深航终端安全管理项目技术需求说明书

深航终端安全管理项目

技术需求说明书

2021年6月

一、项目名称

深航终端安全管理项目

二、项目概述

1、项目背景：

员工计算机改革后公司对个人电脑缺乏有效管控手段，未实现终端电脑合

规性检测，公司电脑接入公司网络仅进行身份认证，未实现入网安全合规性检查,

存在未按要求安装防病毒软件或更新病毒库，系统补丁未及时更新等现象，极易

引起系统被攻击、渗透，导致系统崩溃，甚至由于公司计算机病毒集中爆发造成

公司网络瘫痪，将严重影响公司生产保障，存在较大终端安全管控风险。

2、项目目标：

为了加强深航总部、分子公司及基地所有终端设备（合计11600台设备）的

安全管控，确保终端设备入网应管尽管，实现入网安全合规性检查、终端安全管

理、核心岗位（约1250个）敏感数据防泄漏以及所有终端电脑操作行为审计的

管控要求，确保公司终端设备安全稳定运行，最终实现全网终端类设备的安全管

控目标。

三、项目建设原则

1、整体规划，分步实施

项目方案应遵循全盘考虑、分阶段实施的原则。一期在深圳总部基地范围

内实施，包含7840个终端电脑安全合规管控，950个核心岗位终端敏感数据防

泄漏管控；二期待总部实施应用稳定后在分子公司及基地范围内实施；共3760

个终端电脑安全合规管控，300个核心核心岗位终端敏感数据防泄漏管控。

2、方案可靠性、安全性、易用性、操作性

所投产品方案只能通过安装一个代理软件部署安装，避免技术实施复杂、工

作最大、确保终端电脑配置内存不低于2G部署后能顺畅运行，减少员工抵触情

绪，提升用户使用体验，多角度考虑方案的可行性；方案中应对系统可靠性和

安全性进行详述，同时满足终端不同操作系统（如WINDOWS、MAC）的安装资源

最小化需求，充分利用现有网络等环境资源，可通过设计、配置等操作，保证系

统界面友好、易于使用、维护简单。

3、技术支持和售后服务

系统技术服务标准要求，应根据故障级别采取差异化的故障保障策略。（以

下内容参考深航信息化系统事件等级标准）

等级说明（根据具体项目定义）响应时限

如：整个系统处于瘫痪状态，完全

10分钟响应，10分钟评

无法运行，或者某个功能模块完全无法

一级事件估问题解决时间，10分钟内恢

运行，对终端业务使用产生严重影响，

复生产。

同时无替代方案可选。

如：系统核心功能不可用，或者性10分钟响应，20分钟评

二级事件能出现严重问题，对终端使用产生严重估问题解决时间，30分钟内恢

影响。复生产。

如：系统非核心功能不可用，对终10分钟响应，50分钟评

三级事件端使用影响较小，并有其他改进方案替估问题解决时间，60分钟内恢

代。复生产。

要求服务商在系统上线至终验期间提供至少1名技术人员驻场服务，协助解

决系统上线后的使用问题、系统调优、故障处理等，请在方案内说明具体服务内

容。

4、系统维保：

（1）系统建设所涉及到的软件及硬件维保售后服务标准：硬件维保费为不

高于项目建设标的的跳，软件维保费为不高于项目建设标的的10%。

（2）系统所涉及到的软硬件免费维保期标准：软件、硬件维保均为项目终

验后三年免费；

5、项目实施周期及具体要求：

一期建设目标要求服务商在项目合同签订之口起三个月之内完成；二期建

设目标需在一期建设完成后通知开工之日起三个月之内完成。

6、售后服务及安装部署要求：

（1）要求提供所投产品原厂商认证技术工程师全程参与整个项目实施相关

工作，总部、分子公司基地均需提供技术人员现场安装调试服务。项目经理由

服务商配备，负责项目整体建设协调相关工作且需全程参与项目实施工作，实施

团队至少五人及以上成员组成（根据项目实施具体要求进行调整）。

（2）实施范围包括深航总部基地（加：A区、B区、C区、T3航站楼等），

分公司及基地（其中分公司8个，基地7个，共15个）；

（3）自项目完成终验之日起，投标方负责对本合同所列设备和系统软件提

供免费三年原厂保修服务，具体保修内容和范围与生产厂商的保修内容和范围完

全一致。在保修期内，用户以有故障的部件换取在保修范围内的部件•时，无须另

外支付任何费用，一切由投标方负责，并由投标方协同原厂工程师提供现场更换

服务；若因不可抗力或因招标方违规操作导致设备损坏，投标方则提供有偿维修。

（4）投标方提供的所有产品必须保证为全新的原装正品，所有设备的最终

用户必须为深圳航空有限责任公司，以原厂证明文件为准。

（5）投标方负责项目招标中所有设备上架、安装、调试和测试，光纤和网

络跳线安装，标签标识、系统策略配置、优化等工作。

（6）免费维保期间，投标方须定期（每三个月）对本项目中的关键设备进

行预防性系统检测。在该系统运行过程中，投标方应开通24小时热线电话接受

招标方的电话技术咨询，帮助用户解决在应用过程中遇到的各种技术问题。

（7）根据双方约定，本项目实施完成并经最终验收合格后，系统的日常运

行维护由招标方负责。投标方在3年内为招标方免费提供7X24小时电话支持、

邮件支持、远程服务、现场维护等多种方式的技术支持，同时免费提供软件升级

与维护。投标方将根据客户需求和出现的问题提供现场维护服务，解决问题后填

写维护记录表。

（8）支持维护响应：投标方承诺电话支持响应时间小于20分钟，一般情况

上门服务响应时间小于2小时；在遇系统崩溃等灾难需重建系统时，投标方提供

系统平台重建服务与系统重建现场指导。

（9）提供补丁更新服务，定期通过邮件通知我司本阶段关键漏洞或安全服

务信息的更新状况。如果有严重漏洞出现，在3天内提供相应的邮件说明，包括

漏洞的序列号、平台相关性、定义等，评估后完成补丁的升级部署工作。

（10）最终验收合格3年后，免费维护期结束。如招标方仍须投标方提供相

应的维护服务，须另行签署付费的服务合同。

7、验收标准说明

按期完成项目建设各项工作，完成入网合规检查设备部署工作，完成所有终

端用户客户端软件的安装及调试工作，实现入网合规检查、终端安全管理及防泄

密等各项功能指标，各项功能均达到项目要求建设目标，保障系统上线稳定运行

后开展项目验收相关工作，经招标方确认验收合格后，双方签署《项目验收报

告》。

8、提供系统建设定制化需求的开发工作；（根据我司项目建设要求定量，

原则不少于20人天），针对我司提供报表定制开发工作。

四、项目建设功能目标

（一）实现入网安全合规性检查：所有接入内网终端均须进行安全合规性

检查，防止非法/违规接入，具体实现功能项如下：

1、防病毒软件安装情况及状态检查（是否安装了防病毒软件、是否及时更

新了病毒库版本等）；

2、终端设备补丁状态检查（是否下载安装了最新的补丁，检查补丁完整性,

实现补丁自动安装）；

3、终端设备软件安装合规性检查（软件黑、白名单设置等）。

（二）具备终端安全管理功能：实现全方位的终端安全防护能力，公共电脑

与个人电脑分别具备功能如下：

1、公共电脑：资产管理、补丁管理、移动外设管理、远程协助、软件黑白

名单、软件许可管理、软件分发、安全管理等:

2、个人电脑：资产管理、补丁管理、软件黑白名单功能。

（三）实现数据防泄漏功能：防止敏感数据泄露，核心岗位电脑与其他电脑

分别具备功能如下：

1、核心岗位电脑：文件操作记录审计、终端外设接口管控、数据外发通道

管控（即时通讯软件、邮件等）、核心文件阻断发送、屏幕水印等功能；

2、其他电脑：文件操作记录审计功能。

五、项目采购需求清单

具体采购详细清单如下:

序备注

产品名称产品功能描述数量单位

号

方案整体

设计需实

根据投标方案具体现高可用

架沟制定（总部A、（HA冗余）

入网合规B区入网合规检查总部设备

基于控制中心平台集中统一管理，对

1检查硬件设备必须保障HA冗台单台最高

终端实现合规检查控制管理

设备余，硬件设备数量总限价为

部4台；分公司816.9万元，

台，合计12台）分公司设

备单台最

高限价为

4.3万元；

（含税）

所有接入内网终端均须进行安全合规

性检查，防止非法/违规接入，主耍实

现功能项如下：

1、防制毒软件安装情况及状态检查

入网安全（是否安装了防病毒软件、是否及时

2合规性检更新了病毒库版木等）.11600个

查许可2、终螭设备补丁状态检查（是否下载

安装了最新的补丁，检查补丁完整性，

实现补丁自动安装）：

3、终堆设备软件安装合规性检查（软

件黑、白名单设置等）。

终端安全员工个人电脑实现功能：资产管理、

38500个

管理许可补丁管理、软件黑白名单等

核心岗位电脑实现功能：文件操作记

录审计、终端外设接口管控、数据外

1250个

数据防泄发通道管控（即时通讯软件、邮件等）、

4

漏许可核心文件阻断发送、屏幕水印功能等

其他岗位电脑实现功能：文件操作记

10350个

录审计

技术人员现场安装、调试，分公司设

密托运等费用（服务器和相关硬件设

5售后服务若干批

备等），提供项目涉及的建设辅材（光

纤跳线、光模块、网线等）

六、技术规范要求

1、建设方案整体要求：（备注：★项要求需全部满足，不满足则技术部分评

分为零）

序要求类

功能要求详细技术要求

号别

认证方方案必须通过802.IX认证方式实现终端电脑入网（入网方式包括有线

1认证方式

案和无线）合规检查，先合规检查再认证上网

★设备性能要求：支持至少4个千兆口，2个万兆口，具备冗余电源，

总部设备至少支持3000个终端并发认证，至少支持10000个终端的入网检测和

认证

入网合★部署于规模较大的分公司：设备数量不少于4台，设备性能要求：

2规检查支持至少4个千兆口，具备冗余电源，至少支持500个终端并发认证，

设备至少支持2000个终端的入网检测和认证：

分公司设备

部署于普通规模的分公司：设备性能要求：支持至少4个千兆口，具备

冗余电源，至少支持250个终端并发认证，至少支持1000个终端的入

网检测和认证；

资源占用大★客户端软件安装程序内存占用不能超过60MB；软件所有功能模块

小开启运行后系统占用内存不能超过150MB；

客户端多操作系统

3支持Windows、macOS、Linux、Android、10S客户端；

软件支持

支持客户端功能在线调整，在功能调整、问题验证等场景下支持'客户端

管理易用性

文件（配置文件、DLL等）实时替换，无需覆盖安装、重启终端：

★1、本项目涉及到的所有功能要求（包括入网合规检查控制、终端安

全管理、数据防泄漏等）必须通过一套系统平台，安装一个客户端软件

来实现。

★2、系统硬件平台与软件系统部署后各项功能可永久使用：

系统建

★3、移动设备（手机、IPAD）支持Portal认证模式；

设技术

4系统功能★4、实现单点登录（与深航现有上网行为管理系统进行对接）：

要求

★5、总部实现园区级容灾部署；二级（分公司）部署在专线正常下实

现区域容灾；

★6、HA切换时间不能高于5秒，系统宕机逃生时间不能高于5秒；

7、基于管理的便利性，要求提供统一的系统管理登录入口，管理员在

使用过程中不需要重复登录或分别登录多套系统。

★1、总部部署热备方案：分公司部署二级控制台，实现分级统一集中

控制管

5管理；

理平台

★2、管理平台系统部署使用Linux操作系统。

软件授

6权许可★赠送3500个终端安全功能模块软件授权许可

数量

2、详细功能需求列表（备注：★项要求需全部满足，不满足则技术部分评分

为零）

深航终端安全项目需求

功能序号需求描述

1★系统平台支持802.IX、Portal、应用准入等任一种准入技术

★支持有线、无线基于应用协议准入方式，•隹入配置支持保护服务器区域、例外线端等

2

灵活的配置方式

★支持对接入终端、接入用户或部门以及接入控制点设备指定相应的绑定规则，根据接

3

入终端或用户是否符合接入规则来决定允许或拒绝其接入

4★对于web重定向的引导页面支持自定义logo和背景皮肤以及告示内容

5★支持黑、白名单过滤功能

入网合

6★支持与不同品牌的杀毒软件具备延容效果

规检查

★支持入网健康检衣策略，策略检杏项至少包括：是否安装必需的安全防御软件、是否

7

安装重要系统补丁

8★支持bypass功能，支持交换机策略路由逃生模式和旁路逃生模式

9支持http和https协议阻断，支持web界面跳转至引导安装界面

10支持IPv6协议准入

支持标准802.IX准入、支持策略路由、旁跻干扰（端口镜像）、透明串接等多种准入

11

控制方式混合使用

准入系统能够自动判断打印机、网络摄像头、1P电话，并对这些设备进行自动入网授权.

入网权限按照设备类型分配，实现权限最小化控制，网络权限控制支持TCP/UDP和端口

12级别。支持对接入设备的设备类型进行识别,如windows主机,linux服务器,打印机,

网络摄像头等主流终端的识别：支持对手机（IOS、Android）.PAD、笔记本等移动设

备通过尢线以太网卡连接WLAN接入企业内部网络时进行准入识别和控制

支持在路由器、HUB等网络设备下的终端准入，支持无线网络、m等网络环境下终端

13

准入控制

14支持终端修复向导，对不合规的终端提供软膈离，并进行修复向导和一键修复功能

具和识别和检测机制，能够自动发现NAT网络所隐藏的其实计算机设备和IP地址，

15

对通过NAT入网的计算机可以实现准入控制、安全评估和修复等流程化管理

能够发现内网私接的Hub、傻瓜交换机等非网管设备，当多台计算机通过Hub接入网络

16

时，能够及时产生告警通知管理员

1★可以查看或搜索系统已安装的全部补丁

2★产品具备漏洞集中修复，强制修复，自动修夏功能

★产品具备漏洞集中修复过程中的流量控制和保证带宽，补J.分发支持服务端帝宽限流

3

与客户端P2P补丁分发加速，有效节省外网带宽资源

4★防火墙相关设置、注朋表监控和保护等相美设置、系统服务等进行统的策咯部署

5★支持远程协助终端、远程关机、重启终端

6★支持客户端进程和服务管理，包括对进程黑白名单的控制和对服务的起停控制

★实行IP与MAC绑定。当IP与MAC绑定发生变化时，可对其实施自动恢复、或弹出提

7

示框、或断开网络并持续阻断该计算机等控制

★支持对终端各种外设（USB存储、硬盘、存储卡、光驱、打印机、扫描仪、摄像头、

8

手机、平板等）、接口（USB口、串口、并口、1394、PCMIA）设置使用权限

★日志报表功能包含不限于用户软件下载及安装的统十，操作系统补丁下载安装的统

9

计，各项功能策略下发完成情况的统计等

★总部管理平台可全面管理辖内对象，具有完整的权限。总部管理平台可管理分公司管

10

理平台，可制定和下发全局统一策略

★系统支持根据用户和根据设备两种模式的策略下发，还可根据用户所在组、1P地址、

11

操作系统、自定义检索等多种方式进行策略分发

★系统配置完成后产生配置文件，该文件可导出保存，也可通过导入配置文件恢夏系统

12

配置

★组织机构中可配置不同组策略，归属于此组织的员工对应终端自动关联生效对应策

13

略，当组织变更时，策略能进行相应更新

14★支持手动添加/创建/修改组织机构和用户信息，允许通过导入导出操作进行批量维护

★支持自动同步总部LDAP上的用户信息及出织架构信息。用户信息应包含但不限于工

15

号、姓名、所属部门、联系方式（包括座机号码、手机号、邮箱地址等）

可支持操作系统:WindowsXPSP3及以上/WindowsVista/Windows7/Windows8/A'indows

16

10/MACOS

终端安可对补丁分发后的下载状态及安装状态进行实时监控，在下载安装完毕后会自动上报安

全管理17装的成功率与失败率（要求提供截图），支持失败修复功能，下载安装数据统计结果上

报汇总时间不得超过三个小时

18按终端维度展示终端的硬件、软件、操作系统、网络、进程等信息。对于硬件及软件的

变化提供报警口志功能

支持软件黑白名单制度，对黑名单内的软件禁止下载或运行并给用户进行相关提醒。可

19

通过多种方式对终端软件下载安装情况进行监控，多维度准确识别黑白名单进程

20支持在ADUser用户权限（最低权限）下安装软件

支持性能监控管理，当CPU、内存在指定时间内使用率超过自定义百分比，产生报警H

21

志，支持对终端系统盘空间大小超出限定范围产生报警

具备主流厂商杀毒软件运行监测功能，并进行提示或断网处理。能够监测杀毒软件是否

22

及时更新

支持离线策略和策略漫游功能：终端脱网或网络环境变化的情况下，管理策略之终端.上

23仍然生效。漫游到异地的办公计算机自动接受该地策略管理，当属地和漫游地策略存在

冲突时，以属地策略为准

24支持根据用户数据源的变化实现用户数据和组织结构的自动同步更新（LDAP数据同步）

要求产品具有定时修复漏洞功能，同时可以设置筛选漏洞等级（可根据补丁安全级别、

25发布时间、系统版本、支持CVE编号和KB号等方式进行筛选）、软件更新、功能性补

丁等修莫类型

26支持补丁下载安装顺序设置，可以有效节省碣洞修复时间与减少CPU占用

27终端支持智能屏蔽过期补丁、与操作系统不瓶容的补丁

28具备蓝屏修复功能

可以实现对补丁按类型、分组自动分发，并且可以设置下载前提示、运行前提示、检测

29

方式等

30支持正版软件的正版序列号的读取功能，确保软件正版化

支持检杏通过NAT接入的没安装客户端的设备，可以查询设备位置、连接交换机、曾用

31NAT设备IP地址、NAT接入时间、设备最近启动时间、设备最近离线时间、设备发现时

间等

提供服务器向客户端批量分发各种文件，如可执行文件并可以自动运行，服务器端可以

32选择分发的目标路径、设定运行参数、是否后价运行，同时向客户端发送提示信息，要

求软件分发支持带宽均衡设置

对于软件的分发和安装情况管理后台能够及忖显示详细信息，信息包括但不限于已成功

33

分发的百分比及需要继续下发的百分比等，支持断点续传

可以查看每台终端正在运行的程序清单以及程序占用的系统资源比例。可进行单点软件

34

控制（分发、卸载某一台终端的软件）

可以对系统的本地安全策略、本地帐户锁定策略、屏保进行设置，同时可以检洌系统密

35

码弱口令，除系统自定义的弱口令外，用户可以自己添加自定义弱口令集

可对本地安全组策略、1E相关设置（安全级别、控件后/停用、主页修改等）进行统一

36

的策略部署

支持冗余有线网卡、无线网卡、3G网卡、VCDEM、ADSL、TSD、等设备的外联控制；违规

37

外联发生时可针对内外网连接状态分别设置违规处理措施

策略中心各种报警策略的报警信息查询，报警信息包括阻断报警、IP绑定变化、违规外

38

联、设备变化、流量异常、探头卸载、病毒行为、其他报警和违规上网统计

39展示全网终端健康状态、报警信息；可方便的查看问题终端列表

总部管理平台可获取分公司管理平台的管理策略、各类数据统计结果，进行查询、统一

40

展示等。分公司管理平台管理策略与总部管理平台策略存在冲突的，以总部管理策略为

准进行执行

总部与分公司服务器进行策略同步时，需具有高稔定性，具备数据同步异常可自动恢复

41

的功能，有详细的日志信息

对安全防护、系统漏洞、弱口令等安全项目检查，对IE相关设置、系统设置等项目检

42

查，对系统垃圾、软件垃圾、注册表等项目检查

可通过策略卜.发进行定期检查和用户自主检查，完成检查后，客户端弹出检查结果并提

43

供一键修复功能

向选定用户（在本策略的对象中设定的）计党机发送消息通知，并可以发送