零信任访问控制系统需求说明

零信任访问控制系统是一个基于零信任安全理念和软件定义边界安全模型构建的安全访问控制系统。零信任访问控制系统以身份为基石，提供业务安全访问，具备动态访问控制和持续信任评估等功能，为企业网络构建无边界的数据安全防护体系。零信任访问控制系统以软件定义边界，结合安全网关建立起一块虚拟安全域，同时结合安全网关基于端口动态授权的网络隐身技术构建起一张隐形的互联网或者虚拟边界专网，即应用只对“特定的用户+特定的设备”可见，对其他人完全不可见，并且该用户或设备访问应用的行为可以进行严格控制和记录。这种模式很好地解决了企业移动办公、物联网设备数据接入云平台等带来的应用暴露和数据安全问题。随着学校数字化改革工作推进，终端用户访问控制与安全管理日益成为需迫切解决的问题。本项目主要以学校师生用户不同数字身份为中心，依据安全可控的零信任访问控制机制，根据用户数字ID身份分配不同访问权限；适配PC端、移动端、钉钉、微信、自建App等多种终端，提供教学信息系统、管理信息系统、数字资源服务（知网、维普等）等多种资源访问形式，同时支持HTTPS代理和SSL访问隧道，针对B/S、C/S结构应用提供加密隧道传输。用户在校内、校外访问相关资源权限统一，访问模式一致，体验感受良好。学校数字校园访问峰值出现在每学期选课阶段。供应商应有类似项目经验，零信任访问方案在满足设备技术参数的基础上，应满足学校实际工作需要，特别是对选课高峰期应提供解决方案，有效满足学校选课需要。按照数字经院设计规划，配合学校完成用户身份资源融合，投标方案应提供实现自动化分配用户资源权限，可视化展现系统管理数据等能力。同时，结合用户实时的身份信息、终端环境信息和应用敏感度，能实现对不同安全要求的应用，以及不同范围的用户进行不同安全力度的应用准入，实现动态的访问控制。提供自适应身份认证安全机制，如当用户访问使用弱密码时需进行增强认证，当用户在异常时间段登录时需进行增强认证，当用户在异地登录时，必须进行增强认证，降低被攻击入侵的风险，最终达到安全和体验最佳平衡。零信任访问控制系统含零信任控制中心和零信任安全代理网关，实现“流量身份化”和“动态自适应访问控制”，提供网络隐身、动态自适应认证、终端动态环境检测、全周期业务准入、智能权限基线、动态访问控制、多源信任评估等核心能力，满足新形势下多场景智慧经院应用安全访问需求。终端安全管理系统在原有EDR平台授权的基础上，对终端授权数量进行扩容。基于AI智能分析引擎+行为检测机制为核心构建终端主动防御能力。通过灵活多样的处置方式、微隔离等自研技术达到快速响应的效果，本项目应能在运维、管理、技术支持、巡检等方面提供优质服务，运维方便，在服务期内提供不少于每半年一次的上门巡检服务，同时提供高效、安全、便捷的技术响应服务。（二）需满足的质量、安全、技术规格、物理特性等要求：1.设备清单及技术参数序号设备名称技术参数数量计量单位1零信任控制中心性能参数：最大并发用户数（个）：4000，新建用户数（个/秒）：110。硬件参数：规格：1U，内存大小：16G，硬盘容量：128GSSD，电源：冗余电源，接口：6千兆电口+4千兆光口SFP（含光模块）。含：零信任接入授权（不低于3200套），零信任可信控制器(*1台)；零信任访问控制系统软件(*1套)；产品质保(3年)；软件原厂升级(3年)；1台2零信任安全代理网关性能参数：最大理论加密流量不低于：750Mbps，最大理论并发用户数（个）不低于：7500，最大理论https并发连接数（个）不低于：120000，理论https新建连接数（个/秒）不低于：730。硬件参数：规格：2U，内存大小：16G，硬盘容量：240GSSD，电源：冗余电源，接口：6千兆电口+4千兆光口SFP（含光模块）+2万兆光口SFP+（含光模块）。含：零信任访问控制系统软件(*1套)；产品质保(3年)；软件升级(3年)。1台3终端安全管理系统含：PC端点安全软件授权(不低于20套)；服务器端点安全软件授权(不低于125套)；软件原厂升级(3年)1套2.详细参数：（1）零信任控制中心序号项目功能项具体参数1控制中心要求硬件规格要求1U机箱，内存大小≥16G，硬盘容量≥128GSSD，电源：冗余电源，接口：≥6千兆电口，≥4千兆光口SFP（带光模块）。性能要求最大并发用户数（个）≥4000，新建用户数（个/秒）≥110；接入授权≥3200套。2兼容性要求兼容性为降低零信任系统部署实施复杂度，避免因部署迁移而产生大量重复性策略配置工作，本次所投产品应支持导入原有VPN系统的配置信息，支持导入的配置信息至少应包含角色、用户、用户组、资源、资源组等，以实现平滑切换，快速无误部署落地。3设备部署网络部署为了满足灵活部署的要求，控制中心应具备IPV4/IPV6双栈网络IP配置，可自主选择配置LAN口或WAN口。为了保护设备的安全，可具备默认限制所有IP通过WAN口访问系统，具备通过配置IP白名单的方式来放通WAN口接入的特殊需求。集群部署为了提高系统可靠性，保障单台设备故障时系统仍可正常运行，控制中心应支持本地集群部署，且最少2台设备即可组建集群，单集群的最大节点数量不得少于4台；本地集群组建时，集群中的节点可承载工作负载功能，不需要依赖其它外置设备。为了使系统资源利用最大化，本地集群与分布式集群下各节点的零信任授权数均可共享使用，集群的总接入授权数是各节点授权数的总和。为了保障系统的稳定性，集群节点支持故障后剩余节点仍能接管所有业务，分布式集群及本地集群均需支持授权漂移机制：集群中的单节点故障后，集群的总授权数跟故障前保持一致，且总授权数保留时间不得少于30天。4资源发布隧道资源隧道资源支持TCP、UDP、ICMP等协议，可通过IP、IP范围、IP段、域名和通配符域名进行资源发布，同一资源可发布多个服务器地址，TCP协议支持长连接。Web资源产品基于身份化实现先认证、在连接，保护业务系统的安全。所有业务访问，需先经过零信任控制中心认证后，才能建立连接。为有效抵御恶意软件和有针对性地攻击，WEB资源发布时应具有到URL路径级别，且具有配置URL路径规则。黑名单模式下，用户只能访问不在黑名单内的路径；白名单模式下，用户只能访问白名单内的路径。且为了简化管理员配置，URL黑白名单还应具有*?等通配符配置。对于一些主要在主站点中点击使用的子站点WEB业务系统，且子站点跟主站点业务系统权限一致的场景，为简化管理员配置，零信任系统应具有开启依赖站点功能。为方便业务快速上线，还应具有自动采集站点功能对依赖站点进行梳理。5终端接入浏览器兼容性为更好满足老师日常办公使用习惯，终端对于浏览器应满足：1、支持以下浏览器的主流版本访问WEB资源：IE、Chrome、Edge、Firefox、Opera、Safari等。

2、支持微信内置浏览器、钉钉内置浏览器访问WEB资源。

3、支持Android、iOS等手机厂商的自带浏览器访问WEB资源。

4、支持国产操作系统浏览器接入并访问WEB资源。终端兼容性（国产化）支持主流国产硬件CPU和国产操作系统，包括但不限于麒麟V10×龙芯、麒麟V10×龙芯LoongArch、麒麟V10×飞腾、麒麟V10×鲲鹏、麒麟V10×兆芯、麒麟V10×海光、麒麟V10×海思麒麟；统信V20×龙芯（3A3000、3A4000）、统信V20×龙芯（3A5000）、统信V20×飞腾、统信V20×鲲鹏、统信V20×海光、统信V20×兆芯等。终端管理具有不同平台的终端同时在线，管理员可分别设置可同时在线的PC或移动终端个数，配置范围不小于0-1000，当超过终端个数时，可以注销最早登录的终端，且被注销的终端有对应的注销提醒；管理员可设置允许终端在线数为0，以禁止用户通过此类终端接入访问。为了保障学校师生认证安全与便捷性的平衡，需具有设置授信终端绑定，具有配置绑定授信终端的可信网络区域、增强认证条件；并可限定用户可绑定的授信终端数量：具有用户满足单一条件或多个条件后自助绑定，可配置条件包括但不限于网络区域、终端资产标签、终端标签类型等，最多可配置条件数不得少于3条。6身份认证认证方式为满足学校后续多样化安全便捷认证需求，具有以下认证方式：本地账号密码认证、LDAP/AD认证、OAuth2.0标准协议的票据认证、CAS标准协议的票据认证、Radius账号认证、HTTPS帐号认证、证书主认证、证书辅认证、短信主认证、短信辅认证、标准Radius令牌认证、第三方令牌认证、TOTP动态令牌认证等认证方式，并可与企业微信、阿里钉钉、飞书结合实现扫码认证，具有飞书用户或个人微信企业号通过H5接入。其中短信认证具有配置HTTPS短信网关、腾讯云短信网关、阿里云短信网关及Socket短信网关等网关类型。免辅助认证支持免辅助认证。用户勾选信任浏览器后，在该浏览器下有效期内不需要进行辅助认证。有效期时长可设置1-90天。自适应认证支持在满足以下条件时，可自动拉起客户端并自动登录，可配置的条件包括但不限于：授信终端、Windows域环境、自定义网络环境等。支持在满足以下条件时，免除二次认证，可配置的条件包括但不限于：授信终端、Windows域环境、自定义网络环境等。支持在发现异常环境时，自动进行增强认证，可配置的异常环境包括但不限于：帐号首次登录、帐号在该终端首次登录、闲置帐号登录、弱密码登录、异常时间登录、非常用地点登录等。单点登录支持与企业微信、钉钉等主流超级APP对接，实现与在企业微信或钉钉工作台上发布的H5微应用单点登录。7用户管理外部用户管理支持与第三方用户管理服务器对接，包括但不限于LDAP用户目录、AD域用户目录、企业微信用户目录、钉钉用户目录等，可配置的属性包括但不限于：用户过滤、用户名、外部ID、组织架构、所属角色、帐号状态、有效期、手机号码、电子邮箱等。批量导入/导出支持按表格模板批量导入/导出本地用户和组织架构，支持通过手动/自动方式批量同步外部用户，可设置自动同步的时间间隔。8访问安全动态访问控制支持动态访问控制策略，可根据用户、应用配置规则使用范围，可基于Windows、macOS、Linux、iOS、Android、麒麟、统信等操作系统单独配置策略。产品支持基于身份化实现动态访问控制，不仅在登陆时进行评估，而且在业务访问期间，持续、自适应地动态评估安全，实时地调整访问控制权限。处置动作包括阻止访问、注销登录、锁定账号等，可基于处置动作自定义提示语，支持短信增强认证、告警灰度处置方式，可配置处置有效时长。动态上线准入支持动态上线准入策略，可指定适用用户范围和排除用户，可基于Windows、macOS、Linux、iOS、Android、麒麟、统信等操作系统单独配置策略。支持“与”、“或”条件嵌套，可通过单一条件或条件组的进行策略配置，条件变量包括但不限于：终端名称、MAC地址、终端本地IP列表、操作系统版本、终端资产类型、终端标签类型、存在指定文件、操作系统安装的补丁、运行进程、运行指定杀毒软件、运行任一杀毒软件、零信任客户端版本、安装指定软件、开启系统防火墙、用户接入城市、用户登录国家、用户登录时间、弱密码、授信终端、授信域环境、闲置帐号、帐号首次登录、帐号在该终端首次登录、异常时间登录、非常用地点登录等。处置动作包括注销登录，可基于处置动作自定义提示语，支持短信增强认证、告警灰度处置方式，可配置处置有效时长。9安全特性服务隐身为了最大程度缩小网络、业务暴露面，零信任平台需提供单包授权能力（SPA），具有UDP+TCP组合的单包授权技术，未授权用户无法连接零信任设备，无法扫描到服务端口，不会出现敲门放大漏洞。虚拟专线针对Windows系统用户，具有配置虚拟专线功能，当用户登录零信任客户端之后，自动断开互联网连接，避免互联网威胁影响内网业务系统。2、具有通过桌面悬浮球的方式，用户可一键切换内网或互联网。威胁感知互联支持与我校现有态势感知平台实现基于身份的威胁感知互联，支持将用户访问零信任系统的WEB资源访问流量解密后镜像给现有的态势感知设备，以完善系统的用户行为审计溯源能力，提升设备自身的安全性。10审计能力具有全面的日志记录具有用户安全日志提取，审计中心应将具有异常登录行为的用户日志自动打标签为用户安全日志，以便于管理员快速审计定位。用户安全日志包括但不限于：帐号安全（应包含帐号首次登录、异常时间登录、非常用地点登录、弱密码登录、爆破登录、闲置帐号登录、帐号在新终端登录等）、中间人攻击、SPA安全（应包含SPA端口扫描、SPA爆破攻击、SPA敲门伪造、SPA重放攻击、SPA安全码泄漏等）、cookie劫持等。支持按学校要求提供数据展示大屏相关数据，或提供学校数据大屏集成服务。11设备安全防爆破具有配置同名用户连续登录错误超过上限时锁定账号，并于指定时长后自动恢复，具有配置同IP用户连续登录错误超过上限时锁定IP，并于指定时长后自动恢复防机器人防机器人输入，提供强安全性的点击图像校验码机制，图形校验码具有中文和英文OpenAPI1、具有对接多个设备进行openapi接口调用2、具有限制openapi调用ip范围12安全特性虚拟IP支持虚拟IP，可以通过虚拟IP访问后端业务系统，虚拟IP支持共享模式和独享模式，以配合其他对IP有要求的安全设备工作，以及便于流量分析类设备进行流量分析。终端安全协同支持与学校现网中的终端安全系统实现安全协同，现网终端安全系统将资产信息同步到零信任控制中心，以加强控制中心资产管理与测绘能力；同时支持现网终端安全系统将终端风险评分同步给控制中心，以实现控制中心根据终端风险评分设置准入策略。远程办公时，可联动学校现网的终端安全系统在登录前进行检测，未检测通过无法登录；不符合的检测项可以一键修改和查看修复指引。支持端控安全环境检测、免端流量环境监测，对学校现网的终端安全系统安装情况进行检查、对未装端的用户进行隔离及修复处置。13运维管理终端诊断提供终端诊断工具，支持对终端的基本环境进行扫描和一键修复，诊断内容应包括但不限于：WindowsTemp目录可写状态、DNS驱动状态、零信任服务运行状态、零信任http服务检测状态、关键控件完整性检测、可疑病毒驱动检测、是否启动IE代理、是否启动IE自动代理脚本、虚拟网卡状态、虚拟网卡注册表、Hiworld病毒检测、IE的TLS1.01.11.2协议启用状态、客户端系统兼容性、零信任客户端系统依赖库返回情况、零信任核心文件返回情况、系统防火墙规则、本地DNS列表、终端系统本地时间等。终端日志收集支持用户在客户端自助进行日志收集，管理员可远程获取在线终端的日志。（2）零信任安全代理网关序号项目功能项具体参数1代理网关要求硬件规格要求产品不少于6个千兆以太网电口，4个千兆光口（含光模块），2个万兆光口（含光模块），内存大小≥16G，硬盘容量≥240GSSD，支持冗余电源，2U机箱。性能要求加密流量≥750Mbps，并发用户数≥7500个，https并发连接数≥120000个，https新建连接数≥730个/秒。2设备部署网络部署为了满足灵活部署的要求，代理网关应支持IPV4/IPV6双栈网络IP配置，可自主选择配置LAN口或WAN口。为了保护设备的安全，可支持默认限制所有IP通过WAN口访问系统，支持通过配置IP白名单的方式来放通WAN口接入的特殊需求。端口聚合为充分利用设备的网络性能，代理网关部署时具有配置聚合网口，并具有将聚合网口作为代理网关的网络部署IP。聚合网口具有通过哈希或802.3ad等标准对闲置网口进行网口绑定，具有通过ARP探测机制对聚合网口进行健康检查。本地集群部署为了提高系统可靠性，保障单台设备故障时系统仍可正常运行，代理网关应支持本地集群部署，且最少2台设备即可组建集群；本地集群组建时，集群中的节点可承载工作负载功能，不需要依赖其它外置设备。3审计能力流量镜像支持将用户通过代理网关访问的WEB资源流量解密后，镜像给现网态势感知设备，以完善风险用户行为审计溯源能力，避免因加密流量导致无法监测和审计到真实风险。威胁同步支持与学校现有态势感知设备实现威胁同步，同步用户信息，包括用户登录、登出、分配IP、访问资源记录的日志数据，实现远程接入用户与安全事件关联分析，分析出异常用户，以用户为可视化视角，呈现风险问题、风险程度、内网资源访问情况等。支持同步管理员操作日志，满足审计要求。4设备安全防爆破支持配置同IP用户连续登录错误超过上限时锁定IP，并于指定时长后自动恢复。防机器人防机器人输入，提供强安全性的点击图像校验码机制。5设备健康检查设备巡检报告为方便管理员统筹查看管理代理网关的整体运行状态，支持对设备自身的安全状态和策略配置进行巡检，对设备的整体状态进行打分，统计所有检查的正常项、异常项和告警项，并输出巡检报告。支持在设备上查看及下载巡检报告。报告应至少包含检测项、检查状态、存在的问题描述、建议改进措施等。设备稳定性检查为保证设备稳定性，支持设备进行健康检查，包括但不限于：

1、应支持系统黑匣子及核心进程的状态检测。

2、应支持CPU负载、内存负载、磁盘空间、网卡健康、硬盘健康、网卡日志、BIOS固件等硬件相关状态的检测。

3、应支持软件版本及补丁修复状态等检测。API防护检查包括但不限于：

1、支持API接口爆破检查；

2、支持API接口越权调用；

3、支持API接口扫描；

4、支持APIWebShell攻击。安全保护支持VPN安全功能自身安全保护，包括：安全运行、失败保护、输出VPN安全功能数据的可用性、保密性和完整性，VPN安全功能数据传输、物理安全保护、可信恢复等机制。6质保要求质保要求提供设备制造厂商质保三年（四）、项目其他要求1.网络信息安全要求1.1.认证授权：保证用户的合法性和用户使用信息资源的权利，避免内部敏感信息泄露和服务所提供的信息资源被非法访问，造成严重的安全事故。1.2.信息保密：充分利用密码技术，对于需要保密的信息，采用密码技术进行加解密处理，防止信息的非授权泄露，确保涉密信息在产生、存储、传递和处理过程中的保密。1.3.数据完整性：建立数据完整性检验机制，保证收发双方数据的一致性，防止信息被非授权修改。1.4.审计：记录应用运维、管理及运行日志，对事件进行分析，并能提供预警信息。1.5.数据备份；利用数据库的备份功能将建设的平台和系统数据备份到指定的服务器或存储系统上。1.6.要求投标人从物理安全、网络安全、系统安全、应用软件安全、用户安全、数据安全等几个方面提出配套的安全体系完善方案，以便防范安全风险，网络安全要求达到网络安全等级保护2.0或以上要求并提供相关证明文件或承诺上线符合网络安全等级保护2.0的要求。2.准入要求2.1.系统准入规范：项目系统部署应遵循学校信息化建设项目和网络安全相关制度或规范要求，对学校网络服务、云计算资源服务、域名服务等都应落实专人负责，定期巡检。2.2.部署运维：部署在学校内私有云环境，投标人有责任和义务配合相关业务完成私有云环境申请，负责规范部署系统所在操作系统和应用、数据库等环境。部署在公有云环境，投标人有责任和义务配合相关业务完成公有云环境申请，负责部署系统所在操作系统和应用、数据库等环境。公有云环境运行、维护、安全等费用不应额外产生。2.3.安全准入：应负责在服务期内对系统软硬件相关安全运维，如出现相关安全漏洞或通报事件，应第一时间完成处理，如无法解决的，则按学校网络安全制度要求，停止校外访问服务。2.4.数据对接与共享要求实现系统与学校数据中台的集成，实现数据的相互对接和交换，实现信息共享。投标人需要提供《数据架构设计方案》，其中包括以下内容：（1）以实体