、创建恢复作业等。文件保护支持Windows、Linux、UNIX、AIX、Solaris、HP-UX等主流操作系统，以及龙芯、飞腾架构下中标麒麟、银河麒麟等自主可控操作系统，提供自主可控操作系统互认证证书扫描件。不限备份客户端数量。支持在同一文件备份作业中采用多通道并发备份，提高备份和恢复的速度。支持文件合成备份，合成数据通过挂载方式实现即时恢复。支持对象存储中存储桶和对象的备份（完全备份、增量备份、合成备份）与恢复。且支持单文件细粒度的备份和恢复。数据库保护支持对Oracle的日志进行详细解析，可以查看每条日志数据的实际执行内容，包括：时间、SCN、用户名、表名、操作类型、SQL语句等。在数据恢复作业中可以选择准确的SCN来确定数据恢复点。针对Oracle中已经提交的事务，根据日志解析后得到的SQL语句，创建撤销处理，把数据回滚到事务提交前的状态。基于MySQL的物理备份数据，在进行数据恢复时，支持恢复到指定的GTID（globaltransactionidentifier）。支持对Oracle、MySQL的日志文件采用连续日志备份方式，持续监控日志文件的变化情况，即时把新增日志的数据块进行备份，实现对数据库变化数据达到秒级以内的备份保护。重复数据删除支持固定块、变长块的数据重删技术，在创建重删存储空间时，需要提供变长和固定数据的数据块大小选择。远程复制支持备份数据的远程复制，通过异地存储的备份数据，对本地、异地中备份管理服务端、存储、代理端等设备，实现在本机或异机上进行恢复。支持对远程复制设置带宽上限设定、数据传输加密、断线重连等规则。支持对远程复制进行流量控制，合理控制带宽资源。支持对数据传输和存储进行加密，提升传输过程以及存储的安全性。具备断点续传特性，当远程复制过程中出现中断时，恢复正常后可基于上一次断点处进行续传。支持本地数据远程复制到带库和云端进行保存。支持将重复数据删除后备份数据直接复制到远端存储。数据加密支持AES、Blowfish等加密算法。对于AES加密需要支持选择不同密钥长度，以便用户根据源端计算资源情况选择合适的数据加密处理。(11)异地备份容灾一体机扩容指标项技术参数要求硬件配置一体机扩容：每台硬件：6*8TB硬盘，含3年硬盘不返还服务。每台软件：含32TB备份容量授权许可。平台安全性相当于linux的备份存储专用系统，支持https方式登录，确保登录安全。支持设置WEB管理界面访问的白名单，支持通过IP地址、CIRD和MAC地址的方式进行限制。通过限制WEB的访问通道，提高系统安全性。WEB管理界面登录支持双重认证。使用用户名密码登陆后，要求进行邮件二次认证才允许进入备份系统。支持使用AccessKey的用户登录模式，有效解决用户应用系统密码定期自动变更和无密码场景下备份作业的按期执行。支持管理员自定义哪些类型的业务需要启用审批，业务类型包括修改存储池、创建备份作业、创建恢复作业等。文件保护支持Windows、Linux、UNIX、AIX、Solaris、HP-UX等主流操作系统，以及龙芯、飞腾架构下中标麒麟、银河麒麟等自主可控操作系统，提供自主可控操作系统互认证证书扫描件。不限备份客户端数量。支持在同一文件备份作业中采用多通道并发备份，提高备份和恢复的速度。支持文件合成备份，合成数据通过挂载方式实现即时恢复。支持对象存储中存储桶和对象的备份（完全备份、增量备份、合成备份）与恢复。且支持单文件细粒度的备份和恢复。数据库保护支持对Oracle的日志进行详细解析，可以查看每条日志数据的实际执行内容，包括：时间、SCN、用户名、表名、操作类型、SQL语句等。在数据恢复作业中可以选择准确的SCN来确定数据恢复点。针对Oracle中已经提交的事务，根据日志解析后得到的SQL语句，创建撤销处理，把数据回滚到事务提交前的状态。基于MySQL的物理备份数据，在进行数据恢复时，支持恢复到指定的GTID（globaltransactionidentifier）。支持对Oracle、MySQL的日志文件采用连续日志备份方式，持续监控日志文件的变化情况，即时把新增日志的数据块进行备份，实现对数据库变化数据达到秒级以内的备份保护。重复数据删除支持固定块、变长块的数据重删技术，在创建重删存储空间时，需要提供变长和固定数据的数据块大小选择。远程复制支持备份数据的远程复制，通过异地存储的备份数据，对本地、异地中备份管理服务端、存储、代理端等设备，实现在本机或异机上进行恢复。支持对远程复制设置带宽上限设定、数据传输加密、断线重连等规则。支持对远程复制进行流量控制，合理控制带宽资源。支持对数据传输和存储进行加密，提升传输过程以及存储的安全性。具备断点续传特性，当远程复制过程中出现中断时，恢复正常后可基于上一次断点处进行续传。支持本地数据远程复制到带库和云端进行保存。支持将重复数据删除后备份数据直接复制到远端存储。数据加密支持AES、Blowfish等加密算法。对于AES加密需要支持选择不同密钥长度，以便用户根据源端计算资源情况选择合适的数据加密处理。2.系统集成服务提供系统集成服务，含设备安装调试服务和辅材。（1）需要提交完整的实施方案，经采购人审核通过后予以执行。（2）需要提供本项目所有设备及软件系统的安装、集成、测试、联调服务并提供相应的系统培训。（3）需派具备本科或以上学历，并具备系统集成项目管理工程师、项目管理、IT服务管理、网络工程师资质的项目经理对项目进行整体管理。（4）需派具备本科或以上学历，并具备IT服务工程师及信息网络安全专业技术人员的工程师对项目进行执行管理。（5）本项目实施前，需要对用户机房内设备安放机柜进行勘察规划，确认安放位置可满足新增设备的电源供应、承重等方面要求。相关工作需由具备机房建设与管理高级资质的技术人员进行。（6）本项目所包含的货物与服务需由提供三年的运维保障，需指定一名服务主管作为服务接口人，并确保进行相应维保服务的技术人员具有相关资质认证。（7）需对本项目中的安全设备进行安装、调试及维护工作，该工作需由具备信息网络安全专业技术人员和网络管理员认证的人员进行。（8）所投设备和实施方案应能满足采购人的实际需求，应配置各相关连接设备或套件，若有遗漏，则一切设备或套件均由免费提供。（9）要求具有网络文件存储管理类、应用用户鉴权处理类和IT运行维护类方面相关的自主知识产权。(二)数据安全建设功能要求1.数据安全分类分级子系统新建1套数据安全分类分级子系统，智能化实现数据安全分级分类：发现敏感数据，识别安全风险，导出管控策略、输出检查报告。保障数据共享与数据开放全过程合规使用。数据源接入管理。提供库表型数据管理和文件型数据管理功能。库表型数据管理：支持新创建数据库连接、数据表元数据查看、修改数据库连接参数、查询或删除已连接数据库等功能。文件型数据管理：支持文件类型数据导入（Excel、文本文件）、文件数据查看、查询或删除已导入文件数据等功能。数据识别规则库。提供分类规则库设置、分级规则设置和分级规则组设置功能。分类规则库设置：提供业务信息资源编目标准录入，支持直接读取目录分类信息。分级规则设置：系统内置姓名、邮箱、座机号、手机号、IP、mac地址、车牌号、地址、邮政编码、身份证号、银行卡号等常用敏感数据识别定义模板，用户也可以根据需求添加识别规则。分级规则组设置：将规则添加到规则组，用户可以灵活运用识别规则组进行任务识别。数据剔除规则库。提供剔除规则设置和剔除规则组设置功能。剔除规则设置：提供数据表或字段剔除功能，支持按表名、字段名、字段类型、字段内容、字段长度、表数据量六种剔除方式，提高数据安全分类分级任务的效率。剔除规则组设置：将数据剔除规则进行组合。安全定级策略配置。提供安全等级设置和定级策略配置功能。安全等级设置：由主管部门根据数据安全分类分级指南统一定安全等级图标、安全级别等参数。定级策略配置：支持选定按库表业务、字段基础定级或按两者中最大值作为判断表业务的最终定级。安全分级任务配置。提供识别任务创建和任务进度监控功能。识别任务创建：用户根据需求选择已接入的数据集进行敏感数据识别任务创建，可以详细配置规则组、剔除规则、执行时间等。其中剔除规则可对一些明确的非敏感数据类型Bool/Timestamp/Date等或已明确非敏感的数据表、字段内容进行剔除，提高识别的效率。任务进度监控：通过监控日志对执行情况进行监控，监控任务的运行进度。数据识别结果报告。提供识别结果和数据识别结果输出功能。识别结果：可查看任务的总体识别情况，并可以查看表业务、表字段敏感程度分级情况和对应的匹配规则，并可支持手动更正安全等级。数据识别结果输出：支持生成API及导出Excel的方式对外进行提供识别结果。敏感数据资产统计。提供数据总览、按表维度查询和按字段维度查询功能。数据总览：敏感数据资产功能包含敏感数据资产总览和全量敏感数据检索，可以全盘梳理敏感数据在数据库中分布，对敏感数据类型进行统计分析、敏感数据量级统计，帮助用户有针性地对数据库实现安全管控策略。按表维度查询：按表定级查看所有数据详情、支持导出数据。按字段维度查询：按字段定级查看所有数据详情、支持导出数据。2.区块链子系统新建1套区块链子系统，基于区块链技术支持数据共享与数据开放的全过程安全可信。保证数据交换与数据提供过程可信性，利用区块链不可篡改性，作为数据服务记录存证中心；保证数据一致性，原始数据哈希值上链，提供数据一致性校验查询服务；保证责任可追溯性，管理操作记录全过程上链溯源。区级区块链平台可不依赖市区块链平台前提下，实现区级区块链场景的创新应用：基于消息总线桥接模式，通过对交易数据即时消费模式，可实现对市、区两级区块链平台互联互通。平行链管理。提供联盟链管理和账户管理。联盟链管理：联盟链一般都有多个成员参与，动态联盟管理是联盟链顺利运作的基础。联盟管理包括联盟链的创建与部署，联盟子链的创建、部署及监控。账户管理：为各联盟链创建和管理区块链账户，以使联盟链可通过此账号进行运作，可查看区块链账户余额，可给别的区块链账户进行转账操作。智能合约管理。提供智能合约管理和合约权限。智能合约管理：用户在区块链服务平台对智能合约的管理主要有上传、发布、审核、安装、初始化、权限设置、升级等功能。平台支撑用户可以上传源代码形式的智能合约，也可以上传编译好的二进制智能合约到平台上。合约权限：通过设置合约账户的权重，对部署合约的时候，权重大于接受值才可以完成部署。通过合约账户查询、审核和编辑等功能，允许管理员对智能合约权限账户的快速管理。区块链综合查询。提供链信息查询、区块信息查询和区块链交易信息查询。链信息查询：查看链名称、共识机制、区块的高度、智能合约的数量信息。区块信息查询：查看区块ID、区块的高度、交易数、出块时间、交易数量的信息。区块链交易信息查询：查看所在区块的高度、出块时间、区块ID、前一个区块的ID，交易信息可查看交易HASH、交易时间、发送方的HASH、接收方的HASH值、消耗的GAS、输入数据、输出数据。区块链实时运行。提供运行监控舱和运行异常告警。运行监控舱：对节点区块链数据、服务进程状态、CPU使用率、硬盘读负载、硬盘写负载、网络流入、网络流出数据进行监测。运行异常告警：通过预先设置关键的告警规则，例如服务进程状态告警，如微服务、依赖服务进程存活；区块链数据状态告警，如出块高度、出块间隔时间、交易数据的TPS；运行环境状态警告，如磁盘空间不足，经过简单配置收发邮箱运维人员即可第一时间收到相关告警邮件，并在系统中对告警情况进行保存记录。区块链运行监控。提供节点管理和节点监控。节点管理：节点管理功能模块既负责对新建区块链节点进行快速安装、配置、部署以及初始化等操作，也负责对已有区块链节点进行软件升级等操作。节点监控：用于监控区块链节点的运行情况，包括节点ID、节点类型、节点运行软件信息、运行环境信息、出块信息、可靠性信息等，同时亦监控节点所在主机信息，包括CPU利用率（服务进程）、物理内存（服务进程）和磁盘利用率及容量等。区块链数据校验。提供链上数据查询和链上数据校验。链上数据查询：通过API接口，传入联盟链ID和合约名称，根据输入参数查询链上交易数据信息。链上数据校验：通过API接口，传入联盟链ID和合约名称，根据输入参数查询链上交易数据的校验。(三)数据安全成品软件要求1.数据脱敏系统采购1套数据脱敏系统。基于数据安全分类分级识别的敏感数据结果，数据脱敏系统结合用户各种应用场景的需求，对敏感数据设置脱敏规则进行数据变形，漂白和替换；自动发现敏感数据、支持数据库、大数据、文本等脱敏数据源；拥有增量方式读取数据源、保持脱敏后数据的业务一致性等特点。功能特色要满足数据脱敏方式多样、预设丰富敏感对象、敏感数据自动发现、支持多种脱敏算法、脱敏规则灵活可变、脱敏前后一致保证、控制数据脱敏范围、不落地且不可逆转、智能处理脏数据、数据水印追责溯源、支持脱敏数据复敏和作业调度监控可查。数据脱敏系统需要满足以下技术参数：指标项技术参数要求功能性要求数据源支持丰富的数据源，包含且不限：Oracle、DB2、SqlServer、Mysql、PostgreSQL等主流关系型数据库，人大金仓、达梦、南大通用等国产关系型数据库，Teradata、Greenplum、TiDB、GaussDB、OceanBase、SapHana等数据仓库，hive、impala、Hbase、Inceptor（星环）、MongoDB、SequoiaDB等大数据平台，Kafka消息队列，txt、csv、excel、xml、json文本文件，DICOM医疗影像文件，直接读取oracledmp（exp/expdp）、mysqldump（sql文件）、HDFS文件，并且支持对文件夹中的文件（如txt/excel文件）进行定时监测以及自动取数脱敏。多种脱敏方式（1）源库到目标库脱敏，包含支持同库脱敏；

（2）数据库到文件脱敏，包含Oracle数据库到dump文件（exp）；

（3）文件到文件脱敏，包含Oracledump文件到Oracledump文件；

（4）文件到数据库脱敏，包含Oracledump/Mysqldump文件到Oracle、Mysql数据库。数据源视图脱敏在数据取数等场景通过视图查询数据时，不用脱敏取数涉及的所有表的数据，只需对取数视图脱敏后生成目标文件即可。敏感信息自动发现预置敏感字段发现规则包括且不限：中文姓名、英文姓名、姓名拼音、韩文姓名、身份证、银行卡、医师资格证书、医师职业证书、护照、军官证、港澳通行证、往来台湾通行证、永久居住证、企业营业执照、组织机构代码证、税务登记证、组织机构名称、医疗机构登记号、社会统一信用代码、开户许可证、证券代码、证券名称、基金名称、基金代码、英文公司名、电话号码、邮箱、邮编、金额、日期、地址、IP地址、车牌号码等。自定义敏感发现规则，可针对字段名、数据特征、内容字典、以及页面自定义采用JavaScript敏感类型发现函进行发现规则的设置。敏感数据增量发现，即：多次运行同一脱敏任务，如果源数据库字段发生变动，自动检测到变动后，可对增量部分进行敏感信息发现，避免由于数据源字段变动所带来敏感信息泄露。支持混合类型的敏感数据发现。脱敏规则管理内置脱敏规则包含且不限：中文姓名、英文姓名、姓名拼音、韩文姓名、身份证、银行卡、医师资格证书、医师职业证书、护照、军官证、港澳通行证、往来台湾通行证、永久居住证、企业营业执照、组织机构代码证、税务登记证、组织机构名称、医疗机构登记号、社会统一信用代码、开户许可证、证券代码、证券名称、基金名称、基金代码、英文公司名、电话号码、邮箱、邮编、金额、日期、地址、IP地址、车牌号码等。根据不同应用场景，设置不同的敏感数据脱敏规则（包含遮盖、随机映射、固定映射、SHA1加密、SHA256加密、MD5加密、AES加密、RSA加密等），以及自定义增加脱敏规则（包含提供随机映射、固定映射、替换、截断、截取、匹配替换，以及保留、取整、范围内浮动、比例内浮动等各种脱敏算法以满足不同需求），并且可以分段配置不同的脱敏规则（如：固定分段、分隔符、指定位置、百分比位置、自定义正则分段）。支持基于身份证数据脱敏的水印溯源方法（提供第三方权威机构的相关证明扫描件、产品功能截图）脱敏任务脚本配置支持脱敏任务脚本配置，即shell脚本预处理及后处理，使得脱敏前数据准备以及脱敏后数据导出无缝衔接。数据子集抽取、脱敏根据客户要求创建测试数据子集，并且对包含敏感信息进行脱敏。能够在界面上创建子集抽取规则（如：百分比、记录数以及根据相关条件设置），根据条件筛选可以通过EXCEL导入SQL条件或分区范围，这样在脱敏任务中，调用定义好的子集规则，进行子集脱敏、迁移，最后形成的子集是大小适合、符合业务逻辑的测试数据集合。增量脱敏支持增量脱敏，支持数据库以时间戳、主键或唯一键的方式进行增量脱敏。脱敏前环境的检查系统支持脱敏前环境的检查，如网络、用户权限、空间大小等，避免环境问题导致脱敏失败。数据库对象自动迁移支持表(包含分区表、簇表、索引组织表、队列表、压缩表、嵌套表)、主键、外键、索引（包含分区索引、位图索引、函数索引、压缩索引）、约束、视图、同义词、序列、队列、dblink、自定义类型、存储过程、函数、触发器、包等数据库对象脱敏后在目标库中自动创建。API脱敏接口调用第三方系统根据请求将数据封装成JSON、XML格式，之后调用API脱敏接口对JSON、XML格式中的敏感数据进行脱敏，经过脱敏处理后将数据按照原来格式返回（JSON、XML）。支持作业调度API，可通过API对于作业进行启动、终止操作，可通过该API查看作业当前的运行状态、处理的表数量、同步对象数量、处理进度、处理耗时等。脱敏后数据保持其特性、一致性脱敏后数据保持其特性、关联性、一致性（同一库、不同库）。脱敏前、后比对脱敏前、后表数据量、内容以及数据库对象比对。脱敏作业定时调度1、支持脱敏作业定时调度，可立即执行，也可以在指定时间自动运行；

2、支持作业运行分布在不同的时间段，配置运行时段和暂停时段，使长时间的脱敏运行作业避开业务高峰期。脱敏操作日志审计脱敏操作后，需要保留详细的脱敏操作日志，便于审计查询，并可以将日志同步第三方。脱敏报表脱敏后系统提供丰富的脱敏报表，包括敏感分布分析、脱敏作业分析、用户行为统计、敏感字段统计、敏感发现作业统计等统计报表，便于领导了解脱敏的整体情况。界面系统维护在系统界面上支持日志下载，可视化日志、版本升级、线程dump文件下载。作业告警支持邮件告警功能，当任务运行结束、异常等任务状态发生时候发送邮件或短信。安全性要求不落地脱敏数据脱敏过程完全不落地：（1）不存在数据中间泄漏风险（2）无需额外存储存放中间数据。完善的用户、角色管理机制1、具有完善的用户、角色、权限管理体系，权限划分细粒度到每个功能点，实现三权分立（管理员、安全员、审计员）；

2、根据不同的用户对数据源和目标、敏感发现结果、脱敏任务等针对不同用户使用授权。禁止源库误删除支持对已设置为数据源的库信息做强阻断性保护，防止操作不当导致的源数据被删除。脱敏算法秘钥机制脱敏算法秘钥机制，即脱敏算法加秘钥生成新脱敏算法，并且秘钥每隔一段时间脱敏管理员可自定义手工修改，修改秘钥后脱敏后的数据和原脱敏算法脱敏后的数据不同，便于脱敏规则安全管理。密码复杂性、有效期设置系统账号密码复杂性设置，防止简单密码泄露；

登入密码定期更改，设置登录密码有效期。登录IP地址访问控制系统支持账号登录IP地址访问控制。AD域验证、Ukey方式身份认证验证登录系统支持AD域验证、Ukey方式身份认证验证登录。数据备份、恢复脱敏系统在界面上自身定时或者手动备份，支持从备份中恢复脱敏系统。部署要求单机部署支持快速单机部署，使用时不用在源和目标部署任何插件，网络、端口开通以及授权数据库账户权限即可。集群部署为了满足数据量不断增加脱敏效率，可以横向扩展进行集群部署。2.数据库加密系统采购1套数据库加密系统。基于数据安全分类分级识别的敏感数据结果，数据加密系统利用透明加密技术，对敏感数据进行加密防止敏感数据泄露，包括对敏感数据进行透明加密，识别非法的访问，并及时阻断等合规管理功能。数据加密系统是一款基于透明加密技术的数据库安全加密系统，主要功能是数据加密存储和访问控制增强等功能。透明加密的含义：无需改变应用，对业务无影响。支持三种加密技术：原生加密、通用加密、闪电加密。功能特色要满足数据存储加密、加密算法兼容性、一致性存储加密、密钥安全管理机制、密文数据返回防护、多维度访问控制、业务透明性支持和运维行为审计。数据库加密系统需要满足以下技术参数：指标项技术参数要求支持的环境数据库武汉达梦（包括MPP、单机、主备模式）、山东瀚高HighGoDB、ORACLE（单机及RAC）、SQLSERVER、DB2、MySQL、PostgreSQL、Elasticsearch、神通、teledb、hive、人大金仓、南大通用等数据库。部署部署方式支持旁路模式部署，无需更改网络结构。支持HA主备模式，当安全设备因宕机、系统本身主程序不可用、内存持续被占等问题导致不可用时，自动切换到另外一台安全设备进行运行。产品功能性要求加密功能提供数据库初始化加密操作向导，加密任务建成后提供预估的加密时间、监测加密任务执行状态。加密算法至少应支持3DES168、AES128、AES192、AES256等国际密码算法，SM4国密算法。支持以列、表两种细粒度的加密方式。支持以下特殊数据类型和索引类型的加密正常读写、等值查询和范围查询：BLOB数据、CLOB数据、IOT表的Mapping表、B*Tree索引、Bitmap索引、全局索引等。支持对加密资产写入的数据进行加密，实现密文状态存储。对于增删改查操作、函数、存储过程等均透明；对于主外键、NOTNULL等重要约束透明。无需修改应用系统代码，业务系统及数据库访问工具如PL/SQL、JDBC、ODBC等访问数据库时不受影响，实现透明加密。支持多种加密模式，支持业务在线加密，不需要业务停机。数据存储完整性：支持验证数据存储完整性，发生篡改时进行告警密文存储加密后的数据文件以密文形式存储。离线加解密支持离线加解密工具及加密信息记录，记录包括用户名、邮箱、电话、加密内容、加密地址等。对敏感数据文件加密，保障数据交换传递或备份安全，接收方需获取授权并验证信息后才可将密文数据解密使用。身份管理使用数字证书绑定安全客户端，当用户登录管理平台，系统可自动校验安全客户端的合法性。支持设置用户、工具、应用程序等各类访问主体的权限，包括可访问目标、敏感标签、访问权限、审计级别等。执行加密任务前需提供数据库凭证，验证失败无法执行加密任务。访问管理对业务无感知，加密对业务访问结果不产生影响。支持基于身份的密文访问控制，身份要素至少包括应用程序名、IP地址、主机名、数据库账户等，根据用户权限进行数据库返回结果控制，只有拥有合法权限的数据库用户才可看到明文，无合法权限的用户返回经过加密的数据或禁止访问。支持自定义加密访问管理方式，如业务系统提供明文访问模式；其他软件和对象提供明文及密文访问模式配置。返回密文支持加密（SM4）、空值、遮盖、随机映射等，可配置。密钥管理支持使用SM4国密算法对工作密钥进行加密。支持对加密后的密钥进行备份，防止密钥丢失带来的数据不可恢复问题；支持通过平台下载密钥。支持对密钥进行更新，使备份下载的旧密钥不可用。支持对接三方密码设备，包含三未密码卡、渔翁密码机、卫士通密码机等。数据库管理记录所有加密任务，包括数据库名称、IP地址、端口号、实例名、数据库类型等，以支持资产的集中管理。支持根据数据库查看加密资产的信息，以表加密、列加密两个维度查询当前的加密资产，并记录所有加密的操作类型、操作结果、所用时长、操作账户。从加密平台中删除被加密数据库时，弹出解密引导，强制删除时需通过数据库账号验证。日志审计支持对数据库的登录行为进行审计，包括登录时间、