佛山市顺德区行政事业单位网络安全产品采购项目

佛山市顺德区行政事业单位网络安全产品采购项目（SD08100）采购内容及技术要求2.3.1 A标段：顺德区教育信息中心网络安全审计系统顺德区教育信息中心需购置一套“网络安全审计系统”（以下简称“审计系统”），要求满足以下功能和需求：一、要求“审计系统”安装于顺德教育信息中心，为教育城域网提供网络安全审计服务。

二、要求“审计系统”的处理能力和规模能满足同时对以下的网络行为提供流畅的安全审计服务：1．对教育城域网内部用户访问互联网进行审计。

要求“审计系统”满足50000台（或以上）终端计算机设备的审计能力。

2．对教育城域网联网教学单位之间的互相访问进行安全审计。

要求满足500个联网教学单位的审计处理。

3．对教育城域网内部用户访问教育信息中心各大系统进行安全审计。

教育城域网内部用户与教育信息中心之间通过共享一千兆光纤连接。

4．对互联网用户访问教育城域网内部（包括教育信息中心和各联网教学单位在内的各种信息系统）进行安全审计。

互联网用户访问教育城域网内部，通过一千兆光纤连接。

三、硬件及性能配置要求1．要求“审计系统”采用“旁路方式”与教育信息中心交换机连接，不影响所有通信链路的正常使用。

2．系统处理能力及吞吐量要求完全满足对2000Mbps流量满负荷情况下进行无丢包的安全审计。

3．具备两个可同时审计的捕包端口，多个捕包端口同时工作时，每个端口审计处理的吞吐量完全满足1000Mbps要求。

4．由于对高速流经的数据包进行抓取、分析、分类以及存储需要很强的处理能力和很高的内部传输速率，为保证“审计系统”硬件设备内部不存在处理和传输上的瓶颈，下表列出了一份核心硬件性能指标的参考清单，投标人所提供的“审计系统”单台设备在配件数量、性能指标、处理能力上必须等同或高于以下清单所列要求：CPU：2颗英特尔至强X5460四核处理器（单颗频率为3.16GHz）或同等性能产品CPU内置二级高速缓存共12MB(6MBx2颗CPU)系统总线带宽每路1333MHz，双路总线，合共2666MHz带宽。

内存：共8G（2Gx4条）,采用4路交叉存取技术，每路667MHz，共2.6GHz带宽。

内存规格：DDR2-667MHzPCI设备总线：设备的PCI总线符合PCIExpress1.0或PCIExpress2.0标准的总线规范。

总线频率为2.5Gbps或以上。

运行于点对点工作模式（并非传统共享总线模式）。

PCIExpress提供给每一个设备专用的数据流水线，每个信道每个方向均为250Mbps的速度或以上。

具备两个PCIExpress4X（4信道）插槽或捕包网卡要求：2块捕包专用千兆网卡，提供两路数据包捕捉能力,每路1000Mbps。

“捕包网卡”均为铜缆RJ45接口。

要求“捕包网卡”与主机的PCIExpress采用的标准和规范相同。

即“捕包网卡”与主机均采用相同的PCIExpress规范。

要求“捕包网卡”必须与主机的PCIExpress插槽使用的信道模式相同，即如果主机PCIExpress插槽为4X信道，则“捕包网卡”必须采用4X信道的产品；如果主机PCIExpress插槽为8X信道，则“捕包网卡”也必须采用8X信道的产品。

“捕包网卡”安装于主机的两个PCIExpress4X插槽或两个PCIExpress8X插槽中。

以太网管理口要求：提供一个100Mbps或以上带宽的普通以太网通信端口，铜缆RJ45接口，用于“审计系统”软件的使用和管理。

硬盘控制器要求：要求为主板集成的两通道或以上的独立硬盘控制器，不允许采用通过PCI插卡转换方式的硬盘控制卡或转换卡。

硬盘控制器具备独立256MB或以上的缓存，并装配可充放电池，提供断电数据保护。

硬盘控制器支持RAID0、RAID1、RAID5等三类阵列模式。

硬盘控制器接口必须是UltraSCSI320或串行SCSI(SAS)接口模式，最少必须满足两个独立通道，每通道数据传输率2Gbps或以上。

硬盘控制器各通道支持硬盘热插拔。

硬盘数量、规格和规划：如果主机硬盘控制器采用UltraSCSI320，则要求采用满足UltraSCSI320接口和速率的硬盘产品；如果主机硬盘控制器采用串行SCSI(SAS)接口，则要求采用满足串行SCSI(SAS)接口和速率的硬盘产品。

要求4个（或以上）高速硬盘，每个硬盘容量为300GB（或以上），每个硬盘转速为15000转/秒，所有硬盘为同一规格和型号。

利用硬盘控制器把4个（或以上）高速硬盘做RAID5，有效容量为900GB（或以上）。

机箱类型：高度为6U或以下的机架式设备。

注意：要求投标人必须在投标书中，根据所投设备的实际情况，按上表要求的1到10项指标内容，详细说明各核心配件的数量和技术参数，并就设备内部各核心部件的组合方式、系统结构等方面进行详细论述，以具体的数据论证设备如何满足2000Mbps数据吞吐量和处理能力。

论述内容将作为评标时重要依据。

四、软件系统功能要求（一）必须采用64位的操作系统。

如果用到数据库系统进行数据的存储和管理，则必须采用64位数据库系统。

由于目前国内“审计系统”产品主要还是基于32位操作系统和32位数据库的稳定版本，因此允许投标人先提供32位的“审计系统”产品，但要求于2009年6月1日前，中标人必须为采购人的“审计系统”产品升级到64位稳定系统，且费用全免。

投标人必须在投标时就2009年6月1日前完成64位“审计系统”产品的免费升级换代事项提供由设备原生产厂家开具的相关保证文件。

旧式32位的操作系统和数据库只能使用4GB以下内存，无法满足本次招标所采用设备的高性能硬件配置要求。

另外，由于32位的操作系统和数据库系统，对数据文件尺寸均有限制，对于信息中心每周接近30GB的日志量来说，很容易超出文件尺寸限制而导致严重的问题，为此，要求使用64位的操作系统和64位的数据库系统。

（二）所有软件系统（包括操作系统）必须充分发挥硬件设备的性能和处理能力，中标人在设备安装和初验时，必须在安装现场运用技术手段、检测工具得出实际测试数据进行验证。

（三）软件系统必须健壮、稳定、快速系统分析引擎和硬件驱动程序应经过自有技术的优化，具备可扩展性；具有高速、完整和海量的信息处理能力；支持500万个并发连接或以上；捕包程序、分析引擎、数据存储引擎在处理2000Mbps高速流量的情况下不存在丢包；同时在如此高速流量情况下进行审计日志的统计、查询、导出等相关操作时不存在丢包。

（四）关于审计功能的要求1．对标准的80端口上的HTTP协议和非标准端口上的HTTP协议的上行和下行数据进行准确分析和详细完整的审计，支持HTTP1.0和HTTP1.1协议。

2．能够记录WEB形式的BBS论坛、聊天室等各种POST形式的文字和附件。

对于WEBMAIL、WEBBBS等互联网上常见的WEBPOST应用，能使用模糊特征匹配技术进行内容分析，以使系统分析POST应用的范围不只局限于简单的按网站累积，对网站的审计具有通用性。

3．对标准21端口及非标准端口上的主动和被动FTP协议，在文件上传、下载、及其控制指令上进行准确的分析和记录。

4．能详细记录和审计电子邮件内容，包括：SMTP、POP3、WEBMAIL的正文和附件的内容。

能记录用户收发邮件的时间、收发件人邮件地址、邮件主题和邮件内容、附件名称和附件内容、源和目的IP地址及MAC地址、收发邮件的抄送人和暗送人名称等。

能对WEBMAIL的访问和应用进行记录和限制。

5．具备搜索引擎审计功能，要求系统能够对采用搜索引擎（例如google、baidu等）搜索的信息进行详细的审计记录。

6．能详细记录和审计用户的TELNET行为和所执行指令信息。

7．能对当前流行的即时聊天工具进行聊天信息的安全审计，这些聊天工具包括：ICQ、QQ、MSN、YAHOOMESSENGER、UC、网易泡泡等。

8．具有对自定义的TCP端口和UDP端口的上网行为作简要分析和审计记录功能，审计记录最少包括：建立连接的时间、源IP和MAC地址、目标IP和MAC地址。

9．能准确记录被审计网络中每台电脑的上网行为，审计日志的信息项目包括：源IP和网卡MAC地址、目标IP和网卡MAC地址、用户名、机器名、访问日期和时间等关键信息。

（五）关于内容过滤和上网控制功能的要求1．允许自动和手动生成终端电脑列表，采用多层分组方式划分组别，从而能实现有针对性的网络控制策略设置，允许对全局、分组、个别机器进行网络控制策略的设置，满足对网络使用的多种特殊控制需要。

提供丰富的网络控制策略分类和模板，允许管理员灵活制定分组控制策略。

2．要求“审计系统”包含丰富的互联网网站内容“过滤库”，“过滤库”必须包含专业、量大的分类URL过滤库、300万个站点以上记录、并含有一亿个以上的网页，其中不良信息库（即黄、赌、毒、邪类）有四百万条以上。

同时要求“过滤库”分类齐全，并允许管理员自行启用不同的分类组合，控制普通用户的上网行为，进行网络内容和上网过滤。

允许管理员自定义“过滤库”分类，进行有针对性的策略控制。

3．允许管理员对特定的不良站点设置开放和封堵，提供全局、分组、个别电脑的封堵策略控制功能，并且“审计系统”能对每一个访问该不良站点的终端机器记录详细的审计日志。

4．要求“过滤库”支持每天自动在线更新功能，而设备厂家须提供“过滤库”在线更新服务，要求“过滤库”实际内容的更新周期不超过15天。

5．允许管理员对在线游戏（如：QQ、浩方、联众、远航、边锋、中游等）、P2P软件（如：BT、EMULE、迅雷等）、音视频流等设置开放、封堵或根据预设置的策略进行控制。

6．允许对特定MAC地址所对应的终端机器进行监控，允许对该机器进行封堵和禁用该机器上网。

7．允许根据IP地址和MAC地址设置机器黑、白名单，被加入白名单里的机器将不受监控系统的任何限制；被加入黑名单的机器将按预先设定的策略无法进行相应的网络活动。

8．允许设置站点URL级的黑白名单，被加入站点白名单的站点，系统即会在全范围内解除对其过滤；被加入站点黑名单的站点，系统则会在全范围内始终对其进行封堵。

9．可以设置日志白名单，系统对日志白名单内的机器不仅不封堵，并且不记录日志。

10．允许按时间分段自动进行过滤和封堵控制。

11．允许控制策略数量大于50000条，在设置20000条策略情况下，对系统审计及查询统计性能无影响。

（六）关于查询和报表输出功能的要求1．在积累了60天庞大日志数据的情况下，具备准确、快速的查询统计能力、报表输出能力、按条件日志导出和数据备份的能力。

2．提供丰富的审计记录查询条件，使用方便，支持多种条件组合和模糊查询。

可按所访问的URL、源IP地址（段）、源MAC地址、目的IP（段）、目的MAC地址、协议和通信端口类型、日期和时间段等进行单个或多个组合条件查询，并支持模糊查询，结果以HTML、EXCEL等通用格式输出，输出文件内容符合常用格式规范。