XX学校信息网络安全提升-零信任访问控制系统与终端安全管理系统项目建设需求说明

终端安全管理系统在原有EDR平台授权的基础上，对终端授权数量进行扩容。基于A1智能分析引擎+行为检测机制为核心构建终端主动防御能力。通过灵活多样的处置方式、微隔离等自研技术达到快速响应的效果，本项目应能在运维、管理、技术支持、巡检等方面提供优质服务，运维方便，在服务期内提供不少于每半年一次的上门巡检服务，同时提供高效、安全、便捷的技术响应服务。（二）需满足的质量、安全、技术规格、物理特性等要求1.设备清单及技术参数序号设备名称技术参数数量计量单位1零信任控制中心性能参数：最大并发用户数（个）：4000,新建用户数（个/秒）：I1Oo硬件参数：规格：1U,内存大小：16G,硬盘容量：128GSSD,电源：冗余电源，接口：6千兆电口+4千兆光口SFP（含光模块）。含：零信任接入授权（不低于3200套），零信任可信控制器（*1台）；零信任访问控制系统软件（*1套）;产品质保（3年）；软件原厂升级（3年）；1台2零信任安全代理网关性能参数：最大理论加密流量不低于：750Mbps,最大理论并发用户数（个）不低于：7500,最大理论https并发连接数（个）不低于：120000,理论https新建连接数（个/秒）不低于：730o硬件参数：规格：2U,内存大小：16G,硬盘容量：240GSSD,电源：冗余电源，接口：6千兆电口+4千兆光口SFP（含光模块）+2万兆光口SFP+（含光模块）。含：零信任访问控制系统软件（*1套）；产品质保（31

年卜软件升级（3年）。3终端安全管理系统含：PC端点安全软件授权（不低于20套）；服务器端点安全软件授权（不低于125套）；软件原厂升级（3年）1套2.详细参数（1）零信任控制中心序号项目功能项具体参数1控制中心要求硬件规格要求IU机箱，内存大小216G,硬盘容量2128GSSD,电源：冗余电源，接口：,6千兆电口，24千兆光口SFP（带光模块）。性能要求最大并发用户数（个）24000,新建用户数（个/秒）⅛110;接入授权23200套。2兼容性要求兼容性为降低零信任系统部署实施复杂度，避免因部署迁移而产生大量重复性策略配置工作，本次所投产品应支持导入原有VPN系统的配置信息，支持导入的配置信息至少应包含角色、用户、用户组、资源、资源组等，以实现平滑切换，快速无误部署落地。提供相关证明材料。3设备部署网络部署为了满足灵活部署的要求，控制中心应具备IPV4/IPV6双栈网络IP配置，可自主选择配置1AN口或WAN口。为了保护设备的安全，可具备默认限制所有IP通过WAN口访问系统，具备通过配置IP白名单的方式来放通WAN口接入的特殊需求。集群部署为了提高系统可靠性，保障单台设备故障时系统仍可正常运行，控制中心应支持本地集群部署，且最少2台设备即可组建集群，单集群的最大节点数量不得少于4台；本地集群组建时，

集群中的节点可承载工作负载功能，不需要依赖其它外置设备。为了使系统资源利用最大化，本地集群与分布式集群下各节点的零信任授权数均可共享使用，集群的总接入授权数是各节点授权数的总和。提供相关证明材料为了保障系统的稳定性，集群节点支持故障后剩余节点仍能接管所有业务，分布式集群及本地集群均需支持授权漂移机制：集群中的单节点故障后，集群的总授权数跟故障前保持一致，且总授权数保留时间不得少于30天。4资源发布隧道资源隧道资源支持TCP、UDP、ICMP等协议，可通过IP、IP范围、IP段、域名和通配符域名进行资源发布，同一资源可发布多个服务器地址，TCP协议支持长连接。Web资源产品基于身份化实现先认证、在连接，保护业务系统的安全。所有业务访问，需先经过零信任控制中心认证后，才能建立连接。（提供具有CMA或CNAS标识的第三方检测机构出具的检测报告）为有效抵御恶意软件和有针对性地攻击，WEB资源发布时应具有到UR1路径级别，且具有配置UR1路径规则。黑名单模式下，用户只能访问不在黑名单内的路径；白名单模式下，用户只能访问白名单内的路径。且为了简化管理员配置，UR1黑白名单还应具有*?等通配符配置。对于一些主要在主站点中点击使用的子站点WEB业务系统，且子站点跟主站点业务系统权限一致的场景，为简化管理员配置，零信任系

统应具有开启依赖站点功能。为方便业务快速上线，还应具有自动采集站点功能对依赖站点进行梳理。5终端接入浏览器兼容性为更好满足老师日常办公使用习惯，终端对于浏览器应满足：1、支持以下浏览器的主流版本访问WEB资源：IE、Chrome、Edge、Firefox>Opera>Safari等。2、支持微信内置浏览器、钉钉内置浏览器访问WEB资源。3、支持AndrOid、iOS等手机厂商的自带浏览器访问WEB资源。4、支持国产操作系统浏览器接入并访问WEB资源。终端兼容性（国产化）支持主流国产硬件CPU和国产操作系统，包括但不限于麒麟V1oX龙芯、麒麟V1OX龙芯1oongArch,麒麟VIOX飞腾、麒麟V1oX鳏鹏、麒麟V1OX兆芯、麒麟VIOX海光、麒麟VIOX海思麒麟；统信V20X龙芯（3A3000>3A4000）、统信V20X龙芯（3A5000）、统信V20X飞腾、统信V20X鲸鹏、统信V20X海光、统信V20X兆芯等。（提供兼容性证明材料）终端管理具有不同平台的终端同时在线，管理员可分别设置可同时在线的PC或移动终端个数，配置范围不小于O-IoO0,当超过终端个数时，可以注销最早登录的终端，且被注销的终端有对应的注销提醒；管理员可设置允许终端在线数为0,以禁止用户通过此类终端接入访问。为了保障学校师生认证安全与便捷性的平衡，需具有设置授信终端绑定，具有配置绑定授信

终端的可信网络区域、增强认证条件；并可限定用户可绑定的授信终端数量：具有用户满足单一条件或多个条件后自助绑定，可配置条件包括但不限于网络区域、终端资产标签、终端标签类型等，最多可配置条件数不得少于3条。6身份认证认证方式为满足学校后续多样化安全便捷认证需求，具有以下认证方式：本地账号密码认证、1DAP/AD认证、OAUth2.0标准协议的票据认证、CAS标准协议的票据认证、RadiUS账号认证、HTTPS帐号认证、证书主认证、证书辅认证、短信主认证、短信辅认证、标准RadiUS令牌认证、第三方令牌认证、TOTP动态令牌认证等认证方式，并可与企业微信、阿里钉钉、飞书结合实现扫码认证，具有飞书用户或个人微信企业号通过H5接入。其中短信认证具有配置HTTPS短信网关、腾讯云短信网关、阿里云短信网关及Socket短信网关等网关类型。免辅助认证支持免辅助认证。用户勾选信任浏览器后，在该浏览器下有效期内不需要进行辅助认证。有效期时长可设置1-90天。自适应认证支持在满足以下条件时，可自动拉起客户端并自动登录，可配置的条件包括但不限于：授信终端、WindOWS域环境、自定义网络环境等。支持在满足以下条件时，免除二次认证，可配置的条件包括但不限于：授信终端、Windows域环境、自定义网络环境等。支持在发现异常环境时，自动进行增强认证，可配置的异常环境包括但不限于：帐号首次登录、帐号在该终端首次登录、闲置帐号登录、

弱密码登录、异常时间登录、非常用地点登录等。单点登录支持与企业微信、钉钉等主流超级APP对接，实现与在企业微信或钉钉工作台上发布的H5微应用单点登录。7用户管理外部用户管理支持与第三方用户管理服务器对接，包括但不限于1DAP用户目录、AD域用户目录、企业微信用户目录、钉钉用户目录等，可配置的属性包括但不限于：用户过滤、用户名、外部ID、组织架构、所属角色、帐号状态、有效期、手机号码、电子邮箱等。批量导入/导出支持按表格模板批量导入/导出本地用户和组织架构，支持通过手动/自动方式批量同步外部用户，可设置自动同步的时间间隔。8访问安全动态访问控制支持动态访问控制策略，可根据用户、应用配置规则使用范围，可基于WindOWs、macOS^1inux、iOS、Android>麒麟、统信等操作系统单独配置策略。产品支持基于身份化实现动态访问控制，不仅在登陆时进行评估，而且在业务访问期间，持续、自适应地动态评估安全，实时地调整访问控制权限。（提供具有CMA或CNAS标识的第三方检测机构出具的检测报告）处置动作包括阻止访问、注销登录、锁定账号等，可基于处置动作自定义提示语，支持短信增强认证、告警灰度处置方式，可配置处置有效时长。动态上线准入支持动态上线准入策略，可指定适用用户范围和排除用户，可基于WindoWs、macOS>1inux、

iOS、Android.麒麟、统信等操作系统单独配置策略。支持“与“、“或”条件嵌套，可通过单一条件或条件组的进行策略配置，条件变量包括但不限于：终端名称、MAC地址、终端本地IP列表、操作系统版本、终端资产类型、终端标签类型、存在指定文件、操作系统安装的补丁、运行进程、运行指定杀毒软件、运行任一杀毒软件、零信任客户端版本、安装指定软件、开启系统防火墙、用户接入城市、用户登录国家、用户登录时间、弱密码、授信终端、授信域环境、闲置帐号、帐号首次登录、帐号在该终端首次登录、异常时间登录、非常用地点登录等。提供相关证明材料处置动作包括注销登录，可基于处置动作自定义提示语，支持短信增强认证、告警灰度处置方式，可配置处置有效时长。9安全特性服务隐身为了最大程度缩小网络、业务暴露面，零信任平台需提供单包授权能力（SPA）,具有UDP+TCP组合的单包授权技术，未授权用户无法连接零信任设备，无法扫描到服务端口，不会出现敲门放大漏洞。虚拟专线针对Windows系统用户，具有配置虚拟专线功能，当用户登录零信任客户端之后，自动断开互联网连接，避免互联网威胁影响内网业务系统。2、具有通过桌面悬浮球的方式，用户可一键切换内网或互联网。威胁感知互联支持与我校现有态势感知平台实现基于身份的威胁感知互联，支持将用户访问零信任系统的

WEB资源访问流量解密后镜像给现有的态势感知设备，以完善系统的用户行为审计溯源能力，提升设备自身的安全性，需提供与态势感知设备进行感知互联的方案或满足威胁感知互联的证明文件。10审计能力具有全面的日志记录具有用户安全日志提取，审计中心应将具有异常登录行为的用户日志自动打标签为用户安全日志，以便于管理员快速审计定位。用户安全日志包括但不限于：帐号安全（应包含帐号首次登录、异常时间登录、非常用地点登录、弱密码登录、爆破登录、闲置帐号登录、帐号在新终端登录等）、中间人攻击、SPA安全（应包含SPA端口扫描、SPA爆破攻击、SPA敲门伪造、SPA重放攻击、SPA安全码泄漏等）、COOkie劫持等。提供相关证明材料需支持并配合学校完成日志服务集成功能。支持按学校要求提供数据展示大屏相关数据，或提供学校数据大屏集成服务。11设备安全防爆破具有配置同名用户连续登录错误超过上限时锁定账号，并于指定时长后自动恢复，具有配置同IP用户连续登录错误超过上限时锁定IP,并于指定时长后自动恢复防机器人防机器人输入，提供强安全性的点击图像校验码机制，图形校验码具有中文和英文OpenAPI1、具有对接多个设备进行。PenaPi接口调用2、具有限制OPenaPi调用ip范围12安全特性虚拟IP支持虚拟IP,可以通过虚拟IP访问后端业务系统，虚拟IP支持共享模式和独享模式，以配合其他对IP有要求的安全设备工作，以及便于流

量分析类设备进行流量分析。提供相关证明材料终端安全协同支持与学校现网中的终端安全系统实现安全协同，现网终端安全系统将资产信息同步到零信任控制中心，以加强控制中心资产管理与测绘能力；同时支持现网终端安全系统将终端风险评分同步给控制中心，以实现控制中心根据终端风险评分设置准入策略。远程办公时，可联动学校现网的终端安全系统在登录前进行检测，未检测通过无法登录；不符合的检测项可以一键修改和查看修复指引。支持端控安全环境检测、免端流量环境监测，对学校现网的终端安全系统安装情况进行检查、对未装端的用户进行隔离及修复处置。需提供与终端安全系统安全协同的方案或满足安全协同的证明文件。13运维管理终端诊断提供终端诊断工具，支持对终端的基本环境进行扫描和一键修复，诊断内容应包括但不限于：WindOWSTemP目录可写状态、DNS驱动状态、零信任服务运行状态、零信任http服务检测状态、关键控件完整性检测、可疑病毒驱动检测、是否启动IE代理、是否启动IE自动代理脚本、虚拟网卡状态、虚拟网卡注册表、HiWoHd病毒检测、IE的T1S1o111.2协议启用状态、客户端系统兼容性、零信任客户端系统依赖库返回情况、零信任核心文件返回情况、系统防火墙规则、本地DNS列表、终端系统本地时间等。终端日志收集支持用户在客户端自助进行日志收集，管理员可远程获取在线终端的日志。

14资质要求产品资质提供中华人民共和国公安部颁发的含有“零信任”字样的“访问控制（网络-增强级）”品类的《计算机信息系统安全专用产品销售许可证》（2）零信任安全代理网关序号项目功能项具体参数1代理网关要求硬件规格要求产品不少于6个千兆以太网电口，4个千兆光口（含光模块），2个万兆光口（含光模块），内存大小216G,硬盘容量2240GSSD,支持冗余电源，2U机箱。性能要求加密流量2750Mbps,并发用户数27500个，https并发连接数2120000个，https新建连接数2730个/秒。2设备部署网络部署为了满足灵活部署的要求，代理网关应支持IPV4/IPV6双栈网络IP配置，可自主选择配置1AN口或WAN口。为了保护设备的安全，可支持默认限制所有IP通过WAN口访问系统，支持通过配置IP白名单的方式来放通WAN口接入的特殊需求。端口聚合为充分利用设备的网络性能，代理网关部署时具有配置聚合网口，并具有将聚合网口作为代理网关的网络部署IP。聚合网口具有通过哈希或802.3ad等标准对闲置网口进行网口绑定，具有通过ARP探测机制对聚合网口进行健康检查。本地集群部署为了提高系统可靠性，保障单台设备故障时系统仍可正常运行，代理网关应支持本地集群部署，且最少2台设备即可组建集群；本地集群组建时，集群中的节点可承载工作负载功能，不需要依赖其它外置设备。3审计能力流量镜像支持将用户通过代理网关访问的WEB资源流量解密后，镜像给现网态势感知设备，以完善风险用户行为审计溯源能力，避免因加密流量导致无法监测和审计

到真实风险。提供相关证明材料威胁同步支持与学校现有态势感知设备实现威胁同步，同步用户信息，包括用户登录、登出、分配IP、访问资源记录的日志数据，实现远程接入用户与安全事件关联分析，分析出异常用户，以用户为可视化视角，呈现风险问题、风险程度、内网资源访问情况等。支持同步管理员操作日志，满足审计要求。需提供与态势感知实现威胁同步的方案或满足威胁同步的证明文件。4设备安全防爆破支持配置同IP用户连续登录错误超过上限时锁定IP,并于指定时长后自动恢复。防机器人防机器人输入，提供强安全性的点击图像校验码机制。5设备健康检查设备巡检报告为方便管理员统筹查看管理代理网关的整体运行状态，支持对设备自身的安全状态和策略配置进行巡检，对设备的整体状态进行打分，统计所有检查的正常项、异常项和告警项，并输出巡检报告。支持在设备上查看及下载巡检报告。报告应至少包含检测项、检查状态、存在的问题描述、建议改进措施等。提供相关证明材料设备稳定性检查为保证设备稳定性，支持设备进行健康检查，包括但不限于：1、应支持系统黑匣子及核心进程的状态检测。2、应支持CPU负载、内存负载、磁盘空间、网卡健康、硬盘健康、网卡日志、B1oS固件等硬件相关状态的检测。3、应支持软件版本及补丁修复状态等检测。API防护检查包括但不限于：1、支持AP1接口爆破检查；2、支持AP1接口越权调用；

3、支持AP1接口扫描；4、支持AP1WebShe11攻击。安全保护支持VPN安全功能自身安全保护，包括：安全运行、失败保护、输出VPN安全功能数据的可用性、保密性和完整性,VPN安全功能数据传输、物理安全保护、可信恢复等机制。(提供第三方具有CMA或CNAS标识的检测机构出具的检测报告)6质保要求质保要求提供设备制造厂商质保三年(3)终端安全管理系统序号指标项具体要求1产品形态产品可以纯软件交付，包含管理控制中心软件及终端客户端软件，其中管理控制中心可云化部署，同时也支持硬件管理平台交付。本次提供不少于20个PC主机端授权，不少于125个服务器主机端授权。2管理控制中心要求管理平台支持在64位的Centos7或ubuntu操作系统环境部署。3兼容性要求为保证软件兼容性、提高运维管理效率，要求本次安装软件的终端可以在学校现有的终端安全管理平台上进行统一管理与运维，需提供相关证明材料。4多维度威胁展示支持全网风险展示，包括但不限于未处理的勒索病毒数量、暴力破解数量、WebShe11后门数量、高危漏洞及其各自影响的终端数量提供勒索病毒整体防护体系入口，直观展示最近七天勒索病毒防护效果，包括已处置的勒索病毒数量、已阻止的勒索病毒行

为次数、己阻止的未知进程操作次数、己阻止的暴力破解攻击次数。提供相关证明材料5云端威胁分析支持跳转链接至云端安全威胁响应系统，针对已发生的威胁提供详细的分析结果，包含威胁分析、网络行为、静态分析、分析环境和影响分析。6影子终端发现支持按照扫描网段、扫描方式、扫描协议、扫描端口对终端进行扫描，及时发现尚未纳入管控的终端7资产管理支持全网视角的终端资产统一清点，便于帮助用户快速发现风险面。清点信息包括操作系统、应用软件、监听端口和主机账户，其中操作系统、应用软件和监听端口支持从资产和终端两个视角进行统计和展示支持对系统账号信息进行梳理，了解账号权限分布概况以及风险账号分布情况，可按照隐藏账号、弱密码账号、可疑root权限账号、长期未使用账号、夜间登录、多IP登录进行账号分类查看，支持统计最近一年未修改密码的账户8消息下发支持对在线终端下发实时通知消息9升级管理支持客户端的错峰升级或灰度升级，可根据实际情况控制客户端同时升级的最大数量，避免大量终端程序同时更新造成网络拥堵或I/O风暴10威胁检测支持本地查杀缓存，具备二级缓存机制：终端侧使用全盘文件缓存，加速本地二次扫描速度，减少对本地虚拟化环境的资源消耗；管理平台侧使用全网文件缓存，加速云查杀速度，减少通过互联网进行云查杀的带宽消耗支持一键云鉴定服务，提供云端专家+沙箱+多引擎鉴定能力，结合云端威胁情报对已告警的威胁文件再次进行综合研判并给出100%黑白结果，用户可自助对管理平台告警的威胁快速判断是否误报和了解威胁详情。提供相关证明材料11终端自支持禁止黑客工具启动，包含：冰刃、xuetr>ProcessHacker>

保护PCHunter＞火绒剑、MimikatZ的自启动，可以防止黑客攻击。12Webshe11事件处理支持展示终端检测到的WebShe11事件及事件详情，包括：恶意文件名称，威胁等级，受感染的文件，发现时间，检测引擎，文件类型，文件名，文件HaSh值，文件大小，文件创建时间；可配置WebShe11实时扫描，一旦发现WebSheI1文件，可自动隔离或仅上报不隔离。提供相关证明材料13Windows服务器安全加固支持windows服务器RDP远程登录保护，可开启RDP远程登录二次认证，以防止黑客对服务器的入侵14勒索病毒专防基于勒索病毒攻击过程，建立多维度立体防护机制，提供事前入侵防御-事中反加密■事后检测响应的完整防护体系，展示勒索病毒处置情况，对勒索病毒及变种实现专门有效防御提供相关证明材料支持对勒索入侵的主流方式RDP暴破做全方位保护，包括RDP登录校验、RDP文件加白二次校验等功能15Windows终端合规检查一键式操作对指定终端/终端组进行合规性检查，包括身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范，对不合规的检查项提供设置建议，并可视化展示终端的基线合规检查结果161inux终端合规检查一键式操作对指定终端/终端组进行合规性检查，包括身份鉴别、访问控制、安全审计、SSH策略检测、入侵防范、恶意代码防范，对不合规的检查项提供设置建议，并可视化展示终端的基线合规检查结果17windows智御支持对Windows停更的系统提供专项防护，包括Oday漏洞防护、文件防护、暴破入侵防护、系统脆弱点识别和风险端口封堵等多项核心功能；18威胁处置支持与我校现有态势感知平台实现威胁处置，当终端安全软件检测到威胁时，支持管理员在态势感知平台管理界面批量下发

强力专杀工具到内网各个终端，实现快速查杀任务，并查看任务状态、结果并进行处置。需提供与态势感知平台进行威胁处置的方案或满足威胁处置的证明文件19windows漏洞修复及补丁管理支持流行Windows高危漏洞的轻补丁免疫防御，支持Windows补丁批量一键修复，201inux漏洞扫描支持对1inux终端扫描系统漏洞、提供漏洞分析详情和修复建议。21流量可视服务器详情支持展示服务器的资源状态（CPU占有率、内存占有率和磁盘率）、流量分布ToP5、该服务器开放的服务流量线详情支持展示该流量线对应的控制策略；图形化显示服务器间流量关系，包括访问详情、流量趋势等22远程桌面控制支持远程控制管控终端桌面的功能，便于管理员能够及时对存在故障的终端进行维护23全网威胁狩猎支持基于威胁情报的病毒文件哈希值、行为、域名、网络连接等各项终端系统层、应用层行为数据在全网终端发起搜索，挖掘潜伏攻击，快速定位出全网终端感染该威胁的情况24威胁感知互联支持与我校现有态势感知平台实现威胁感知互联。支持将终端安全软件客户端检测出来的恶意文件事件、暴力破解事件、微隔离事件的日志同步给现有的态势感知设备，以完善系统的用户行为审计溯源能力，提升设备自身的安全性。需提供与态势感知平台进行威胁感知互联的方案或满足威胁感知互联的证明文件二、项目其他要求（一）网络信息安全要求11认证授权：保证用户的合法性和用户使用信息资源的权利，避免内部敏感信息泄露和服务所提供的信息资源被非法访问，造成严重的安全事故。12.信息保密：充分利用密码技术，对于需要保密的信息，采用密码技术进行加解密处理，防止信息的非授权泄露，确保涉密信息在产生、存储、传递和处理过程中的保密。1.3.数据完整性：建立数据完整性检验机制，保证收发双方数据的一致性,防止信息被非授权修改。14.审计：记录应用运维、管理及运行日志，对事件进行分析，并能提供预警信息。5.数据备份；利用数据库的备份功能将建设的平台和系统数据备份到指定的服务器或存储系统上。16.要求投标人从物理安全、网络安全、系统安全、应用软件安全、用户安全、数据安全等几个方面提出配套的安全体系完善方案，以便防范安全风险，网络安全要求达到网络安全等级保护2.O或以上要求并提供相关证明文件或承诺上线符合网络安全等级保护2.O的要求。（二）准入要求2.1.系统准入规范：项目系统部署应遵循学校信息化建设项目和网络安全相关制度或规范要求，对学校网络服务、云计算资源服务、域名服务等都应落实专人负责，定期巡检。2.部署运维：部署在学校内私有云环境，投标人有责任和义务配合相关业务完成私有云环境申请，负责规范部署系统所在操作系统和应用、数据库等环境。部署在公有云环境，投标人有责任和义务配合相关业务完成公有云环境申请,负责部署系统所在操作系统和应用、数据库等环境。公有云环境运行、维护、安全等费用不应额外产生。3.安全准入：中标方应负责在服务期内对系统软硬件相关安全运维，如出现相关安全漏洞或通报事件，应第一时间完成处理，如无法解决的，则按学校网络安全制度要求，停止校外访问服务。4.数据对接与共享要求实现系统与学校数据中台的集成，