序号

设备名称

数量

参数要求

备注

1

安全网关

1台

1.    支持网络层吞吐量≥5.5Gbps，每秒最大新建连接数≥5万，最大并发连接数≥180万，配置千兆电口≥6个，千兆光口≥2个；

2.    访问控制规则支持基于源／目的IP，源端口，源／目的区域，用户（组），应用/服务类型，时间组的细化控制方式，支持长连接功能并可以配置连接时长；

3.    为了保证设备针对内网资产能够及时防护，要求设备能够自动识别内网资产，发现内部未配置或新增的业务系统等资源，展现业务系统的漏洞与开放的服务与端口；

4.    支持基于对象、区域和地域维度设置安全访问控制策略，允许或拒绝特定国家或者地区的对象访问内部网络，保障业务重大时期安全可靠性；（提供产品功能截图）

5.    支持邮件内容检测，针对SMTP、POP3、IMAP邮件协议的内容检测，如邮件附件病毒检测、邮件内容恶意链接检测，邮件账号撞库攻击检测等，并给出恶意邮件的提示；

6.    为确保僵尸网络检测能力，要求设备具备独立的威胁库，支持勒索软件、挖矿病毒和蠕虫木马等种类，特征总数在60万条以上；

7.    具备独立的入侵防护漏洞规则特征库，特征总数在7000条以上；

8.    支持网站防篡改功能，可防止攻击者非授权修改网站目录文件；（提供产品功能截图）

9.    为保证所投产品的成熟度，产品生产厂商需为公安部第二代防火墙标准（GA／T 1177-2014）制订单位之一；（提供相关证明材料）

10.  为保证厂商具有突发安全事件的应急处置能力，产品生产厂商应为国家级网络安全应急服务支撑单位；（提供相关证明材料）

2

客户端

准入管理

1套

1.    标准机架式硬件产品，单台设备至少包含4个10/100/1000Base-T自适应以太网端口，2个USB口，1个VGA口,存储容量>=2T，系统自带操作系统和数据库，无版权问题。根据本次管理需要，提供500个准入和终端安全统一管理授权；

2.    支持分级部署，设置统一管理平台，对不同的地区、部门使用的服务端进行分级部署，上级可对下级统一下发策略强制执行，下级管理员无法修改；支持分布式部署，可将系统自身功能组件独立模块化分布式部署。（需要提供系统截图证明）

3.    客户端支持Windows、Mac OS、Linux等系统，具备自我防护机制，客户端文件、进程、注册表、服务等都无法停止、修改、删除；

4.    管理服务器端可自动同步企业AD/LDAP上的组织架构部门信息、用户账号信息，也支持手工维护组织架构部门和成员信息，通过导入导出方式操作进行批量维护，无需维护多套用户账号信息；

5.    能自动发现识别接入设备的类型，包括：PC设备、网络设备、服务器、移动设备、IoT设备等，终端操作系统支持Windows、MAC、Liunx、Android、IOS；（需要提供系统截图证明）

6.    支持802.1x、Portal、端口镜像、策略路由等多种准入控制方式混合使用，一个系统可同时使用多种准入方式适应复杂网络环境；（提供系统截图证明）。支持hub环境以及电脑串接IP电话连接网络场景的准入控制。

7.    支持对未安装客户端的电脑通过HTTPS协议的Web与邮件重定向方式进行自动重定向式引导，提醒并帮助用户自助安装；对不满足合规要求的终端支持终端修复向导，内置向导页面内容可编辑，同时也支持url外链修复页面；

8.    支持客户端与企业AD域联动，自动获取终端AD域账号并接入网络，支持Windows及MacOS操作系统；（需提供系统截图证明）

9.    支持与企业微信、钉钉同步组织架构；支持与企业微信、钉钉联动实现扫码认证；（提供系统截图证明）

10.  支持对打印机、摄像头等特殊终端通过IP或者MAC地址进行免检例外。可免检设备进行仿冒检查，检测出通过IP／MAC伪装方式接入网络的行为，支持基于设备行为特征的仿冒检查，可对仿冒设备进行隔离;（需要提供系统截图证明）

11.  提供Windows设备安全检查功能，如：防病毒软件检查、终端启用guest账号检查；终端弱口令账号检查；终端是否加域检查等，确保接入的终端设备安全合规；不合规终端可提供修复向导，同时也支持url外链修复页面；（需提供系统截图证明）

12.  支持对NAT入网的计算机实现实现基于用户的精细化准入控制，每个接入用户都要安装Agent进行认证、安全评估和修复检查；

13.  支持对接入终端、接入用户或部门以及接入控制点设备指定相应的绑定规则，根据接入终端或用户是否符合接入规则来决定允许或拒绝其接入；

14.  支持管理服务器、DB主备双机运行模式，主机故障，备机自动接替主机工作，确保高可用性；支持手动快速逃生方式，可在系统后台一键切换至准入放行模式；支持智能应急逃生方式，系统检测到运行中出现的异常和故障需要能够自动应急；

15.  支持接入记录展示：可记录终端接入状态、接入时间、接入用户、接入设备、接入失败的记录提供详细的失败原因，供管理员可以快速判断；

16.  支持对终端的软硬件信息进行采集和持续性监控，对设备当前的CPU、主板、BIOS、硬盘、显卡、声卡、网卡、PCI、磁盘、显示器、内存等硬件信息以及终端上软件的名称、版本、类型、类别（商业、免费）、安装时间、安装目录进行采集；当终端硬件配置发生变更或者进行软件安装卸载时能及时发现并记录审计；

17.  支持策略场景定义客户端在线、客户端离线等状态，可从以下维度（互联网状态、本地IP范围、终端在线情况、VPN状态、网卡使用状态、TCP连接状态、ICMP连接状态、检测脚本、安全模式状态）定义。（提供系统截图证明）

18.  支持补丁更新和批量卸载，支持分级分发，即一级服务器将补丁下发给各二级服务器，二级服务器下发给所管理的终端。可以通过中继对客户端的下载进行分流，避免内网终端全部到服务器下载补丁文件造成的网络拥堵，影响正常业务。中继服务器支持手工指定或智能分配。可统计补丁安装情况，如未安装、已安装并生效、已安装未重启、补丁总计等状态；

19.  提供终端设备的外联接口安全管控，包括但不限于红外、蓝牙、软盘、光盘、串口、并口、网络接口、USB接口以及其他外联设备，智能设备连接时只允许充电；支持对共享WiFi热点，无线以太网卡进行禁用、审计、WiFi黑白名单控制；支持无线SSID仿冒检测；（需提供系统截图证明）

20.  支持移动存储设备注册管理，未注册U盘禁止在内网终端使用。终端用户可在本机自行注册、申请移动存储设备，并可进一步控制注册移动存储设备使用范围和使用时间，防止外来移动存储设备在本单位使用；

21.  主机安全管理。支持通过进程名称、进程文件属性、进程文件CRC值、进程文件MD5值、软件名称、目录名称、进程签名等方式对进程黑白名单管理；对进程运行状态进行监视；禁止修改注册表、禁止修改网络属性、禁止设置TCP/IP属性、禁止设置固定IP等；

22.  提供软件标准化管理功能。支持软件安装卸载审计控制，可审计用户软件安装卸载行为，可禁止用户软件安装卸载行为；也支持软件安装黑白名单管理，禁止运行黑名单中的软件安装包或禁止运行白名单外的软件安装包；可自定义已安装软件黑白名单，检测到安装了在黑白名单中的软件，则执行审计或者禁止运行等违规处理手段；支持绿色软件识别采集，检测到安装了在黑白名单中的软件，则执行审计或者禁止运行的违规处理方式（提供系统截图证明）

23.  支持节点缓存和中继功能，实现：智能中继选择机制，智能中继流量控制，智能中继下载指定时间段限制，手工中继、智能中继同时启用；部分区域手工指定中继，部分区域采用智能中继；

24.  支持syslog、WebService等方式与第三方系统进行日志同步；

3

路由器

1台

1.    采用无阻塞交换架构，支持多核CPU，业务槽位数≥8个，包转性能≥10Mpps，千兆电口（WAN）≥4个，千兆光口（WAN）≥4个，千兆Combo口（WAN）≥2个

2.    所有业务板卡支持直接热插拔，不需要配置命令

3.    支持FE、GE、155M POS/CPOS、622M POS、EPON/GPON、同异步串口、E1、T1、3G、LTE等接口

4.    支持静态路由，策略路由，动态路由协议：RIP、OSPF、BGP、IS-IS

5.    支持IEEE 802.1P，IEEE 802.1Q，IEEE 802.3 ，VLAN管理，MAC管理，MSTP等

6.    支持组播协议：IGMP V1/V2/V3，IGMP-Snooping V1/V2/V3，PIM SM，PIM DM，MSDP

7.    支持IPSec VPN，GRE VPN，SSL VPN，L2TP VPN，支持简易化IPSec部署方案EVPN

8.    支持DSVPN或者类似技术，能够在多个设备之间动态建立VPN隧道，简化VPN的配置；

9.    支持NetStream或类似的流量采集功能；支持Console、telnet、SSH等登陆方式；支持U盘快速部署功能