精选-中国电信集团CTG-MBOSS终端标准化管理产品入围选型-技术规范书

1.1.范围终端本规范为中国电信集团公司（以下简称“甲方”）推行CTG-MBOSS 终端标准化的技术规范标准，是中国电信集团向设备供应商（以下简称“乙方”）进行终端标准化管理产品入围选型的技术规范依据，供设备供应商编写方案建议书和报价之用，是设备供应商投标过程技术方案的依据。

卖方所提供的所有各项软件设备和系统应符合技术标准的要求如下：（1）符合有关国际标准（如ISO、ITU-T、ETSI、IETF等）、国家已颁发的相关技术要求和文件。

卖方应在建议书中具体说明，并附上相应的详细技术资料；（2）若卖方的设备和系统包含自己的专用标准，应在建议书中具体说明，并附上相应的详细技术资料；（3）本文件中未给出，但ITU-T已有建议的系统设备性能和功能均应满足ITU-T 最新建议要求；（4）国家已颁发的相关技术要求和文件；（5）中国电信相关规范；卖方如对以上规范内容有不满足的地方，请作出相应说明。

对于满足部分，应给出明确的书面承诺。

本规范主要参考了中国电信《CTG-MBOSS安全规范技术规范-终端安全分册》编写而成。

1.2.说明中国电信在任何时候保留和拥有对本规范书的解释权和修改权。

卖方应根据技术规范书的要求提供技术建议书和商务报价。

卖方提供的各项设备及系统的功能、性能应完全符合或者高于本规范书要求。

对于本文件未规定的产品性能，卖方应提出建议，并陈述其理由。

卖方提交技术建议书应包含的内容见第2节的要求，商务报价书应单独分册。

技术建议书要求采用中文书写，同时提供相应的电子文档（WORD格式），设备技术资料可提供英文。

在产品选型各个阶段，甲方将以书面形式要求乙方对有关问题进行进一步的技术澄清，乙方应以书面资料给予正式应答；所有各阶段的技术澄清文件都将作为选型依据。

卖方如果对本技术规范书有疑问可以通过书面材料与买方联系。

在规定的建议书提交最后期限以前，买方将以书面材料给予答复。

有关买方答复材料的复印件也将递交所有得到技术规范书的卖方。

在选型过程中，买方将以书面形式要求卖方对有关问题进行进一步的技术澄清，卖方应以书面资料给予正式应答；所有各阶段的技术澄清文件都将作为选型依据。

买方在任何时候保留和拥有对本文件的解释权。

买方有权在选型过程中，根据需要修改和补充本规范书内容。

未经中国电信书面许可，乙方不得以任何形式向第三方透露本规范书内容。

在本规范书中，对各条目的要求有下列表达方式：“必须”、“应”：表示现阶段系统建设的基本需要，该条目必须实现；“建议”：表示将来网络、设备和技术发展的目标，一般情况下希望该条目实现，但在某些特定情况下可以忽略该条目；“可以”：表示该条目属于可选。

投标方应对以下提出的每一项功能、性能要求，如实地说明其产品的支持程度。

如无特别说明，投标方声明支持的功能应为产品已实现的功能，不包括有能力支持但尚未实现的、近期将要实现的、未来计划实现的功能。

中国电信将适时对产品进行验证测试，如发现投标方声明支持的功能和性能要求与测试结果不符，中国电信将保留采取进一步措施的权利。

1.3.建议书要求一、建议书的内容格式要求乙方所提供的建议书应按照以下内容格式进行编制：1.综述2.项目技术规范书3.技术规范书点对点应答4.总体方案建议5.系统设备配置及费用清单（包含可能的第三方软件）6.培训计划7.技术承诺8.技术服务、支持、保修9.技术文档10.相关产品的销售许可证二、技术规范书点对点应答要求乙方的建议书中，要求对本规范书所提出各项要求进行逐条逐项答复、说明和解释，首先对实现或满足程度明确做出“满足”、“不满足”、“部分满足”等应答，不得使用“明白”、“理解”等词语。

在答复中，要求明确满足程度。

仅应答“部分满足”或要求进行解释时，才允许详细解释，应答“满足”或“不满足”时的详细解释视为无效解释。

三、乙方在建议书中应说明给甲方提供的技术文件、技术支持、技术服务、人员培训等的范围和程度。

四、乙方应在建议书中详细提供：1、系统原理、结构描述2、设备能提供的功能分类；3、设备性能；4、软件、硬件设备清单；5、如果涉及到硬件设备，提供硬件设备的重量、安装方式和场地、环境等要求；五、乙方应在建议书中列出提供的书面技术资料的详细清单。

六、乙方应列出其建议书中所提供系统的推出时间、在全世界范围内的应用情况以及在各国的使用情况。

2.总体技术要求2.1.总体要求一、系统各项技术应遵循国家相关标准和技术体制，没有相应国家标准则须遵循国际标准。

对于现存多种标准的技术，乙方应与甲方共同协商选定标准。

一旦相应的中国（或国际）标准确立，乙方应保证在一年内无偿过渡到甲方要求相应的中国（或国际）标准。

二、乙方应向甲方提供完整的、最新的且成熟的技术和产品。

三、本系统涉及的设备和系统供应厂家可能不只一家，因此在遵循本技术规范的基础上，要求各厂家在系统集成方面提供充分的合作性和技术支持。

在项目实施中，不同的系统提供商由甲方工程管理单位统一协调，各厂家须积极配合，涉及到的互联接口，必须提供具体技术细节资料。

四、如果乙方目前难以达到甲方所提出的功能和性能技术要求，甲方要求通过商务条件使乙方承诺进行产品的技术升级。

五、乙方负责提交系统的功能和性能测试方案供甲方确认，如果甲方组织测试，乙方必要配合甲方完成系统的测试。

六、乙方应根据甲方的业务需求及相关的技术规划要求，提出完整的项目管理、系统设计、工程培训、项目施工、项目验收、技术支持方案以及乙方人力资源供给方案。

七、乙方必须对工程技术文件以及由甲方提供的所有内部资料、技术文档和信息予以保密。

乙方必须遵守与甲方签订的保密协议，未经甲方书面许可，乙方不得以任何形式向第三方透露本工程技术规范书以及本项目的任何内容。

八、乙方提供系统详细的配置和性能指标。

明确性能计算方法及扩容能力。

2.2.系统指标要求一、整个系统在部署时，要能够支持当前主流的操作系统windows2000,windows2003，windows XP,windows VISTA,系统给出部署终端管理客户端主机最低配置。

二、系统中用于终端管理时，终端在未处理任何后台作业时，CPU的使用率不超过10％，操作系统启动时间不超过180秒。

2.3.系统设计要求2.3.1.可扩展性系统具有良好可扩展性，支持新用户终端、新帐号的增加和扩展。

2.3.2.兼容性要求系统支持当前主流的windows操作系统WINDOWS 2000，WINDOWS XP, WINDOWS 2003和WINDOWS VISTA。

兼容主流的OFFICE办公软件、杀毒软件、浏览器等，支持跟其他厂商产品联动。

2.3.3.可靠性要求系统要能够连续长时间不间断工作，并能在不影响系统运转的情况下做到模块在线测试、更新、加载。

采用高可靠性的产品和技术，充分考虑整个系统运行的安全策略和机制。

系统要具有较强的容错能力和良好的恢复能力。

乙方应提供故障倒换时间和测试数据。

2.3.4.先进性和成熟性系统采用国际最新的科技成果，从而保证整个系统在技术上处于领先地位，系统在建成后一段时间内（1到2年）不会因技术落后而大规模调整，并能够通过升级保持系统的先进性，延长其生命周期，同时又要保证先进的技术是稳定的、成熟的。

2.3.5.开放性和灵活性系统提供开放接口，接口支持电信集团OA系统、IT综合管理系统的二次开发。

系统与其他系统之间的通信接口，应符合开放系统互联标准和协议，以方便集团和各省中心系统间的互联和管理，系统提供的资源分析和分析报表可灵活定制。

2.4.系统易用性终端管理系统面向广大电信员工，大部分不是专业技术人员，终端部署和操作时要简单、容易操作使用，和常用的WINDOWS操作习惯相一致，提供统一的、风格一致的用户操作工管理界面。

乙方所提供的系统应具备完善的联机帮助功能，帮助文件必须支持中文。

3.系统功能技术要求3.1.用户管理用户管理包含如下功能：目录管理、资源管理、账户管理、终端策略管理。

3.1.1.目录管理具有层次化的目录信息，包括用户信息、组织信息、网络资源信息，3.1.2.资源管理用户可以通过多种方式在目录结构中查询自己所需要的用户信息、组织信息、网络资源信息。

3.1.3.账户管理管理用户身份和网络资源控制访问验证，应支持多种用于证明身份的验证机制，包括Kerberos, x.509认证以及智能卡等。

3.1.4.终端策略管理。

策略管理主要包括了以下几个方面：●服务管理：禁用不必要的服务。

●设备管理：确定允许/禁止在终端上使用的设备。

●驱动管理：确定终端上可加载的驱动程序及驱动程序更新。

●软件限制策略：在终端允许/禁止使用的软件。

●IP地址：除第三方终端及新安装系统使用动态地址分配，用户无权更改IP地址。

●安全策略：终端管理员可以针对不同的用户和用户组制定访问文件等资源的访问权限，以控制终端信息的安全性。

●桌面配置策略：终端管理员可以配置终端执行程序的权限，限制用户使用规定之外的应用程序，可以控制不同用户的终端界面显示内容，能够对不同用户和终端的连接访问行为进行监控。

●屏幕保护策略：员工离开桌面一定时间后，系统自动进入屏保，对锁屏。

用户需重新输入密码后才能重新操作系统。

3.2.准入管理接入管理具备以下四方面功能：身份认证、安全检查、权限控制，以及接入管理。

3.2.1.身份认证身份认证需要支持用户名、密码、证书、USB Key多种认证方式，支持包括802.1x以及基于LDAP域的多种认证方式。

在用户身份认证时，可绑定用户接入IP、MAC、接入设备IP、端口和VLAN等信息，进行强身份认证。

3.2.2.安全检查身份认证通过后进行终端安全检查，验证用户终端的安全状态是否合格。

合格的终端才能被允许进入企业网络，不合格的终端将根据相应策略被限制在隔离区进行安全修复。

安全检查内容应包括：●补丁的安装情况；●防病毒软件的安装情况；●病毒代码库的更新情况；●黑白软件安装与运行检查；●安全状态定时评估●防火墙的配置情况；●屏幕保护的配置情况；●桌面安全检查，代理、双网卡、MAC地址修改、IP地址获取方式限制、ARP防御、流量异常检测；●特定服务的运行状况；●特定软件的安装及运行情况；●支持手动或自动修复方式。

3.2.3.权限控制安全检查都通过后，需要对给终端用户进行授权，权限控制满足：●基于身份的权限控制：动态ACL/VLAN下发。

●隔离：支持基于安全检查结果的动态ACL更改。

●接入时段限制：包括固定时段的限制和周期型接入时段限制。

●客户端类型和版本控制：支持客户端版本自动升级。

●上网流量限制：可以配置IP流量阈值和对应处理策略。

3.2.4.接入管理主要功能包括：●实时监控：实时监控在线用户的终端安全状态，及时获取终端安全信息，发现感染病毒后根据安全策略可将其限制到隔离区，强制或提醒不符合安全策略的终端用户主机进行防病毒软件升级，病毒库升级，补丁安装。