运维安全网关系统堡垒机采购要求
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
图形协议审计
支持RDP、VNC图形操作行为的审计，图形回放形式还原真实操作过程
★支持RDP、VNC图形操作过程中键盘输入操作记录和鼠标点击行为记录，并支持开启或关闭键盘输入审计功能（需提供截图）
支持RDP窗口标题审计，并支持通过窗口标题内容检索定位回放（需提供截图）
★支持对剪贴板拷贝文件行为和文本信息内容的记录，并支持通过搜索文本内容关键字定位审计回放（需提供截图）
自动改密密码策略支持随机生产不同密码 、随机生成相同密码 、手工指定相同密码，随机密码支持自定义密码强度
支持改密结果自动发送到制定改密计划的管理员邮箱；密码文件加密保存，需要专用查看工具查看，以保证安全性
系统管理
支持通过WEB升级系统版本、重启系统、关机
支持NTP时间同步功能
支持自定义系统logo图片，无需定制开发（需提供截图）
SNMP功能
支持SNMP Agent方式对外提供设备基础信息（支持SNMP v2c和v3）
日志外发
支持以Syslog对外发送登录日志、业务管理日志和运维审计日志（需提供截图）
产品成熟度
排名
产品要求在IDC或CCID中有排名，且排名为前三的品牌
★资质（提供复印件证明）
产品资质
产品具备公安部销售许可证，产品为运维安全网关，不允许为其它产品资质
运维安全网关系统（堡垒机）采购要求：
功能
功能要求
基本要求
硬件、性能
★1U机架式软硬一体设备，至少支持6个千兆电口，具有一个扩展插槽，可扩展8个千兆光口、8个千兆电口、或2个万兆光口, 字符协议不低于800个,图形协议不低于300个,物理存储1TB,50个管理设备授权
系统架构
堡垒主备份到外边FTP服务器存储
支持定时自动备份配置和数据，保证数据安全性
支持配置信息导入和导出功能
接口功能
对外告警
支持以邮件、SYSLOG、Snmp Trap、实时发送命令策略触发的审计信息
支持以邮件、SYSLOG、Snmp Trap、实时发送设备自身CPU、内存达到使用上限的告警信息；
其它外部认证：支持Windows AD、RADIUS、LDAP；
双因素认证：支持对不同用户设置不同认证方式组合的双因素认证（需提供截图）
支持用户属性中手机号码和邮箱地址作为主账号身份登录（需提供截图）
运维用户多次登录失败自动锁定登录账号或登录IP，到期自动解锁
限制用户同一时间只能从一个IP登录
密码找回：支持用户忘记登录密码时，可通过邮件或短信方式获取验证码，验证通过后重置登录密码（需提供截图）
支持NAT地址映射部署，通过映射后的IP地址访问堡垒机进行管理和运维操作，支持从多个映射地址访问，适用于内外网隔离的复杂网络环境
数据存储
系统自带内部存储
管理功能
管理分权
系统级账号三权分立，系统级账号包括：系统账号管理员，系统审计员，系统管理员
★业务管理组：分属不同业务管理组的业务管理员只能管理所在业务管理组内的用户、资源、策略和审计管理，适用于不同的管理部门有独立的管理员，运维人员，资源和审计管理要求的场景（需提供截图）
部署方式
物理旁路，逻辑串联模式，不影响现有网络结构
单机部署、双机热备部署
★分布式部署（需提供截图）：
支持添加一台或多台协议代理服务器，分担堡垒机主服务器性能压力，便于提高整体性能；
并支持限定不同的协议代理服务器节点访问不同的资源；
多协议代理服务器节点可访问相同资源时实现自动负载均衡；
堡垒机主服务器集中管理配置和收集展现日志信息
离线回放重现维护人员对服务器的所有操作过程（回放文件下载到本地播放）
倍速/低速播放、拖动、暂停、停止、重新播放等播放控制操作
支持通过搜索操作关键字定位回放
会话协议回放空闲时间过滤，应用发布图像操作回放支持操作空闲过滤（可设置无操作多长时间开始过滤）（需提供截图）
审计查询和报表
自定义审计查询条件，包括：时间范围、用户、资源、资源账号、IP、关键字等条件
支持基于用户组、资源组的授权模式下，此用户组和资源组内新增成员自动继承授权关系
命令策略对TELNET、SSH、FTP、SFTP和数据库的违规或高危操作的指令（黑白名单）进行日志提醒、忽略命令、阻断会话或二次审批
支持访问策略或工单策略时间限制到期后断开已连接会话
命令策略中对违规或高危指令支持正则表达式设置匹配规则（需提供截图）
应用发布防跳转：通过应用发布只能访问已授权资源，无法通过应用工具新建未授权资源进行跳转连接
支持web页面防跳转功能，进行http/https访问过程中，运维人员仅允许访问授权地址（需提供截图）
实时监控
实时监控当前连接发生的所有会话信息，发现高危操作可实时切断会话
会话回放
WEB在线视频回放方式重现维护人员对服务器的所有操作过程
工单管理
支持管理员下发工单，授权运维人员有权限在指定时间内访问指定的资源
支持运维用户主动申请访问权限的工单，管理员审批通过后即可登录运维
安全性
操作系统与数据分离存储
操作系统安装在专用CF卡，审计数据存储在磁盘，防止操作系统故障导致数据丢失
通讯安全性
管理模式 B/S，采用HTTPS方式远程安全管理
系统自身HTTPS 证书签名支持高强度SHA256算法
审计功能
数据库审计
实现数据库命令级审计，支持的数据库类型包括：Oracle（支持ORACLE RAC）、SQL Server、IBM DB2、Sybase、IBM Informix Dynamic Server、MySQL、PostgreSQL、teradata，不需采用数据镜像方式实现，以免增加部署的复杂性和网络负担（需提供截图）
支持Oracle、Postgresql、Sybase、MySQL、SQL server数据库下行返回行数记录
支持Oracle数据库变量绑定解析，便于审计员深度分析用户的操作行为
支持通过应用发布实现数据库操作的命令级审计和图形审计的双重审计效果，命令级审计便于重现真实的完整操作命令，图形审计便于直观的查看到真实的操作行为，并支持通过搜索操作语句关键字定位审计回放
审计查询关键字和结果显示支持多种编码(UTF-8,Big5,EUC-JP,EUC-KR,GB2312,GB18030,ISO-8859-2,KOI8-R,KS_C_5601_1987,Shift_JIS,Window-874)，由用户自主选择（需提供截图）
系统内置多种报表模板，支持管理员自定义报表类型
支持以普通管理模式登录网络设备或主机并自动切换到特权模式
系统工具支持：SecureCRT、WinSCP、FFFTP、FileZilla、SQLPlus、PLSQLDev、Toad for Oracle、Db2cmd（DB2）、Teradata SQL Assistant、SqlDbx Personal、SqlDbx Professjonal、TightVNC、pgAdmin3、SqlAdvantage、Sqleditor、mysql、QuestCentral、SSMS、Xshell、dbvis、Navicat、SSH Secure Shell Client等
资源密码管理
支持设定周期性改密计划，批量修改资源密码
支持手动改密，修改指定资源的账号密码
★支持改密的资源包括：Linux、Unix、Windows（采用RPC方式）、AIX以及数据库Oracle、SqlServer、PostgreSQL、MySql、DB2、Informix 、SYBASE（需提供截图）
支持修改系统自身对外提供服务的默认端口，以满足不同环境的部署要求（需提供截图）
支持网口聚合功能（需提供截图）：
网口聚合主备模式，防止链路单点故障
网口聚合负载均衡模式，提高链路带宽
数据管理
实时监控审计系统CPU、内存、磁盘的使用情况
支持磁盘健康状况诊断
空间自管理功能，存储空间不足时能够自动清理历史数据，并支持设置触发清理的存储空间阀值（需提供截图）
访问控制
从账号密码代填自动登录，使用人员不必知道服务器帐号及密码
从账号密码半自动、手动登录，使用人员也可以选择自行输入服务器账号密码登录，也可选择保存账号密码，下次不再输入账号密码
支持TELNET、SSH协议资源使用普通用户登录自动切换到root账号
访问策略基于用户、用户组、资源、资源组、系统帐号、协议类型、生效时间范围、IP地址限制等进行设置
字符文件传输协议审计
支持SSH协议服务端启用强加密算法hmac-sha2-256,hmac-sha2-512，提升SSH协议安全性
支持字符协议SSHv1、SSHv2、TELNET、RLOGIN和文件传输协议FTP、SFTP的协议审计，审计详细的操作语句和操作语句的执行结果
支持通过应用发布实现字符协议和文件传输协议的命令级审计和图形审计的双重审计效果，命令级审计便于重现真实的完整操作命令，图形审计便于直观的查看到真实的操作行为，并支持通过搜索操作语句或执行结果中关键字定位审计回放
产品具备涉密信息系统产品检测证书，产品为运维安全网关，不允许为其它产品资质
产品具备国家信息安全产品认证证书，产品为运维安全网关，不允许为其它产品资质
产品具备计算机软件著作权登记证书，产品为运维安全网关，不允许为其它产品资质
厂商资质
产品厂商为CNCERT 网络安全应急服务支撑单位(国家级)
支持按日、周、月为周期自动生成周期性报表
报表格式支持CSV和HTML
权限控制
身份认证
基本认证：本地账号+密码认证
支持USB-KEY认证
支持内置动态口令认证，无须额外增加认证服务器
短信认证（支持短信中间表和短信网关标准：中国移动CMPP2.0、中国联通SGIP1.2标准和中国电信SMGP3.0）
数字证书认证：吉大正元证书认证，北京数字证书认证；格尔证书认证
用户和资源管理范围：可设置业务管理员可管理的用户组和资源组的范围，适用于部门内管理员管理用户和资源权限的进一步划分
用户管理
★用户账号命名字母区分大小写、账号支持中文，账号长度最大支持256位字节（需提供截图）
支持用户和用户组的管理，包括添加、修改、删除、启用、停用、移动和移除组成员功能
支持用户组无限级分级管理
★RDP协议支持windows服务端开启安全层SSL加密，加密级别符合FIPS标准，允许运行使用网络级别身份验证的远程桌面的计算机连接，以满足运维过程安全性的更高要求（需提供截图）
协议扩展
支持通过应用发布进行协议扩展，支持http/https协议、X11协议、VMware vSphere Client、Radmin等第三方客户端工具，并支持账号密码代填登录；应用发布调用只能推送应用工具窗口，不得推送windows桌面，以提升用户体验
资源管理
支持不同的资源使用相同的IP或域名，便于同一资源按照不同的服务类型进行分类管理（需提供截图）
支持资源和资源组管理功能，包括添加、修改、删除、启用、停用、移动和移除组成功功能
支持资源（包括服务和资源账号）批量导入导出功能
支持资源分类和资源系统类型管理：内置常见资源分类和资源系统类型，可自定义添加资源分类、资源系统类型和资源服务类型
支持用户账号的批量导入导出功能
★支持从AD域抽取组织机构和用户账号，方便快速建立组织机构和用户账号（需提供截图）
支持批量修改用户账号属性
支持设置用户属性为：不能修改密码、密码永不过期、下次登录必须更改密码
用户密码策略包括：最小密码长度、密码复杂度、密码周期、历史比对和登录锁定
支持用户账号有效期配置
支持用户客户端IP和MAC限制，非法地址无法登录（需提供截图）
支持基于时间集合、IP集合、命令集合设置访问策略或命令策略
资源访问
支持IE（8-11版本）、谷歌浏览器、Firefox浏览器
支持运维客户端功能，运维操作过程不需要安装JAVA或其它任何控件（需提供截图）
支持通过堡垒机web页面内嵌SSH、FTP、TELNET运维工具访问目标资源
支持通过堡垒机web页面调用本地工具访问目标资源
支持客户端菜单模式访问：用户直接使用客户端工具访问堡垒机通过菜单方式选择目标服务器并进行访问，支持的协议包括字符协议（TELNET,SSH）或图形协议（RDP,VNC）
SSH协议支持私钥代填登录，最大程度保障运维安全
RDP支持剪切板和磁盘映射功能，可选择分辨率或自适应分辨率
★支持TELNET、SSH协议使用SecureCRT工具批量登录目标资源，并支持对多台主机批量执行操作指令（需提供截图）
支持RDP、VNC图形操作行为的审计，图形回放形式还原真实操作过程
★支持RDP、VNC图形操作过程中键盘输入操作记录和鼠标点击行为记录，并支持开启或关闭键盘输入审计功能（需提供截图）
支持RDP窗口标题审计，并支持通过窗口标题内容检索定位回放（需提供截图）
★支持对剪贴板拷贝文件行为和文本信息内容的记录，并支持通过搜索文本内容关键字定位审计回放（需提供截图）
自动改密密码策略支持随机生产不同密码 、随机生成相同密码 、手工指定相同密码，随机密码支持自定义密码强度
支持改密结果自动发送到制定改密计划的管理员邮箱；密码文件加密保存，需要专用查看工具查看，以保证安全性
系统管理
支持通过WEB升级系统版本、重启系统、关机
支持NTP时间同步功能
支持自定义系统logo图片，无需定制开发（需提供截图）
SNMP功能
支持SNMP Agent方式对外提供设备基础信息（支持SNMP v2c和v3）
日志外发
支持以Syslog对外发送登录日志、业务管理日志和运维审计日志（需提供截图）
产品成熟度
排名
产品要求在IDC或CCID中有排名，且排名为前三的品牌
★资质（提供复印件证明）
产品资质
产品具备公安部销售许可证，产品为运维安全网关，不允许为其它产品资质
运维安全网关系统（堡垒机）采购要求：
功能
功能要求
基本要求
硬件、性能
★1U机架式软硬一体设备，至少支持6个千兆电口，具有一个扩展插槽，可扩展8个千兆光口、8个千兆电口、或2个万兆光口, 字符协议不低于800个,图形协议不低于300个,物理存储1TB,50个管理设备授权
系统架构
堡垒主备份到外边FTP服务器存储
支持定时自动备份配置和数据，保证数据安全性
支持配置信息导入和导出功能
接口功能
对外告警
支持以邮件、SYSLOG、Snmp Trap、实时发送命令策略触发的审计信息
支持以邮件、SYSLOG、Snmp Trap、实时发送设备自身CPU、内存达到使用上限的告警信息；
其它外部认证：支持Windows AD、RADIUS、LDAP；
双因素认证：支持对不同用户设置不同认证方式组合的双因素认证（需提供截图）
支持用户属性中手机号码和邮箱地址作为主账号身份登录（需提供截图）
运维用户多次登录失败自动锁定登录账号或登录IP，到期自动解锁
限制用户同一时间只能从一个IP登录
密码找回：支持用户忘记登录密码时，可通过邮件或短信方式获取验证码，验证通过后重置登录密码（需提供截图）
支持NAT地址映射部署，通过映射后的IP地址访问堡垒机进行管理和运维操作，支持从多个映射地址访问，适用于内外网隔离的复杂网络环境
数据存储
系统自带内部存储
管理功能
管理分权
系统级账号三权分立，系统级账号包括：系统账号管理员，系统审计员，系统管理员
★业务管理组：分属不同业务管理组的业务管理员只能管理所在业务管理组内的用户、资源、策略和审计管理，适用于不同的管理部门有独立的管理员，运维人员，资源和审计管理要求的场景（需提供截图）
部署方式
物理旁路，逻辑串联模式，不影响现有网络结构
单机部署、双机热备部署
★分布式部署（需提供截图）：
支持添加一台或多台协议代理服务器，分担堡垒机主服务器性能压力，便于提高整体性能；
并支持限定不同的协议代理服务器节点访问不同的资源；
多协议代理服务器节点可访问相同资源时实现自动负载均衡；
堡垒机主服务器集中管理配置和收集展现日志信息
离线回放重现维护人员对服务器的所有操作过程（回放文件下载到本地播放）
倍速/低速播放、拖动、暂停、停止、重新播放等播放控制操作
支持通过搜索操作关键字定位回放
会话协议回放空闲时间过滤，应用发布图像操作回放支持操作空闲过滤（可设置无操作多长时间开始过滤）（需提供截图）
审计查询和报表
自定义审计查询条件，包括：时间范围、用户、资源、资源账号、IP、关键字等条件
支持基于用户组、资源组的授权模式下，此用户组和资源组内新增成员自动继承授权关系
命令策略对TELNET、SSH、FTP、SFTP和数据库的违规或高危操作的指令（黑白名单）进行日志提醒、忽略命令、阻断会话或二次审批
支持访问策略或工单策略时间限制到期后断开已连接会话
命令策略中对违规或高危指令支持正则表达式设置匹配规则（需提供截图）
应用发布防跳转：通过应用发布只能访问已授权资源，无法通过应用工具新建未授权资源进行跳转连接
支持web页面防跳转功能，进行http/https访问过程中，运维人员仅允许访问授权地址（需提供截图）
实时监控
实时监控当前连接发生的所有会话信息，发现高危操作可实时切断会话
会话回放
WEB在线视频回放方式重现维护人员对服务器的所有操作过程
工单管理
支持管理员下发工单，授权运维人员有权限在指定时间内访问指定的资源
支持运维用户主动申请访问权限的工单，管理员审批通过后即可登录运维
安全性
操作系统与数据分离存储
操作系统安装在专用CF卡，审计数据存储在磁盘，防止操作系统故障导致数据丢失
通讯安全性
管理模式 B/S，采用HTTPS方式远程安全管理
系统自身HTTPS 证书签名支持高强度SHA256算法
审计功能
数据库审计
实现数据库命令级审计，支持的数据库类型包括：Oracle（支持ORACLE RAC）、SQL Server、IBM DB2、Sybase、IBM Informix Dynamic Server、MySQL、PostgreSQL、teradata，不需采用数据镜像方式实现，以免增加部署的复杂性和网络负担（需提供截图）
支持Oracle、Postgresql、Sybase、MySQL、SQL server数据库下行返回行数记录
支持Oracle数据库变量绑定解析，便于审计员深度分析用户的操作行为
支持通过应用发布实现数据库操作的命令级审计和图形审计的双重审计效果，命令级审计便于重现真实的完整操作命令，图形审计便于直观的查看到真实的操作行为，并支持通过搜索操作语句关键字定位审计回放
审计查询关键字和结果显示支持多种编码(UTF-8,Big5,EUC-JP,EUC-KR,GB2312,GB18030,ISO-8859-2,KOI8-R,KS_C_5601_1987,Shift_JIS,Window-874)，由用户自主选择（需提供截图）
系统内置多种报表模板，支持管理员自定义报表类型
支持以普通管理模式登录网络设备或主机并自动切换到特权模式
系统工具支持：SecureCRT、WinSCP、FFFTP、FileZilla、SQLPlus、PLSQLDev、Toad for Oracle、Db2cmd（DB2）、Teradata SQL Assistant、SqlDbx Personal、SqlDbx Professjonal、TightVNC、pgAdmin3、SqlAdvantage、Sqleditor、mysql、QuestCentral、SSMS、Xshell、dbvis、Navicat、SSH Secure Shell Client等
资源密码管理
支持设定周期性改密计划，批量修改资源密码
支持手动改密，修改指定资源的账号密码
★支持改密的资源包括：Linux、Unix、Windows（采用RPC方式）、AIX以及数据库Oracle、SqlServer、PostgreSQL、MySql、DB2、Informix 、SYBASE（需提供截图）
支持修改系统自身对外提供服务的默认端口，以满足不同环境的部署要求（需提供截图）
支持网口聚合功能（需提供截图）：
网口聚合主备模式，防止链路单点故障
网口聚合负载均衡模式，提高链路带宽
数据管理
实时监控审计系统CPU、内存、磁盘的使用情况
支持磁盘健康状况诊断
空间自管理功能，存储空间不足时能够自动清理历史数据，并支持设置触发清理的存储空间阀值（需提供截图）
访问控制
从账号密码代填自动登录，使用人员不必知道服务器帐号及密码
从账号密码半自动、手动登录，使用人员也可以选择自行输入服务器账号密码登录，也可选择保存账号密码，下次不再输入账号密码
支持TELNET、SSH协议资源使用普通用户登录自动切换到root账号
访问策略基于用户、用户组、资源、资源组、系统帐号、协议类型、生效时间范围、IP地址限制等进行设置
字符文件传输协议审计
支持SSH协议服务端启用强加密算法hmac-sha2-256,hmac-sha2-512，提升SSH协议安全性
支持字符协议SSHv1、SSHv2、TELNET、RLOGIN和文件传输协议FTP、SFTP的协议审计，审计详细的操作语句和操作语句的执行结果
支持通过应用发布实现字符协议和文件传输协议的命令级审计和图形审计的双重审计效果，命令级审计便于重现真实的完整操作命令，图形审计便于直观的查看到真实的操作行为，并支持通过搜索操作语句或执行结果中关键字定位审计回放
产品具备涉密信息系统产品检测证书，产品为运维安全网关，不允许为其它产品资质
产品具备国家信息安全产品认证证书，产品为运维安全网关，不允许为其它产品资质
产品具备计算机软件著作权登记证书，产品为运维安全网关，不允许为其它产品资质
厂商资质
产品厂商为CNCERT 网络安全应急服务支撑单位(国家级)
支持按日、周、月为周期自动生成周期性报表
报表格式支持CSV和HTML
权限控制
身份认证
基本认证：本地账号+密码认证
支持USB-KEY认证
支持内置动态口令认证，无须额外增加认证服务器
短信认证（支持短信中间表和短信网关标准：中国移动CMPP2.0、中国联通SGIP1.2标准和中国电信SMGP3.0）
数字证书认证：吉大正元证书认证，北京数字证书认证；格尔证书认证
用户和资源管理范围：可设置业务管理员可管理的用户组和资源组的范围，适用于部门内管理员管理用户和资源权限的进一步划分
用户管理
★用户账号命名字母区分大小写、账号支持中文，账号长度最大支持256位字节（需提供截图）
支持用户和用户组的管理，包括添加、修改、删除、启用、停用、移动和移除组成员功能
支持用户组无限级分级管理
★RDP协议支持windows服务端开启安全层SSL加密，加密级别符合FIPS标准，允许运行使用网络级别身份验证的远程桌面的计算机连接，以满足运维过程安全性的更高要求（需提供截图）
协议扩展
支持通过应用发布进行协议扩展，支持http/https协议、X11协议、VMware vSphere Client、Radmin等第三方客户端工具，并支持账号密码代填登录；应用发布调用只能推送应用工具窗口，不得推送windows桌面，以提升用户体验
资源管理
支持不同的资源使用相同的IP或域名，便于同一资源按照不同的服务类型进行分类管理（需提供截图）
支持资源和资源组管理功能，包括添加、修改、删除、启用、停用、移动和移除组成功功能
支持资源（包括服务和资源账号）批量导入导出功能
支持资源分类和资源系统类型管理：内置常见资源分类和资源系统类型，可自定义添加资源分类、资源系统类型和资源服务类型
支持用户账号的批量导入导出功能
★支持从AD域抽取组织机构和用户账号，方便快速建立组织机构和用户账号（需提供截图）
支持批量修改用户账号属性
支持设置用户属性为：不能修改密码、密码永不过期、下次登录必须更改密码
用户密码策略包括：最小密码长度、密码复杂度、密码周期、历史比对和登录锁定
支持用户账号有效期配置
支持用户客户端IP和MAC限制，非法地址无法登录（需提供截图）
支持基于时间集合、IP集合、命令集合设置访问策略或命令策略
资源访问
支持IE（8-11版本）、谷歌浏览器、Firefox浏览器
支持运维客户端功能，运维操作过程不需要安装JAVA或其它任何控件（需提供截图）
支持通过堡垒机web页面内嵌SSH、FTP、TELNET运维工具访问目标资源
支持通过堡垒机web页面调用本地工具访问目标资源
支持客户端菜单模式访问：用户直接使用客户端工具访问堡垒机通过菜单方式选择目标服务器并进行访问，支持的协议包括字符协议（TELNET,SSH）或图形协议（RDP,VNC）
SSH协议支持私钥代填登录，最大程度保障运维安全
RDP支持剪切板和磁盘映射功能，可选择分辨率或自适应分辨率
★支持TELNET、SSH协议使用SecureCRT工具批量登录目标资源，并支持对多台主机批量执行操作指令（需提供截图）