常州市中级人民法院

常州市中级人民法院

入侵防御及数据库审计系统采购要求

一、入侵防御系统：网神SecIPS 3600 F500M

入侵检测与防护 接口性能 6个10/100/1000M自适应以太网口；

工作模式 支持IPS、IDS、IPS Monitor/学习、L2 Forward等多种工作模式

特征规则 内置多达3000种的IPS特征库；并可自定义入侵攻击和应用软件的特征

协议分析 支持对VLAN、MPLS、ARP、TCP、UDP、RPC、WCCP、GRE、IPV6、SMTP等各种协议的分析

策略时间管理 可自定单个策略的运行时间

防护攻击类型 支持对病毒、蠕虫、木马、间谍软件、广告软件、可疑代码、端口扫描、非法连接等多种攻击的防护

对数据包的处理方式 支持丢弃数据包、中断连机、事件监视/记录（可选择记录数据包内容，如Sniffer一般）、限制连接传输带宽、限制传输总量等多种处理方式

阻断蠕虫传播 针对蠕虫具备自动利用系统漏洞入侵的能力，以达到快速将自我扩散到其它系统的特点；IPS能发现蠕虫入侵，并能立即丢弃尝试入侵的数据包，让蠕虫无法顺利扩散，如对Zotob Worm、MS SQL Slammer

Worm等蠕虫的控制

防御操作系统漏洞攻击 可针对Windows、Unix、Linux等操作系统的弱点进行防御，弱点类型包含了Stack and Heap Buffer overflow、Format string error、Memory access error、Memory corruption、 Access control and

Design weakness等等

防御木马 检测基于ActiveX、XML、VML、MDAC等的漏洞，可阻止访问者在浏览网站时被诱使植入木马的攻击；检测利用Dropper技术隐藏木马的Microsoft Office文件，可阻止下载并启动这些文档；具有丰富的漏洞特征库可以实现对木马的精准拦截

间谍软件 可通过检测下载可执行程序、ActiveX、Java applet等可疑的活动，实现阻止间谍软件通过广告、浏览器漏洞、自定义ActiveX插件等渠道实现安装

僵尸防护 可透过辨识C&C特征码以及黑名单URL/IP地址的方式，发掘遭到感染僵尸计算机的主机，并可进一步切断僵尸计算机与C&C服务器的联机，防止僵尸计算机遭到操控。

服务器保护 三/四层DoS/DDoS防护 支持双向阻断TCP/UDP/IGMP/ICMP/IP Flooding、UDP/ICMP

Smurfing等各种类型的DoS/DDoS的攻击，可检测的DoS/DDoS软件包括XDoS、SUPERDDoS、FATBOY等50种以上

七层DoS/DDoS防护 支持基于限制访问单位时间内访问特定服务次数来，阻断未知类型的DoS/DDoS攻击，如针对Web、DNS等服务的攻击 Web系统攻击防御 可针对IIS、Apache等不同的Web 服务器程序弱点进行防御，并可追踪管理Web服务器对数据库的存取行为，如可禁止外部SQL注入请求

扫描攻击防护 可实时阻断攻击者利用对IP地址和协议端口的扫描寻找服务器漏洞

带宽管理 流量整形 针对VLAN、源/目的IP地址、应用协议端口、七层应用软件（如P2P、FTP、PPlive、PPStream等），支持进行网络传输带宽和网络传输总量两种限制方式

P2P下载管理 能够基于软件行为、数据内容，而不是基于协议端口号，来识别P2P的应用，并可针对加密型或非加密型P2P下载进行管理、拦截、限流；

拥有完善的P2P特征识别库，支持的常用P2P软件包括Thunder、eMule、WinMX、QQLive(China)、Skype、eDonkey、BitTorrent、Mldonkey等100余种；

针对P2P应用的带宽限流，可精准到1Kbps

上网行为管理 聊天应用管理 能够基于软件行为、数据内容，而不是基于协议端口号，来识别常见的聊天应用，并可针对加密型或非加密型聊天软件进行管理、拦截、限流；

能根据不同需求，进行多层次软件控制，不仅可禁止实时聊天程序，还可对它的登陆、聊天、传输文件、实时语音、实时视频等进行分项管理；

拥有完善的实时聊天程序特征识别库，支持的聊天程序包括MSN、QQ、Yahoo Messenger、Skype、AIM、TM、Google Talk、PoPo Build、iChat等10多类；并可对基于Web的聊天进行登陆和禁止管理控制，如MSN、Yahoo、ICQ、Google Talk、AIM、、

等

在线游戏管理 支持对QQGame、OurGame、 Game、Popkart Game等流行的在线游戏实现阻断管理

Web内容检查 可基于URL、内容等制定黑白名单来对Web访问进行过滤

应用层防火墙 防火墙功能 支持状态检测防火墙功能，支持基于网络接口、源/目的IP地址、协议、时间等自定义访问控制策略

虚拟信道管理 支持对VNN、SoftEther、Hamachi、TinyVPN、PacketiX、HTTP-Tunnel、Tor等流行的虚拟信道实现阻断管理

可靠性 双机热备 基于HA网络物理接口，可实现在设备宕机、端口坏等故障下的主机和从机的及时切换

旁路保护 支持硬件Bypass、软件Bypass的功能，以避免在任何情况下，因本系统无法正常运作而造成网络中断的情形；硬件Bypass功能，使设备在硬件掉电时，实现旁路保护；此功能可通过远程管理实现启动或关闭；软件Bypass功能使设备在系统软件出现故障时，实现旁路保护；可实现启动或关闭管理

可操使用 管理方式 支持图形界面和命令行管理方式，图形管理界面为全中文界面

高效的集中管理 支持通过专用的安全管理系统，实现全局拓扑生成、集中日志审计、集中设备监控等安全管理

直观的状态显示 具有显示攻击事件百分比的仪表盘、显示协议流量的柱状图、安全事件趋势分析曲线图、实时事件列表等多种实时状态显示，方便分析网络的现状和趋势

设备升级 支持通过线升级和本地文件升级方式，来对特征库、管理软件、设备操作系统实现升级

报警 可实时通过SecIPS管理系统、邮件、syslog进行报警

日志审计

报表 内置多样化的报表模版，自动定时生成和自定义来生成报表；支持HTML、PDF、CSV等文件格式；可利用邮件或FTP等形式定时外传报表

事件查询 可根据事件类型、虚拟设备、时间、源/目的IP、攻击名称等信息进行快速问题定位

二、数据库审计系统：网神SecFox NBA G2M

1、系统主要功能要求

审计类型 行为 采集 响应

主机 1．登录

2．注销

3一般操作 1．全部：审计全部内容

2．访问文件名称关键字过滤 1．记录

2．阻断

数据库 1．用户行为

2．数据定义

3．数据操作

4．数据控制

5．其他 1．全部：审计全部内容

2、关键字过滤（可以细化到库、表、记录、用户、存储过程、函数等） 1．记录

2．阻断

FTP 1．登录

2．注销

3一般操作 1．全部

2、文件/目录名称关键字过滤 1．记录

2．阻断

2、性能指标要求

类别 指标项 指标内容

产品 形态 系统必须是一个软硬件一体化产品，采用专用千兆多核硬件平台和安全操作系统。系统内嵌数据库，用户无需另外安装数据库管理系统；管理客户端基于浏览器，无需安装其他客户端软件。

配置 专用硬件平台和安全操作系统。

性能指标：内置

500GB磁盘存储空间。

标准1U机架式。2个10/100/1000M Base-T电口(RJ45)（1个管理口，1个侦听口）

。1个Console口，支持Console口管理。单电源。最多支持审计3个数据库。

性能 事件处理能力 事件处理可达到2000事务数/秒（TPS， Transaction per Second）

事件存储性存储容量仅取决于磁盘空间大小，可以在线分析800G的事件量 能

部署 用户使用模式 界面100%都是B/S模式，无需安装客户端，使用IE浏览器访问管理中心，浏览器端无需安装Java运行环境

功能 审计范围 包括MS SQL Server、Oracle、DB2、Sybase、MySQL、Informix、达梦在内的多种数据库

包括Windows、Unix、Linux、AIX在内的各种操作系统

VNC、FTP、HTTP、SMTP、POP3、NETBIOS、TELNET等各种网络通讯和数据访问协议进行审计

数据库审计（*） 可审计数据库的DDL，DML，DCL和其它操作等行为

审计内容可以细化到库、表、记录、用户、存储过程、函数等，审计内容包含sql参数

可对超长sql语句进行审计。一条sql语句为一条审计语句，且语句完整无截断残缺。

主机审计 可审计VNC、Telnet、rsh、 rlogin、网上邻居和定制的主机协议的登录、注销和一般操作等行为

FTP审计 可审计FTP协议的登录、注销和一般操作等行为，可以审计FTP操作的文件/目录名称

HTTP审计 可审计HTTP协议的访问行为，可以审计post内容，并可以对URL进行基于正则表达式的关键字匹配审计

Email审计 可审计SMTP/POP3协议的访问行为，包括发件人、收件人、邮件主题等内容

流量审计 审计从三层到七层协议的流量，能够审计20种以上的应用层协议，包括IM、P2P、HTTP、POP3、SMTP、DNS等

流量审计的内容应至少包括数据包分布审计、流量分布审计、应用协议流量审计、端口流量审计，用户可以进行协议分析、会话分析、节点分析

业务审计 管理员可以根据实际网络情况定义多个业务，并建立可视化的业务拓扑视图，快速查看业务网络中各个设备和整个业务网络的事件和告警信息。

采集方式 采用旁路侦听方式接入获取数据，在不改变网络结构的情况下精确监控，不会对网络内部的流量与数据信息造成任何瓶颈，设备本身运转与否都不影响网络的正常工作

支持通过 Syslog采集器完成数据收集功能

业务拓扑 业务拓扑功能可将业务系统中相关的数据库、主机、服务等对象以拓扑图的方式展现出来

用户可以自定义业务系统，并绘制业务拓扑图，所有审计对象都可以加入拓扑中，并可以自由连线。点击拓扑图中的每个审计对象，可以查看该对象的告警和事件

通过业务拓扑，用户可以查看该业务系统的审计对象列表，可以查看该业务系统的所有告警和事件、流量，以及进行行为分析

过程回放 对访问数据库、FTP、网络主机的各种操作支持过程回放，真实地展现用户的操作。

关联规则管理 在事件分析引擎的驱动下，根据事件关联规则，针对来自企业和组织的海量事件进行关联分析，抽取出对于安全管理人员真正有用的安全信息，从而协助安全管