智慧校园网络安全项目

　　一、项目内容
　　为进一步提升校园智慧化、信息化、规范化水平，在现有智慧校园网络安全设备的基础上进行升级，主要包块日志记录和查询、入侵检测、防火墙升级、新增防火墙、实名认证升级、机房精密空调、原存储扩容及虚拟化系统、DELLR720内存、UPS电池、万兆核心交换机、运维系统等。
　　二、项目要求
　　序号
　　产品名称
　　功能及技术参数
　　1hr日志记录和查询标准版，含日志收集、存储、查询、统计分析、告警响应等功能，至少包含20个日志源授权；日志采集处理均值20000EPS，峰值35000EPS。
　　支持安全设备、网络设备、中间件、服务器、数据库、操作系统、业务系统等不少于26类300种日志对象的日志数据采集。
　　支持对日志流量非常大但是日志重要程度低的syslog类型日志源进行限制接收速率，降低对系统资源的占用，保障重要日志的收集，支持限制速率设置为1000条秒、3000条秒和5000条秒等；（提供证明材料，并加盖原厂公章）
　　支持主动、被动相结合的数据采集方式；支持支持Telnet、Syslog、SNMPTrap、Netflow、JDBC、SSH、WMI、FTP、SFTP、SCP文件等方式进行数据采集；支持通过Agent采集日志数据。
　　支持IPv6IPv4双栈环境部署，对IPv6IPv4日志源的日志进行高速采集；
　　支持对所管理设备的日志原始数据完整存储，支持数据本地集中存储、网络存储；
　　支持根据设备重要程度设置独立设置每个被采集源的数据存储时间为1个月、3个月、6个月和永久保存等参数。
　　系统支持智能报表创建，每添加一个日志源，系统自动分析日志源类型进行相应报表创建，无需人工干预，报表和资产一一对应。
　　支持对日志进行细粒度解析，包含不仅限于采集器接收时间、日志时间（起始时间结束时间）事件级别、事件类型、事件消息、事件名称、来源地址、来源端口、目标地址、目标端口、事件设备分类、事件行为分类、事件特征分类、事件结果分类等，字段信息可通过解析规则增加和修改，默认维度超过200。
　　内置系统运行相关告警规则，包括检测到新日志源、节点掉线、主动日志源长期不外发日志、存储上限告警、主机认证失败等，可启用禁用规则；
　　支持基于时间轴展示告警数据分布，能够通过时间轴进行查询分析；
　　支持邮件、声音、短信、命令行等多种告警方式，支持报警内容引用字段变量参数；
　　可以针对不同类型、不同种类以及不同安全级别的安全事件制定不同的告警方式。
　　支持首页以全国地图、全球地图展示最近24小时日志访问源和访问目的的分布，能根据颜色区分访问来源和访问目的数据量大小，能够通过首页地图快速下钻查询指定区域的日志详细信息；
　　支持对重点日志源的关注设置，并可通过关注列表快速查看重点日志源的状态、当日日志量、采集日志总量、最近接收时间、业务组等基础信息；
　　产品具备公安部计算机信息系统安全产品销售许可证（行标三级）；
　　生产厂商通过CMMI五级认证；
　　生产厂商为网络安全应急服务支撑单位（国家级）；
　　2hr入侵检测支持6个千兆电口，2个SFP插槽，吞吐8G，2个扩展槽。并发连接200万，每秒新建连接6万；1年IPS规则特征库升级许可，须和现有防火墙进行攻击联动，提供现有防火墙产品厂商盖章的联动证明文件。
　　支持多操作系统引导，出于安全性考虑，多系统需在设备启动过程中进行选择，不得在WEB维护界面中设置系统切换选项。
　　要求支持攻击报文取证功能，检测到攻击事件后将原始报文完整记录下来，作为电子证据。
　　要求能够检测包括溢出攻击类、RPC攻击类、WEBCGI攻击类、拒绝服务类、木马类、蠕虫类、扫描类、网络访问类、HTTP攻击类、系统漏洞类等在内的超过5900种攻击事件。
　　支持自定义规则，并且自定义规则库可以导入导出。
　　支持对协议组的流量阀值和连接数进行设置及报警，协议组类型包括P2P类、即时通讯类、标准协议类、移动应用类、http应用类、工控互联网类等。
　　系统支持DDOS机器人自学习功能，学习时间可设置。
　　系统支持攻击检测日志中可以直观的展示攻击事件中的攻击特征编码。
　　支持外发日志服务器时，自定义字符编码格式GBKUTF8。
　　支持对应用协议的连接数和流量的报警信息进行展示，红色表示有报警，绿色表示没报警。
　　支持登陆界面图形验证码功能，防止管理员账号被暴力破解。
　　产品必须具备中华人民共和国公安部颁发的《计算机信息系统安全产品销售许可证》（网络入侵检测国标三级）；
　　产品具有中国网络安全审查技术与认证中心颁发的《IT产品信息安全认证证书》（EAL3增强级）；
　　产品具有中国信息安全认证中心颁发的《中国国家信息安全产品认证证书》；
　　产品厂商需具备强大的开发适配能力和服务能力，能出具原厂商的由中国信息安全测评中心颁发的《信息安全服务资质证书安全开发资质》二级及以上认证以及《信息安全服务资质证书安全工程类》三级及以上资质。
　　3hr防火墙升级
　　提供现使用天融信防火墙NGFW4000UF授权扩容：入侵防御一年特征库授权升级，防病毒一年特征库授权升级，维保一年。要求不得改变网络现状与断网。须原厂工程师上门升级并提供调优服务。以上服务需提供原厂盖章承诺函。
　　4hr新增防火墙支持6个千兆电口，2个SFP插槽，防火墙吞吐12G，2个扩展槽。并发连接300万，每秒新建连接10万；要求防火墙产品入选江苏省符合网络安全等级保护二级以上标准（非涉密重要信息系统）网络安全产品与服务推荐目录2017版，须和原有防火墙双机热备联动。配置入侵防御一年特征库授权升级，防病毒一年特征库授权升级，一年僵木儒特征库。
　　支持RIP、OSPF、BGP4、QinQ、PIMSM、PIMDM；
　　支持手动和LACP链路聚合，可根据源目的MAC、源目的IP、源目的端口、五元组、端口轮询等条件，提供不少于10种链路负载算法。
　　支持IP子网分配地址达到阈值时报警功能，设置阀值后，当分配的IP数高于该阀值时，进行报警；（提供证明材料，并加盖原厂公章）
　　支持RADVD、ND、RIPng、OSPFv3、BGP4，支持IPv6静态、动态组播路由；
　　支持在一台物理设备上划分出128个相互独立的虚拟系统，可根据连接配额及连接新建速率为每个虚拟系统分配资源，实配不少于24个虚拟防火墙授权；
　　支持配置文件、系统服务、路由、链路聚合、安全策略、NAT策略、带宽管理、认证策略、IPV6功能、URL过滤、病毒过滤、WAF、内容过滤、邮件安全、审计、报表、防代理等安全功能虚拟化；
　　支持对P2P（提供P2P流量识别技术相关的证明文件）、数据库、移动应用、加密流量（提供产品功能截图与加密流量识别相关的证明文件）、向日葵Teamview等远程控制软件等协议进行识别控制，支持自定义应用特征；（提供证明材料，并加盖原厂公章）
　　支持监控功能，显示被拦截的IP、地址对象、应用的限制条件、被拒次数、最近被拒时间等信息；
　　支持SIP协议的媒体业务接入，实现内外网媒体系统之间上联和下联安全防护，符合GBT281812016《安全防范视频监控联网系统信息传输、交换、控制技术要求》及TCOP（XZ）2B1852017相关技术要求（提供测试报告复印件）；
　　支持配置文件本地备份和回滚，支持3个配置文件备份，支持对访问控制策略、NAT策略等关键配置进行单独及加密备份和恢复，支持周期性定时备份；支持对配置命令及配置文件的操作行为进行审计；
　　（提供证明材料，并加盖原厂公章）
　　具备中国信息安全测评中心《信息安全产品自主原创证明》
　　具备国家密码管理局商用密码检测中心《密码检测证书》
　　厂商资质，（提供证明材料，并加盖原厂公章）
　　具备中国通信企业协会通信网络安全服务能力安全设计与集成二级评定证书，具有质量管理体系TL9000认证；
　　具备中国信息安全测评中心颁发的国家信息安全测评信息安全服务资质证书安全工程类三级认证；
　　生产厂商应具备国家计算机网络应急技术处理协调中心颁发的《网络安全应急服务支撑单位证书（国家级）》
　　5hr实名认证升级1。1U高度硬件化产品。
　　2。6个GE电口，1个RJ45配置口，USB口2个；
　　3。硬盘1T，DDR2内存2G，支持Linux操作平台，支持PostgreSQL数据库。
　　4。认证页面合并：普通用户、短信、二维码、微信web认证合并。
　　5。昵称认证：采用昵称代替用户名认证。
　　6。首次登陆账号激活，并强制修改密码。首次进行认证时，强制要求用户设置密保：手机号、邮箱账号、私密问答作为密保凭据任选其一。
　　7。支持直接获取用户网卡的物理MAC地址，防止篡改MAC地址。
　　8。禁止用户非法外连互联网，一旦访问则进行日志记录，并禁用所有网络连接；支持基于网络设备ACL、设备VLAN、主机ACL的网络权限控制。（提供功能截图证明复印件或电子件或扫描件并加盖投标人公章）
　　9。支持与数据库SQLSERVER、MySQL、ORACLE、DB2、PostgreSQL对接。
　　10。匹配现有锐捷无线AP及认证计费系统，提供原厂无缝对接承诺函，单台配置500个终端授权许可。
　　6hr机房精密空调1技术要求：制冷量20。2kW；风量5500CMH；上下送风机组；（提供泰尔认证报告）
　　2机房专用空调应能应解决机房的高显热量负荷，要求在24，50RH工况下：显热比0。90；
　　3能效比要求：要求24，45RH工况下：机组制冷能效比应3。0；
　　4加湿系统：应采用高效电极加湿器，所选用加湿器需可以在场地进行拆装清理，反复应用；
　　5冷凝器部分：冷凝风机采用无级调速，高效节能；
　　6除湿性能：机组应具备精确除湿功能，通过控制器精确调节风量来达到准确控制除湿量的效果，减少空气过冷及热补偿需求，降低机房专用空调除湿过程耗电量
　　7控制显示系统：触摸图文显示屏，直观显示空调运行状态与被检测机柜进出风温湿度；
　　8控制存储系统：显示器中可调阅查看不少于300条历史告警，可扩展存储调阅历史记录，每60秒机组存储各项运行数据，可通过计算机直接读取数据；
　　9机组适用性：机房专用空调机组的送风余压应不小于50Pa，能适应机房实际的较宽送风距离要求。并可根据设计需要提供更高余压。提高机组送风余压应不减少机组的送风量；室内空调机组要求100全正面维护，需可以靠装、并装；
　　资质要求
　　投标品牌为市场主流品牌，要求为市场占有率前5的品牌。
　　生产厂家必须通过ISO9001质量体系认证和ISO14001环境体系认证、ISO45001职业健康安全管理体系认证、ISO27001信息安全管理体系证书
　　提供设备厂家中国设备维修安装企业能力等级制冷空调A类I级；
　　提供投标产品《CRAA认证证书》、节能认证证书；
　　提供投标产品厂家合同能源管理服务认证证书；
　　投标产品必须具有国家强制性认证（3C）、设备生产厂家具有《全国工业产品生产许可证》。
　　7hr原存储扩容及虚拟化系统虚拟化扩容
　　1、对现已部署的虚拟化软件增加4颗CPU授权许可，企业增强版；
　　2、提供三年免费质保服务；
　　3、完成对现有虚拟化平台的整合，将计算资源整合成一个资源池，虚拟化平台整合时必须保证不得造成业务中断，不得造成数据丢失，如造成业务中断或造成数据丢失，由投标人承担一切责任。
　　存储在线扩容
　　1、对现已部署的存储系统进行容量扩容；
　　2、本次扩容不低于8TSAS容量；
　　3、提供三年免费质保服务；
　　4、因现有业务已在线运行，多项关键业务不能停机，要求在线扩容安装调试，并保证在线扩容时不得造成数据丢失，如造成数据丢失或影响其他业务软件运行由投标人承担一切责任。
　　8hrDELLR720内存
　　16G服务器内存
　　9hrUPS电池1）额定电压12V，C20100Ah。
　　2）电池寿命：依据《固定型阀控式铅酸蓄电池第1部分技术条件》GBT19638。12014第6。21条款的要求进行电池的充放循环耐久性测试达300次以上（按第6。22、6。23条方法测试也可），须提供第三方国家级检测机构报告；
　　3）抗机械破损能力：蓄电池完全充电后在25的环境下，在100mm的高度，向坚固、平滑的水泥地面以正立状态自由跌落二次，无破损及泄漏。须提供第三方国家级检测机构报告
　　4）低温容量：20电池容量达到Ce（基准温度25时的容量）的50。须提供第三方国家级检测机构报告
　　5）气密性：蓄电池在环境温度255的条件下，储存24h，通过安全阀向蓄电池充气在内外压差为50Kpa时并持续不少于5s时，能够不破裂、不开胶、压力释放后壳体无残余变形；
　　6）容量试验：蓄电池组按照YDT7992010规定的相关方法试验，10h率容量第一次循环不低于0。95C10，在第三次循环之前，10h率容量应达到C10，3h率容量应达到0。75C10，1h率容量应达到0。55C10；
　　7）大电流放电：蓄电池以30I10（A）放电3min，极柱不应熔断、内部汇流排不应熔断，其外观不得出现异常。
　　8）容量保存率：在静置28天后，其容量保存率应不低于97；
　　9）密封反应效率：蓄电池密封反应效率不低于97；
　　10）安全阀要求：蓄电池安全阀应具有自动开启和自动关闭的功能，其开阀压应是10kPa35kPa，闭阀压应是3kPa30kPa；
　　11）耐过充电能力：蓄电池完全充电后，以0。3I10A的电流连续充电160H后，应不变形、不漏液；
　　12）端电压的均衡性：
　　由若干单体组成一体的蓄电池组，其各单体间的开路电压最高与最低差值不大于100mV；
　　由若干单体组成一体的蓄电池组，进入浮充状态24h后，其各单体间的端电压最高与最低差值不大于480mv；
　　13）连接电压降：蓄电池间的连接电压降U10mV。
　　14）防爆性能：蓄电池在充电过程中遇有明火，内部应不引燃、不引爆。
　　15）封口剂性能：采用封口剂的蓄电池，在环境温度3065之间，封口剂应无裂纹与溢流现象。
　　16）热失控敏感性：完全冲电后的蓄电池以2。45VCELL的恒压连续充电168H，蓄电池温度T60，每24H内浮充电流的增长率I50。
　　17）过度放电：蓄电池完全充电后过度放电，按照生产商确定的均充电压充电48H，容量恢复值90C10。
　　18）容量一致性：同组蓄电池10h率容量的最大值和最小值的差值5。
　　19）防漏液：产品采用防止电解液渗漏的技术，从根本上防止蓄电池漏液事故发生，须提供蓄电池制造商第三方权威证书。
　　20）蓄电池生产企业具有ISO9001国际质量管理体系认证证书、ISO14001环境管理体系认证证书、OHSAS18001职业健康安全管理体系认证证书、全国排污许可证，须提供相关证书。
　　21）蓄电池生产企业达到中华人民共和国工业和信息化部和生态环境部共同颁布的《铅蓄电池行业规范条件（2015年本）》的要求，须提供蓄电池制造商在国家工信部网站上的符合《铅蓄电池行业规范条件（2015年本）》企业名单的公告截图。
　　10hr万兆核心交换机1、交换容量2。56T，包转发率570Mpps，整机固化10G1G接口数20，25G10G接口数量4，40G接口数2，最大可扩展支持10G接口数32，标配4个XGSFPLRSM1310光模块；
　　2、支持可拔插双模块化电源，可拔插双模块化风扇，前后风道；
　　3、支持RIP，OSPF，BGP，RIPng，OSPFv3，BGP4；
　　4、支持硬件健康状态可视化，可以对风扇状态、电源、温度、板载电压进行监控，尤其是在日常巡查中发现电压异常前兆，可及时处理，避免出现电压异常宕机。
　　5、支持硬件层级双boot，采用两个FLASH芯片存储boot软件（系统引导程序），实现硬件级boot冗余备份，避免因FLASH芯片故障导致交换机无法启动。
　　6、设备支持故障隔离技术，用于监测光模块状态，一旦出现故障，可马上识别、并将故障模块隔离，确保不影响其它端口和整机的正常运行，更换模块后该端口也可马上恢复正常工作；
　　7、支持专门针对CPU的保护机制，能够针对发往CPU处理的各种报文进行流量控制和优先级处理，保护交换机在各种环境下稳定工作；
　　8、支持专门基础网络保护机制，增强设备防攻击能力，即使在受到攻击的情况下，也能保护系统各种服务的正常运行，保持较低的CPU负载，从而保障整个网络的稳定运行；
　　9、支持快速链路检测协议，可快速检测链路的通断和光纤链路的单向性，并支持端口下的环路检测功能；
　　10、提供工信部三层设备进网许可证复印件；
　　11、与现有核心交换机、汇聚交换机、接入交换机能无缝对接，统一网管，须提供原厂盖红章无缝对接承诺函。
　　11hr运维系统1、为保证系统平台的统一性，要求软件模块必须使用同一品牌，所有软件模块必须拥有完全自主知识产权，包括专利、软件著作权授权证书，能独立研发、自主可控，全中文界面，提供友好、直观、易懂的图形呈现；
　　2、监控平台采用BS架构，平台和应用分离，页面采用HTML5技术，平台采用JAVA开发。平台自带数据库和中间件，无需额外购买；
　　3、平台应当采用开放技术架构，不依赖于第三方商业产品。采用主流架构技术，包括或不限于使用Clickhouse、Kafka、flink和Redis等组件，具体数据采集层、数据处理层和数据应用层。数据存储应当充分利用缓存中间件、时序数据库等大数据技术确保系统的高可用性。
　　4、系统能够在工作台中呈现的信息应至少应包括：设备的告警信息、ITSM运维工单信息、资源数量及状态信息、常用功能入口等，并且未来应可以通过升级更新进行扩展，并且不需要进行数据迁移等工作；
　　5、对于需要实时分析的应用访问数据，系统需支持不限于以列表形式展示所有的应用系统内容和每个应用系统的关键信息，包括当前告警信息、用户数、以及关键的性能指标数据，包括：上行流速、下行流速、DNS响应成功率、DNS响应时延、TCP建连成功率、TCP建连时延、上行重传率、下行重传率、上行RTT、下行RTT、响应成功率、响应时延；
　　6、系统需要支持业务应用的实时运行数据分析，可以支持查看每分钟业务的运行快照，运维人员一目了然地看到业务在哪一个时间段存在异常，以及出现异常时业务的各项指标数据，进行深入分析。
　　7、支持对传输层TCP会话的流量进行回溯分析，系统提供按照一定时间段、特定区域或者特定的五元组来查询TCP详单，支持的指标应包含：客户端建连时延、服务器建连时延、客户端SYN个数、服务器SYNACK个数、客户端ACK个数、客户端RST个数（建连）、服务器RST个数（建连）、TCP建连时延、建连结果、上行RTT、下行RTT、上行重传率、下行重传率、客户端重传SYN个数、服务器端重传SYN个数、客户端SYN重传率、服务器端SYN重传率、客户端报文个数、服务器报文个数、客户端有效载荷数bit数、服务器有效载荷bit数、客户端有效载荷个数、服务器有效载荷个数、客户端重传包个数、服务器重传包个数、客户端重复ACK个数、服务器重复ACK个数、客户端零窗口次数、服务器零窗口次数、HTTP交易总数、HTTP交易请求数、HTTP交易响应数、HTTP交易请求传输最大时延、HTTP交易请求传输平均时延、HTTP交易最大响应时延、HTTP交易平均响应时延、HTTP交易平均响应传输时延、HTTP交易最大响应传输时延、小于64字节的包数、64511字节的包数、5121023字节的包数、大于1023字节的包数、客户端RST个数（拆连）、服务器RST个数（拆连）、客户端FIN个数、服务器FIN个数、拆连方式指标，并支持原始包下载。
　　8、支持通过SNMP、ICMP、NeBlOS、ARP、Traceroute、Telnet等多种手段自动发现各类主流网络设备，包括华为、锐捷、H3C、CISCO等主流厂商的的路由器、交换机、防火墙、负载均衡、VPN等设备，监控能力包括：ICMP状态、ICMP延时、SNMP状态、风扇、背板、板卡、端口状态、端口速率、端口丢包率、端口错包率、CPU利用率、内存利用率、ping时延、发送广播包数、广播包速率、吞吐量、总流量、上行流量、下行流量、网卡数量、电源类型等运行状态和指标；
　　9、支持基于资产属性设置、指标属性联合判断条件；支持自动判断告警的可能原因和影响范围；支持根据不同的原因提供处理建议；
　　10、支持拓扑节点自动布局和手动布局，对于手动布局，提供对齐功能，方便以最快的速度调整好拓扑图；
　　11、本次配置200个无线AP监控节点授权，支持200个网络设备、安全设备的监控授权。
　　12、某个系统出现异常，它的原因往往不是自身造成的，可能是由于操作系统故障、硬盘容量不足、网络线路故障等，所以系统应该支持在对某个系统进行检查的同时，可以对该系统依赖的部分，如：操作系统、硬盘、交换机、设备端口等进行关联性的检查，以便于管理员更快的发现该问题的根源；
　　13、系统在检测出问题的同时，应将发现问题那一时刻的关键指标呈现给管理员，以便于管理员能够快速的识别问题出现的原因。否则某些问题在管理员排查时相关指标可能已经恢复正常，问题就无法复现，导致系统始终存在隐患。同时系统应该支持每日每周每月进行检查，检查完成后可以通过短信、邮件、微信等方式将检查的结果通知管理员，方便管理员能够及时的收到问题提醒；
　　14、问题的识别具有比较强的专业性，部分经验不足的工程师可能很难识别或者难以识别全面，所以系统应该内置常见问题的识别规则，覆盖的范围也需要涵盖常用的设备，如数据库、操作系统、网络设备等，让经验不足的工程师可以内置的规则中挑选，降低使用难度，进一步的降低系统的风险。
　　END
　　声明数说衡水是数说政通旗下专注于衡水区域内政企信息化项目案例展示、趋势分析、商机提醒、方案解决、项目落地的自媒体平台，扎根衡水、专注政务、偏重软件、构建生态，欢迎业内人士沟通交流。