XX医院信息安全建设方案

XXXX医院 信息安全建设方案 二 〇 一 六 年 一 月 目 录 一. 概述 1 (一) 项目背景 1 (二) 建设目标 1 (三) 依据标准规范 2 (四) 建设原则 3 1. 全方位提升网络和系统实体的安全性、抗攻击性 3 2. 信息系统的可用可靠性、安全性和保密性 3 3. 强调系统运行状态的可控性 3 4. 安全系统的可管理性 3 5. 需求、风险、代价平衡的原则 3 6. 先进性原则 4 7. 可扩展性原则 4 8. 多重保护原则 4 9. 标准性原则 4 10. 易操作性原则 4 二. 医院网络现状及需求分析 5 (一) 网络结构描述 5 (二) 应用系统描述  5 (三) 医院网络安全现状  5 (四) 医院网络的安全需求 6 三. IT流程规范化改进咨询服务 7 (一) 关于IT流程改进咨询 7 (二) 提供IT流程知识管理及任务管理系统及服务 7 (三) IT流程改进目标 7 (四) IT流程改进原则 7 (五) IT流程改进服务需求说明 8 1. 建立IT流程体系规划和持续改进机制 8 2. 建立信息中心部门基本制度 8 3. 建立医院信息化管理制度 9 4. 建立完善系统维护流程 9 5. 建立信息安全管理制度 10 6. 建立应急预案与演练机制 10 7. 建立项目管理制度 11 8. 建立统计工作制度 11 9. 编制详细作业指导书SOP 11 四. 安全建设方案 12 (一) MPDRR安全模型 12 (二) 信息安全拓扑图 13 (三) 网络防火墙系统 14 1. 产品概述 14 2. 产品特点 14 (四) WEB安全防护系统 17 1. 产品概述 17 2. 产品特点 18 (五) 运维审计系统 23 1. 产品功能 23 (六) 上网行为管理系统 29 1. 产品功能 29 2. 产品的技术优势 34 (七) 数据库审计系统（防统方系统）
36 1. 产品概述 36 2. 特色与优势 36 (八) 终端安全管理系统 39 1. 主要功能特点 39 2. 详细功能描述 40 五. 信息安全专业服务 43 (一) 安全规划服务 43 1. 总体架构 43 2. 安全建设规划 46 (二) 安全评估服务 48 1. 服务描述 48 2. 安全扫描工具 48 (三) 安全加固服务 49 1. 服务描述 49 2. 服务内容 50 (四) 安全巡检服务 51 (五) 应急响应服务 51 1. 服务承诺 51 2. 安全事件预警 51 3. 应急响应规范 53 4. 应急响应流程 54 (六) 安全信息服务 55 (七) 安全培训服务 55 (八) 信息化安全服务清单 55 六. 信息安全建设方案清单 57 一. 概述 (一) 项目背景 医院是一个信息和技术密集型的行业，一般其计算机网络划分为业务网络和办公网络，作为一个现代化的医疗机构的计算机网络,除了要满足高效的内部自动化办公需求以外,还需要对外界的通讯保证畅通。结合医院复杂的HIS、RIS、PACS等应用系统，需要网络必须能够满足数据、语音、图像等综合业务的传输要求，所以需要在网络上应运用多种高性能设备和先进技术来保证系统的正常运作和稳定的效率。同时医院的网络系统连接着Internet、医保专网等网络，访问人员和物理上的网路边界比较复杂，所以如何保证医院网络系统中的数据及应用的安全显得尤为重要。  在日新月异的现代化社会进程中，计算机网络几乎延伸到了世界每一个角落，它不停的改变着我们的工作生活方式和思维方式，但是，计算机信息网络安全的脆弱性和易受攻击性是不容忽视的。由于网络设备、计算机操作系统、网络协议等安全技术上的漏洞和管理体制上的不严密，都会使计算机网络受到威胁。我们可以想象一下，对于一个需要高速信息传达的现代化医院，如果遭到致命攻击，会给社会造成多大的影响。  在医院行业的信息化建设过程中，信息安全的建设虽然只是一个很小的部分，但其重要性不容忽视。便捷、开放的网络环境，是医院信息化建设的基础，在数据传递和共享的过程当中，业务数据的安全性要切实地得到保障，才能保障医院信息化业务系统的正常运行。然而，如果我们的数据面临着越来越多的安全风险，将对业务的正常运行带来威胁。  所以，在医院的信息化建设过程中，我们应当正视网络及系统可能面临的各种安全风险，对网络威胁给予充分的重视。为了医院信息网络的安全稳定运行，确保医院信息系统建设项目的顺利实施，结合具体的网络和应用系统现状，根据医院目前的计算机信息网网络特点及安全需求，本着切合实际、保护资产、着眼未来医疗信息化动态发展的原则，提出本安全建设方案。

(二) 建设目标 医院将通过本次网络系统及网络安全规划与建设，将医院的网络建设成为一个具有现代化、多功能、结构化、智能化的综合性网络系统。医院网络系统是为医院内部提供网络信息系统应用的IT基础平台，包括PACS/RIS系统、HIS/OA信息系统、管理、科研和多业务的综合信息服务网络系统。  首先，通过网络系统安全进行全面的升级改造，建立可为医院内部医疗信息管理、科研提供一个技术先进、高安全性的信息化网络环境。同时院内的医疗信息管理（PACS/RIS/HIS系统）、多媒体系统、远程会诊系统、网上挂号、数据库管理系统等，都可以通过医院信息网络平台安全、高效的网络来运行和工作。满足医院内外网的通讯要求。包括Internet服务远程移动办公服务、远程医疗协助、网上挂号等数据信息下载及视频会议等。   在适应网络发展趋势和医院的实际网络需求基础上，既要能满足同济医院的信息网络系统使用需求，并兼顾今后网络系统易扩充性和可管理性。通过对网络系统络进行统一的整体设计、规划，为医院网络系统打造一个长期、稳定、高效、安全的运行环境，以及医院未来的发展和建设打下良好的网络平台基础。并将重点放在系统的稳定性、开放性、可扩展能力上，使系统持续稳定运行，既可满足现有的医疗信息系统的应用需要，又可方便满足今后系统的升级及应用需求，避免重复投资。

(三) 依据标准规范 l GB17859-1999 计算机信息系统安全保护等级划分准则 l GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南 l GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求 l 信息系统安全等级保护实施指南 （征求意见稿）
l 信息系统安全等级保护评估准则 （征求意见稿）
l GB/T 20008-2005 信息安全技术 操作系统安全评估准则 l GB/T 20009-2005 信息安全技术 数据库管理系统安全评估准则 l GB/T 20010-2005 信息安全技术 包过滤防火墙评估准则 l GB/T 20011-2005 信息安全技术 路由器安全评估准则 l GB/T 21052-2007 信息安全技术 信息系统物理安全技术要求 l GB/T 19715.2-2005 信息技术 信息技术安全管理指南 第2部分：管理和规划信息技术安全 l GB/T 20984-2007信息安全技术 信息安全风险评估规范 l GB/T 19716-2005信息技术 信息安全管理实用规则 (四) 建设原则 1. 全方位提升网络和系统实体的安全性、抗攻击性 安全性设计从全方位、多层次加以考虑，即通过物理层、链路层、网络层、系统层、应用层等的安全技术措施以及安全管理来确实保证系统的整体安全。保证各种相关的网络和系统具有相当的抗攻击性，能够检测并及时对各种攻击行为做出响应。

2. 信息系统的可用可靠性、安全性和保密性 首先关注系统的可用性和可靠性，在可用可靠性基础上，进一步强调安全性和保密性问题，即信息在存储或传输过程中保持不被修改、不被破坏和不丢失。对信息的使用进行相关的授权。信息的传输和传播的过程进行相关的控制、监视和跟踪。

3. 强调系统运行状态的可控性 强调对全网上各种资源的度量和监管，对整个网络和系统的相关状况进行实时监控，对应用服务、数据和资源的使用进行监控。对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制。

4. 安全系统的可管理性 采用“技术＋管理”并重的模式，强调系统的可管理性，通过管理措施、机制和技术相结合，做到事先防范，事后补救；
从人的角度考虑，通过安全教育与培训，提高工作人员安全方面的意识和技术素质；
通过建立各种安全管理制度，提高员工的安全意识，规范员工的行为，主动自觉地利用各种工具去加强安全性；
通过各种技术手段，建立所有相关安全产品的管理体系。

5. 需求、风险、代价平衡的原则 对任一网络，绝对安全难以达到，也不一定是必要的。对一个网络进行实际研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。

6. 先进性原则 医院的安全有一个先进水平的安全。具体的技术和技术方案应保证整个系统在当前具有的技术先进性。

7. 可扩展性原则 医院的信息化安全建设方案设计是针对其自身设计的安全方案,适应整个医院网络系统的现状以及需求,所采取的措施随着网络性能及安全需求的变化而变化,容易升级,具有良好的扩展性。

8. 多重保护原则 任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。

9. 标准性原则 设计医院的信息化安全,要根据国家相关的法律法规、技术规范和标准，同时也符合国家卫生厅相关信息化建设标准。

10. 易操作性原则 大部分的安全措施需要人为去完成，如果措施过于复杂，对人员的要求过高，本身就降低了安全性。其次，措施的采用不能影响系统的正常运行。

二. 医院网络现状及需求分析 (一) 网络结构描述 通过对医院现有结构进行了解和分析，可以看出医院网络大致可以分为业务内网和办公外网，业务网络采用三层网络结构，通过核心交换机将医院各科室进行互联。并在业务网络单独设立和一个内部核心业务应用服务器区域，包含HIS系统、RIS系统、PACS系统和档案管理系统等应用服务器。同时为了满足内部应用服务器与办公网DMZ区域服务器进行数据交换需求，在业务网络和办公网络边界部署了一台防火墙设备进行两个网络之间的隔离，并在防火墙划分了一个内部网络的DMZ区域进行与外部DMZ区域进行数据交换的中转站。  外部办公网络大致可以划分为办公网和DMZ区域，在外部网络的互联网边界通过核心交换机的防火墙板卡进行边界的隔离和划分DMZ区域，通过在外网的核心交换机上做NAT和PAT对外发布统计医院DMZ区域的应用。

(二) 应用系统描述  在医院业务网络中主要有HIS系统、PACS系统、RIS系统和档案管理系统等服务器,这些重要的应用服务器构成医院业务网络的核心。在应用系统的部署架构上，目前应用系统、中间件和数据库系统采用一体化部署方式，及数据库和应用系统都部署在一台服务器上，各应用系统架构大多采用了B/S、C/S架构。在应用服务器操作系统上，大多采用WINDOS操作系统。  (三) 医院网络安全现状  从医院目前的网络结构上来看，在外部办公网络的互联网边界主要采用了防火墙系统，但是由于DMZ区域应用的安全主要依靠防火墙的地址映射和访问控制进行保护，由于应用系统本身可能存在一些安全漏洞或者软件设计上的缺陷，外网非法访者可直接通过防火墙允许的端口对DMZ区域的应用服务器进行注入、跨站、拒绝服务、缓冲溢出攻击。给医院网络造成极大的威胁。  在外部办公网络和业务网络的边界上，采用网闸做网络边界的隔离设备，但是由于设备采购时间较长，设备比较老旧，且是百兆级别的设备，无法满足现有的网络核心骨干千兆乃至扩展到万兆的网络环境的需求。  (四) 医院网络的安全需求 信息安全涉及到信息的保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。

基于以上的需求分析，我们认为网络系统可以实现以下安全目标：
Ø 保护网络系统的可用性 Ø 保护网络系统服务的连续性 Ø 防范网络资源的非法访问及非授权访问 Ø 防范入侵者的恶意攻击与破坏 Ø 保护信息通过网上传输过程中的机密性、完整性 Ø 防范病毒的侵害 Ø 实现网络的安全管理 三. IT流程规范化改进咨询服务 近几年来医院的信息化的发展，为提供医院在医务服务质量上、医务事务处理效率上进一步的提高，随着医院各类医务信息系统的上线、升级和改造，因各类信息系统的增加，随之而来的是在IT部门工作量上大大的增大，为进一步保障全院医务系统热持续运作，全面提升和优化医院信息化业务运维管理水平，提高IT部门业务服务质量，保障医疗应用安全运行。

(一) 关于IT流程改进咨询 咨询服务的IT流程范围涵盖建立IT流程规划和持续改进机制、建立信息中心部门基本制度、建立医院信息化管理制度、建立完善系统维护流程、建立信息安全管理制度、建立应急预案与演练机制、建立项目管理制度、建立统计工作制度、编制（预算、采购、财产管理）详细作业指导书以及指导实施。

管理咨询主要集中流程体系规划、流程和模板的编制或修改完善，对信息中心按照流程规范开展的流程实施工作提要的答疑或抽查辅导，辅助建立长效的流程改进机制。

(二) 提供IT流程知识管理及任务管理系统及服务 提供此软件及相应的安装、调试和运行维护服务。

软件功能主要涵盖流程知识管理和流程改进配套的任务管理。

流程管理软件所管理的流程范围限于信息中心范围内的IT流程、模板及质量记录；
任务管理软件限于信息中心流程改进的任务管理。

(三) IT流程改进目标 l 对照IT流程有关规范，评估信息中心现有IT流程规范的欠缺或差距,制定流程计划并加以落实。

l 引入流程规范和行业先进流程经验，补充编制新的流程制度、模板或完善现有流程制度，使信息中心IT流程体系升级以达到完整化、规范化。

l 指导流程规范的落实和持续改进，使信息中心IT建设与运行维护流程进入不断改进的良性循环。

(四) IT流程改进原则 l 流程改进咨询活动需要采用规范化、科学化方法，符合流程管理改进咨询有关规范。

l 本项目范围所属的流程制度的编制及实施应遵循IT流程规范的相关标准或要求，例如ISO9001、三甲IT信息化管理要求等。

l IT流程应容易实施，切合实际需求，解决实际问题。

l 既重视编制或完善工作流程，更重视建立持续改进的机制。

l 利用流程知识和流程改进任务管理系统,以科学手段提高流程改进的执行力和效率,管理系统需要具备易操作、适应性好的特性。

(五) IT流程改进服务需求说明 1. 建立IT流程体系规划和持续改进机制 任务类别 任务内容 备注 对流程体系现状水平进行评估 通过访谈、检查，对照ISO9001和三甲医院信息化管理要求等规范评估现有IT流程制度的缺漏或差异 规划新流程体系架构 规划流程体系目标、方针；
规划流程体系各流程之间的输入输出或变更互动关系 确定流程改进的职责分工 编制或修改IT流程改进的职责分工和岗位设置说明 定义好流程有关的角色一览表 PDCA阶段管理方法论和制度 编制或修改完善流程改进的计划管理和报告制度（年度、月度度目标计划与总结,按PDCA方法）
IT流程水平评估方法论和制度 编制或修改完善一套针对IT流程规范化水平的检查评估办法，用于评估IT流程规范所处的水平(对比有关规范的流程覆盖率或完整性、执行情况和执行效果) 对信息中心的具体执行过程提供答疑辅导 2. 建立信息中心部门基本制度 任务类别 任务内容 备注 信息中心组织结构 编制或修改信息中心组织结构说明 编制或修改完善岗位一览表 编制或修改完善岗位说明模板 对部门按新模板填写的各岗位说明书提供修改指导 对信息中心按新模板编制的岗位说明提供修改辅导 信息中心计划/总结 编制或修改完善信息中心内部计划与报告制度、模板 部门绩效管理 编制或修改完善信息中心职员绩效管理制度 (包含目标设定、绩效计划、绩效沟通、绩效分解、绩效评估的总体要求) 对信息中心按照新制度、模板开展的绩效指标定义和管理具体方案提供答疑辅导。

信息中心培训 编制或修改完善信息中心培训发展制度 其它有关制度 编制或修改值班制度 编制或完善考勤休假制度 编制或修改会议管理制度 3. 建立医院信息化管理制度 任务类别 任务内容 备注 协助制定策略方法 协助分析医院信息化管理的挑战和策略方法（总体原则、方法、措施）
设立院级领导机构 编制或修改完善院级组织机构说明 信息化沟通机制 编制或修改完善院级信息化沟通制度、模板 制定中长期计划 编制或修改完善中长期计划制度和模板 IT信息化绩效管理 确定IT信息化主要宏观指标定义(简单实用KPI) 编制或修改完善IT绩效评估的流程制度 制定绩效的公示展示办法 对信息中心主持的有关活动提供答疑辅导 项目需求与立项审批 编制或修改完善信息化项目立项审批制度 （各单位需求申报，项目估算，立项审批等）
4. 建立完善系统维护流程 任务类别 任务内容 备注 日常缺陷维护制度 编制或完善软硬件缺陷报告与维护管理制度 (故障级别定义;维修工单报告与处理跟踪;事件跟踪与升级管理,含厂商) 软件变更安装 编制或完善软件版本更新制度（测试验证、风险分析及应急恢复、安装控制、装后验证）
系统安装、变更 编制或完善系统安装与配置变更流程 (方案评估、风险分析、审批、记录) 值班制度 编制或修改完善信息值班、交接班制度，有完整的日常运维记录和值班记录，及时处置安全隐患 系统监视巡查 编制或修改完善系统巡查监视制度和记录要求 基础架构信息管理 编制或修改完善基础架构信息的建立与更新制度，以便能从技术架构信息中了解系统网络架构与软件硬件资源布局 对信息中心主持的有关管理活动记录提供检查辅导 机房管理制度 编制或修改完善机房管理制度，便于促进机房安全和作业管理 5. 建立信息安全管理制度 任务类别 任务内容 备注 权限管理制度 编制或修改完善权限管理制度(权限分配、授予与回收制度;权限状态一览表查询) 病毒防范 编制或修改完善病毒防范管理制度 病人隐私信息保护 编制或修改完善病人隐私信息保护制度 编制或修改完善病人隐私信息保护情况检查评估制度 定期安全评估 编制或修改完善定期进行系统安全评估的制度 (权限管理执行情况的检查、系统安全漏洞检查、安全监视措施的检查、监视记录) 提供制度框架，对信息中心主持的有关活动记录，提供评价指导 6. 建立应急预案与演练机制 任务类别 任务内容 备注 应急预案编制制度 编制或修改完善应急管理制度 ( 预案覆盖范围、预案一览表清单编制要求、预案编制要求、预案审批、预案变更要求、持续改进要求 ) (涵盖整个主机、数据库、存储系统、网络瘫痪应急恢复措施等) 提供制度框架，对信息中心主持编写的具体应急预案，提供评价指导 应急预案演练验证制度 编制或修改完善预案演练制度(演练的周期、演练记录、演练结果审定) 提供制度框架，对信息中心主持编写的具体应急演练结果，提供评价指导 数据备份检查制度 编制或修改完善数据备份有效性检查制度,以保证数据备份的可用性 持续改进机制 编制应急预案编制、演练等措施的持续改进要求 7. 建立项目管理制度 任务类别 任务内容 备注 项目立项审批制度 编制或修改完善信息化项目立项审批制度 （各单位需求申报，项目估算，立项审批等）
8. 建立统计工作制度 任务类别 任务内容 备注 系统缺陷统计 编制或修改完善应用报告的系统缺陷统计制度与办法 IT工作统计 编制或修改完善IT工作（含绩效）评估与统计办法 (本期选择若干宏观指标统计试点) 9. 编制详细作业指导书SOP 任务类别 任务内容 备注 预算管理 编制或修改完善预算管理标准作业程序（SOP）
采购管理 编制或修改完善采购管理标准作业程序（SOP）
财产管理 编制或修改完善财产管理标准作业程序（SOP）
四. 安全建设方案 (一) MPDRR安全模型 PADIMEE模型包含以下几个主要部分：Policy（安全策略）、Assessment（安全评估）、Design（设计/方案）、Implementation（实施/实现）、Management/Monitor（管理/监控）、Emergency Response（紧急响应）和Education（安全教育）。

根据PADIMEE模型，网络安全需求主要在以下几个方面得以体现：（1）制订网络安全策略反映了组织的总体网络安全需求；
（2）通过网络安全评估，提出网络安全需求，从而更加合理、有效地组织网络安全工作；
（3）在新系统、新项目的设计和实现中，应该充分地分析可能引致的网络安全需求、并采取相应的措施，在这一阶段开始网络安全工作，往往能够收到“事半功倍”的效果；
（4）管理/监控也是网络安全实现的重要环节。其中既包括了P2DR安全模型和APPDRR安全模型中的动态检测内容，也涵盖了安全管理的要素。通过管理/监控环节，并辅以必要的静态安全防护措施，可以满足特定的网络安全需求，从而使既定的网络安全目标得以实现；
（5）紧急响应是网络安全的最后一道防线。由于网络安全的相对性，采取的所有安全措施实际上都是将安全工作的收益（以可能导致的损失来计量）和采取安全措施的成本相配比进行选择、决策的结果。基于这样的考虑，在网络安全工程实现模型中设置一道这样的最后防线有着极为重要的意义。通过合理地选择紧急响应措施，可以做到以最小的代价换取最大的收益，从而减弱乃至消除安全事件的不利影响，有助于实现信息组织的网络安全目标。

(二) 信息安全拓扑图 (三) 网络防火墙系统 1. 产品概述 下一代防火墙保留了状态检测防火墙的优点，具有性能的同时具备内容过滤、入侵防御、流量管理、用户认证等多种应用层过滤技术于一身，弥补了状态检测防火墙的不足。为用户提供了更全面的深度过滤功能，有效识别来自应用层的威胁。

通过全新的AMP+多核架构和设计理念，实现了高性能极速转发、智能定位与管控、应用精细识别、多种应用层过滤技术、虚拟防火墙定制化安全及立体可视化监控等一系列特有功能；
应用层和网络层安全模块的并行调度，提升了应用层处理性能；
系统引擎与安全引擎的用户态设计，避免了在大流量下数据报文分析对防火墙性能的影响，有效提高了整机运行速度；
友好的扁平化风格界面，配合直观的功能模块设计，更加方便的进行网络管理。

2. 产品特点 （1）. 独立的管理口实现与业务口分离 专门提供了管理口，让用户的管理数据与业务数据分离，在业务数据量过大的情况下，不会影响对防火墙的正常管理。同时，单独的管理口使用户可以严格限制连入管理防火墙的方式，保障更加安全的管理防火墙。

（2）. 管理员权限三权分立 针对管理员的角色建立三权分立的管理员帐号机制，将超级用户特权集进行划分,分别授予配置管理员、安全管理员和审计管理员。实现配置管理、安全管理和审计管理功能的同时,也保证管理员权限的隔离。防止因为管理员权限过大所引起的安全风险，也保证已经配置完成的访问控制策略不会出现未授权的修改，及出现未授权修改时可以保留相关审计信息。

（3）. 安全隔离的虚拟系统 支持通过虚拟系统功能，将下一代防火墙虚拟成多个相互隔离并独立运行的虚拟防火墙系统，每一个虚拟系统都可以为用户提供定制化的安全防护功能，并可配备独立的管理员账号。在用户网络不断扩展时，通过虚拟系统功能不仅能有效降低用户网络的复杂度，还能提高网络的灵活性。当这些相互隔离并独立运行的虚拟防火墙系统需要通讯时，可以通过下一代防火墙提供的虚拟接口实现，而不需要通过物理链路将它们进行连接。

（4）. 地理位置识别 下一代防火墙增加了地理位置识别功能，可以将地理位置作为配置安全策略的一个属性。通过地址位置识别用户可以了解到不同地区当前的网络使用情况，查看基于地理位置的流量趋势等，从而针对不同的地理位置来调整防火墙策略，为用户的安全策略管理提供一个新的控制角度。

（5）. 基于安全域的攻击防护功能 通过基于安全域的Flood防护和扫描欺骗防护、IP地址扫描攻击、端口扫描以及异常包攻击等防护手段的攻击防护模块，将包括SYN Flood，ICMP Flood，UDP Food，IP Food， ping of death，Teardrop，IP选项，TCP异常，Smurf，Fraggle，Land，Winnuke等常见的攻击行为检测集成在模块中，使得用户通过启用并配置攻击防护模块，有效的过滤并采取相应的措施阻止非正常报文流入用户内网。同时针对洪攻击和扫描攻击，攻击防护模块允许用户通过限制报文的阈值，从而达到保护内部网络免受恶意洪攻击的威胁，保证内部网络及内部服务器正常运行。攻击防护模块能及时向用户输出安全告警，并在系统状态中实时显示当前排行前十位的攻击行为，让管理员能够快速了解并定位网络攻击，并且能快速做出响应保证网络正常。

（6）. 更加灵活、精准的入侵防御功能 依托先进的多核全并行处理技术，大幅提高了IPS的处理性能，能够轻松应对多样的混合型攻击，超过3000种的特征库可以检测并防范针对HTTP、FTP、SMTP、IMAP、POP3、TELNET、DNS、RPC、MSSQL、ORACLE、NNTP、NETBOIS、TFTP等多种协议的攻击，以保障网络的安全。完善的日志系统及监控系统提供了基于不同维度的入侵事件记录分析，方便管理员掌握当前网络中的攻击信息，及时做出正确的管理决策。同时，通过专业的特征库，常用基础软件的漏洞，以及常用应用系统的漏洞利用机理，保证IPS在防范已知漏洞的基础上，也能对新出现的漏洞进行防范，确保了入侵防御功能的有效性。IPS功能中针对每种攻击特征设定的精细执行动作，极大的提高了入侵防御策略的自由度和灵活性，并且最大程度的降低了误识别率。

（7）. 支持自定义新建、并发的连接限制功能 连接限制是网神下一代极速防火墙NSG系列基于安全域来限制并发及新建连接数的功能。目前最常见的两个应用场景为：
1)限制P2P流量的并发连接数。通过限制单个IP的连接数上限，让使用P2P下载的用户在达到阈值时也不会对其它用户造成影响。

2)限制来自外网或者内网的高新建高并发的攻击行为，保护连接表不被DoS攻击填满。

（8）. 多种形式建立IPSec VPN隧道 IPSec VPN支持“手工隧道”、“快速隧道”形式下的隧道建立方式，并支持“网关到网关”、“客户端到网关”两种应用场景。同时VPN实施支持基于安全策略指定VPN隧道策略方式。

（9）. 深度的网络行为关联分析 基于网络用户行为、用户身份、用户地域识别、用户访问应用类型的实时分析及动态实时防护而设计的整套安全防御体系。可通过“云计算”中心自动收集安全威胁信息并快速寻找解决方案，及时更新攻击防护规则库并以动态的方式实时部署到各用户防火墙中，保证用户的安全防护策略得到及时、准确的动态更新。防范以多种形态出现的新恶意软件和攻击行为、APT攻击、0-day攻击等日益增长的威胁。

（10）. 全方位状态信息展示 提供全面的实时的状态信息展示，包括网络接口状态、接口信息状态、系统信息状态、资源状态、并发连接数、入侵防御状态、应用流量排行榜。第一时间为管理员修改防火墙配置策略，了解防火墙运行状态，掌握网络当前态势提供实时报告。更加人性化和智能化的状态展示同时大大提供了状态信息的易用性。

(四) WEB安全防护系统 1. 产品概述 伴随着防护技术的不断发展，WEB应用系统的防护技术经历了网关型防护手段和操作系统防护手段。如含有应用层过滤功能的网络防火墙、IPS等网关型硬件产品，基于特征匹配进行防护；
网页防篡改软件则是基于文件监控原理，对指定路径的文件进行监控和写保护。

传统的网络安全设备和网页防篡改软件只能解决WEB应用安全的一个方面，而WEB应用系统的安全保障需要一个全面的安全防护和性能保障措施才能使之安全、高效、持续地对外提供服务。

WEB应用系统的安全是一个系统的问题，包括三个方面，即可用性、完整性和机密性。实现这些原则所需的安全等级因WEB系统的属性、WEB应用的价值不同而异。如对机密性要求较高的应用系统应当保障数据的访问、传输过程的安全，同时需要对访问者进行认证、授权、审计；
对于一个面向客户群的应用系统既要考虑其应用交互的可用性，同时也需要对其完整性进行有效的保障。而面向大众的门户类网站则需要充分考虑其抗攻击能力、高可用性和完整性，提供7X24小时不中断服务，确保提供的数据是真实的、有效的。

综上所述WEB应用系统的安全保障需要充分考虑其高可用性、完整性和机密机才能达到安全有效的防护目的。专业的WEB安全网关则是专用于防护及优化WEB应用系统的最佳选择，有效解决传统网络防火墙及网页防篡改软件在WEB应用防护方面的局限性，在重视应用系统的高可用性的前提下进行安全优化从而达到WEB防护的最佳目标。

集WEB防护、WEB加速、网页保护、负载均衡、应用交付于一体的WEB整体安全防护设备。通过WEB安全防护模块、应用审计模块实现应用的安全防护，解决用户面临的严重入侵威胁；
通过WEB加速技术解决用户在高可用性、性能提升上因为需要大量资金投入的烦恼；
通过访问控制模块轻松解决了WEB应用系统细粒度访问控制等特定的需求问题。

v 事前主动防御，智能分析应用缺陷、屏蔽恶意请求、防范网页篡改、阻断应用攻击，全方位保护WEB应用。

v 事中智能响应，快速P2DR建模、模糊归纳和定位攻击，阻止风险扩散，消除“安全事故”于萌芽之中。

v 事后行为审计，深度挖掘访问行为、分析攻击数据、提升应用价值，为评估安全状况提供详尽报表。

v 面向客户的应用加速，提升系统性能，改善WEB访问体验。

v 面向过程的应用控制，细化访问行为，强化应用服务能力。

v 面向服务的负载均衡，扩展服务能力，适应业务规模的快速壮大。

2. 产品特点 （1）. 安全防护功能 1) 策略的覆盖完整度 WEB安全网关提供对应用系统全方位的防护，强化数据有效性防护即常见的跨站脚本攻击、SQL注入攻击、跨站请求伪造、网页挂马、盗链等威胁的防护，提供WEB应用或网站的基本安全保障。

使用虚拟服务器补丁技术用于缓解WEB服务器漏洞的零日攻击和不安全配置带来的安全隐患。

集成的会话签名鉴别技术和分级授权模块专用于防护WEB应用系统面临的认证威胁，如失效的会话管理缺陷、不安全的会话密钥管理缺陷等均可通过WEB安全网关进行快速修复。

提供防止应用DOS攻击和暴力口令破解技术，解决大规模异常访问导致应用系统面临的性能问题，甚至系统崩溃、服务中断等恶性事件的发生。

2) 策略适应性 优秀的安全策略不仅需要有广泛的应用系统覆盖面、还需要有细的匹配粒度和良好的应用系统适应性。天泰安全网关的策略基于URI、时间、访问者、访问状态、访问工具、访问内容等对象定制安全规则，每条规则在发布前均通过严格的适应性测试，特别针对国内数百家WEB应用系统进行测试，确保规则安全稳定、无误判。

3) 学习引擎与白名单模式、主动防御时代的益处 安全防护技术可以分和黑名单防护技术和白名单防护技术，黑名单技术目前被大量应用，基于黑名单的防护技术可以防护已知的攻击行为，但对于未知的或已知规则的变种则无法防护。白名单技术可以有效的防护黑名单无法解决的问题，然而由于WEB应用系统的复杂多样，所以白名单技术在实施过程中通常十分复杂并可能导致误判。

TSAdaptive™自适应引擎让白名单防护技术在Web安全Positive模式下，识别攻击行为不再依赖于已知的攻击特征，而是基于用户应用系统的正常请求特征和签名列表。自适应引擎生成的推荐规则专用于特定的应用系统，最大限度的降低了黑名单技术带来的误判、漏判、零日攻击等无法解决的技术难题。

4) 基于状态的分析 WEB应用防火墙技术在开发初期是完全基于规则匹配的响应机制，表现为无状态特性。随着防护技术的不断提高及面临日益严重的零日攻击威胁，WEB安全网关开创性的采用了应用防火墙状态防护技术，对会话管理、请求伪造、盗链等行为进行识别和防护；
对攻击者的入侵扫描、探测、渗透过程进行状态识别和跟踪，快速定位威胁，及时告警或阻止。

5) 与网络层联动的防御技术 WEB应用受到攻击，WEB安全网关应当采取行之有效的防护措施。WEB安全网关在检测到有攻击流量时会跟据不同的安全级别做出对应的响应，如阻断并给出伪装或告警信息。当检测到有持继的攻击流量时，WEB安全网关将会采取一系列的安全联动措施，如基于状态的威胁识别和限时锁定措施将入侵者进行延时锁定，或者及时将可疑攻击通过邮件、短信、SNMP、Syslog通知安全管理员，及时采取安全措施，降低攻击带来的损失。

（2）. 日志审计与管理 日志分析与管理模块作为安全产品与安全管理人员交互最为重要的接口，其日志审计贮存的形式、内容和可提供的建议对安全管理员保持应用系统长期安全运行起到重要作用。

1) 安全日志 日志不仅为管理员提供威胁管理的平台，同时也是安全取证和策略调整的依据。因此要求日志记录的尽可能详细和精确，并可根据审计的要求对特定数据进行筛选和审计。

WEB安全网关可提供定时报表和即时分析功能，通过分析有助于安全管理人员把握应用系统安全现状，及时调整安全策略，并针对威胁等级较高的攻击进行提醒，提出建议性解决办法。

2) 访问日志 WEB安全网关详尽纪录和有效统计用户对Web应用资源的访问，包括页面点击率、客户端地址、客户端类型、访问流量、访问时间、搜索引擎关键字等信息，实现有效的用户行为跟踪和访问统计分析。生成基于地区区域的访问统计，便于识别WEB应用的访问群体是否符合预期，为应用优化提供指导。

（3）. 性能优化方案 应用系统的可用性是构成系统安全的重要组成部分，应用系统访问延时、堵塞、服务中断、性能急剧下降等都会导致系统可用性下降。对于公众开放的应用系统的可用性的安全等级通常放在首位。如何经济高效的保障应用系统的可用性是管理人员在进行安全规划时的首要问题。

性能优化方面，提供多种性能优化方案供用户选择。

1) 站点集群技术 在应用系统设计开发阶段融入Web安全的WEB应用集群功能可以提高软件开发的效率、取代由软件实现站点集群的性能瓶颈和繁琐的技术细节，提升整个应用系统的性能。

通过站点集群技术您可以实现站点网页文件、图片、媒体文件的分离与整合，也可以方便实现不同应子系统的拆分。利用WEB安全网关还可以实现站点文本、图片文件域名分离，从而提缩短用户下载网页的时间，提高用户体验。

图 WEB安全网关的集群服务 2) 负载均衡 WEB安全网关提供高可用性、负载均衡以及基于HTTP应用的代理，作为快速并且高可靠的一种负载均衡产品，WEB安全网关特别适用于那些负载特大的WEB站点，这些站点通常又需要会话保持或七层处理。

图 WEB安全网关的负载均衡服务 WEB安全网关提供成熟的负载均衡解决方案，支持的负载均衡模式有：平均分发、压力分发、请求路径分发、请求参数分发，并支持WEB应用系统的会话保持功能、服务状态监测与故障切换功能。

3) WEB加速 基于现有环境的WEB加速功能可使用户不改变现有环境的情况下提升访问WEB应用的速度；
WebCompress™引擎对Web应用数据进行实时智能压缩，改善终端用户性能，降低带宽消耗。WebCache™引擎对静态应用内容的高速缓存，显著减少服务器负载。双向TCP连接池和高效复用算法将上千短连接优化为少量持久的服务器连接，减轻服务器压力，改善服务器性能，提高应用响应速度，降低服务延迟。

图 WEB安全网关的加速功能 （4）. 访问控制与SSL加速 如果应用系统需要对访问者身份进行识别和授权，从而保障数据的机密性，此时可以使用WEB安全网关的访问控制功能以及SSL加功能。该功能特别适用于已经交付使用的应用系统，不需要修改程序代码，通过WEB安全网关实现访问控制和SSL加速。如WEB站点的管理后台通常直接暴露在外网，仅依赖于口令强度和简易的验证码进行访问控制，类似这种应用可以通过WEB安全网关的访问控制功能实现身份识别和访问控制以提高应用系统的安全性。WEB安全网关集成了SSL加密功能，应用内容在传输过程中都受加密保护，通过转移服务器复杂的加/解密任务从而将应用处理能力发挥到了极致。该功能使管理员能保护敏感应用内容的安全，使其摆脱被窃取及被滥用的潜在威胁。

图 WEB安全网关的SSL认证服务 (五) 运维审计系统 运维审计系统，扮演着看门者的职责，所有对网络设备和服务器的请求都要从这扇大门经过。网神运维审计系统能够拦截非法访问和恶意攻击，对不合法命令进行阻断、过滤掉所有对目标设备的非法访问行为。

1. 产品功能 （1）. 超全的审计协议范围 网神运维审计系统平台采用协议分析、基于数据包还原虚拟化技术，实现操作界面模拟，将所有的操作转换为图形化界面予以展现，实现100%审计信息不丢失：针对运维操作图形化审计功能的展现外，同时还能对字符进行分析，包括命令行操作的命令以及回显信息和非字符型操作时键盘、鼠标的敲击信息。

系统支持的审计协议以及工具包括：
字符串操作：SSH/Telnet（工具：SecureCRT/Putty/Xshell）
图形操作：
RDP/VNC/X11/pcAnywhere/DameWare等 其他协议：
FTP/SFTP/Http/Https等 数据库工具:Oracle/sqlserver/Mysql客户端工具 （2）. 机制完善用户管理权限 平台对用户的管理权限严格分明，各司其职，分为系统管理员、审计管理员、运维管理员、口令管理员四种管理员角色，平台也支持管理员角色的自定义创建，对管理权限进行细粒度设置，保障了平台的用户安全管理，以满足审计需求 平台集用户管理、身份认证、资源授权、访问控制、操作审计为一体，有效地实现了事前预防、事中控制和事后审计。

（3）. 高度的灵活性和广泛的适用性 采用模块化设计，单模块故障不影响其他模块使用，从而提高了平台的健壮性、稳定性，运维人员登陆可支持Portal统一登录，并兼容终端C/S客户端连接设备；
审计平台的认证方式可以与第三方的认证设备进行定制兼容。

（4）. SSO单点登录 提供基于B/S的单点登录系统，用户通过访问WEB页面一次登录系统后，就可以无需认证的访问被授权的多种基于B/S和C/S的应用系统(如有需要，可实现C/S架构系统的定制开发)。单点登录为具有多账号的用户提供了方便快捷的访问途经，使用户无需记忆多种登录用户ID和口令。它通过向用户和客户提供对其个性化资源的快捷访问提高工作效率。同时，由于系统自身是采用强认证的系统，从而提高了用户认证环节的安全性。

单点登录可以实现与用户授权管理的无缝链接，可以通过对用户、角色、行为和资源的授权，增加对资源的保护和对用户行为的监控及审计。

（5）. 集中账号管理 集中账号管理包含对所有服务器、网络设备账号的集中管理。账号和资源的集中管理是集中授权、认证和审计的基础。集中账号管理可以完成对账号整个生命周期的监控和管理，而且还降低了管理大量用户账号的难度和工作量。同时，通过统一的管理还能够发现账号中存在的安全隐患，并且制定统一的、标准的用户账号安全策略。

通过建立集中账号管理，单位可以实现将账号与具体的自然人相关联。通过这种关联，可以实现多级的用户管理和细粒度的用户授权。而且，还可以实现针对自然人的行为审计，以满足审计的需要。

（6）. 集中身份认证 为用户提供统一的认证接口。采用统一的认证接口不但便于对用户认证的管理，而且能够采用更加安全的认证模式，提高认证的安全性和可靠性。

集中身份认证支持电子证书、Windows AD域、Windows Kerberos、双因素、动态口令和生物特征识别等多种认证方式，而且系统具有灵活的定制接口，可以方便的与第三方LDAP认证服务器对接。

（7）. 统一资源授权 提供统一的界面，对用户、角色及行为和资源进行授权，以达到对权限的细粒度控制，最大限度保护用户资源的安全。通过集中访问授权和访问控制可以对用户通过B/S、C/S对服务器主机、网络设备的访问进行审计和阻断。

在集中访问授权里强调的“集中”是逻辑上的集中，而不是物理上的集中。即在各网络设备、服务器主机系统中可能拥有各自的权限管理功能，管理员也由各自的归口管理部门委派，但是这些管理员在运维审计系统上，可以对各自的管理对象进行授权，而不需要进入每一个被管理对象才能授权。授权的对象包括用户、用户角色、资源和用户行为。系统不但能够授权用户可以通过什么角色访问资源这样基于应用边界的粗粒度授权，对某些应用还可以限制用户的操作，以及在什么时间进行操作等的细粒度授权。

（8）. 访问控制 能够提供细粒度的访问控制，最大限度保护用户资源的安全。细粒度的命令策略是命令的集合，可以是一组可执行命令，也可以是一组非可执行的命令，该命令集合用来分配给具体的用户，来限制其系统行为，管理员会根据其自身的角色为其指定相应的控制策略来限定用户。访问控制策略是保护系统安全性的重要环节，制定良好的访问策略能够更好的提高系统的安全性。

基于细粒度的访问控制下，做到：
v Who（谁）：
控制什么用户允许操作 v Where（什么地点）：控制来源于什么地址的用户允许访问什么资源 v When（什么时间）：
控制在什么时间允许用户操作 v What（做了什么）：
控制用户执行的操作 （9）. 操作审计 操作审计管理主要审计操作人员的账号使用（登录、资源访问）情况、资源使用情况等。在各服务器主机、网络设备的访问日志记录都采用统一的账号、资源进行标识后，操作审计能更好地对账号的完整使用过程进行追踪。系统支持对如下协议进行审计：Telnet、FTP、SSH、RDP（Windows Terminal）、X windows、VNC等。

通过系统自身的用户认证系统、用户授权系统，以及访问控制等详细记录整个会话过程中用户的全部行为日志。还可以将产生的日志传送给第三方。

对于生成的日志支持丰富的查询和操作：
v 支持按服务器方式进行查询。

通过对特定服务器地址进行查询，可以发现该服务器上发生的命令和行为。

v 支持按用户名方式进行查询。

通过对用户名进行查询，可以发现该用户的所有行为。

指标 指标项 规格要求 系统架构 产品外观 标准2U机架式 产品架构 软硬件一体化产品 部署方式 旁路部署，不影响原有网络结构 访问方式 采用B/S结构，采用HTTPS方式访问，无需安装任何代理 网络接口 6个10/100/1000自适应以太网口，1个Console口，支持Console口管理；

数据存储 系统 标配 2T硬盘；

性能要求 并发会话数 图形并发会话数≥300, 字符型并发会话数≥1000；

本次采购要求配置300个主机/设备审计节点许可；

功能要求 基础功能 提供运维审计自身状态的监控功能，包括：cpu工作情况，内存使用情况，磁盘使用情况，网卡使用情况，运维审计自身数据库工作情况，运维审计自身WEB服务工作情况，运维审计自身其他关键组件工作情况等。

可以使用WEB方式对运维审计进行重启和关机。

可以对运维审计的时间进行设置。

支持运维审计自身程序通过WEB方式升级。

支持日志的备份、导出和恢复。

支持双机热备。双机热备，实现数据同步。

支持协议 使用远程终端服务：例如telnet、rlogin、rsh、rexec、ssh之上的命令行接口（CLI）。

使用文件传输协议：例如FTP等。

使用远程窗口和桌面：例如Windows的远程桌面（RDP），和Unix的Xwindow。

使用各种数据库客户端：例如各种数据库的client程序、ODBC、JDBC，以及多种其它数据库工具。

服务器 访问方式 ★▲Web访问方式：通过审计系统的Web管理页面直接访问服务器（不需要安装代理，无需安装JDK等）。

支持RDP、VNC、X11、SSH、TELNET、FTP等访问协议。

客户端方式支持RDP、VNC、X11、SSH、TELENT、FTP、SFTP、Oracle、MySQL、sybase等。

支持客户端（SecureCRT、putty）clone session功能，能够直接clone到目标服务器的访问会话。

登录菜单访问：客户端访问审计系统即可显示用户能访问的资源清单菜单，用户通过字符菜单活图形菜单选择方式直接访问服务器。

菜单访问方式支持RDP、VNC、X11、SSH、TELNET、FTP等协议。

支持Winodws AD域功能。

操作行为 记录 对SSH、Telnet、Rlogin、FTP/SFTP、数据库操作进行审计。

记录发生时间、源IP、目标IP、源端口、目标端口、操作指令、运维审计系统用户、目标服务器账号、访问结果等消息。

对RDP、VNC、X11等图形终端操作的连接情况进行记录及审计，消息记录访问开始时间、源IP、目标IP、源端口、目标端口、运维审计系统用户、目标服务器账号等信息。

能够记录RDP协议中的活动窗口名称、删除文件等动作，并能记录RDP会话中的键盘输入信息。

会话过程 回放 支持倍速/低速播放、拖拽、暂停、停止、重新播放等播放控制操作。

身份认证及访问授权 支持多种认证方式：密码、动态口令、指纹识别。

支持SSO单点登录功能，使用人员不需要知道服务器账号及密码，无需进行二次登录认证。

支持限制运维用户访问源IP功能。

授权分为运维审计管理功能授权和资源访问授权。内部管理功能授权可以限制到某个树形节点的范围内。

支持授权的流程管理。支持流程申请人、审批人、执行人的委派。授权需要申请人定义申请单，发起事件申请；
事件可以多人审批，审批人收到申请后可以同意或拒绝申请，同意时可以指定执行人进行实际的管理动作的执行。

支持按用户组、主机组方式进行访问授权。

运维审计内部管理功能权限支持角色定义，角色可以针对目录树的节点定义，从而使角色即可以限制能够使用的功能项，也达到角色权限只在某个树形节点范围内生效。

资源管理 能够添加、修改、删除被管资源。

支持资源的分组管理，分组可以树形方式展现，不限制分组层级数量。

资源类型支持Windows主机、域控主机、域控内主机、Unix主机、各种网络设备、安全设备、网元、数据库等。

支持资源接入的流程管理，支持流程申请人、审批人、执行人的委派。资源的接入需要申请人定义申请单，发起事件申请；
事件可以多人审批，审批人收到申请后可以同意或拒绝申请，同意时可以指定执行人进行实际的管理动作的执行。

产品自带SSO单点登录控件，运维工作站不需要安装部署SecureCRT、SSHClient等终端仿真程序，即可通过SSH、TELNET、FTP、VNC、XWINDOW等网管协议对资源进行运维操作。

对于数据库、web、专用C/S客户端程序支持以应用发布的方式进行授权和审计。

访问控制及异常告警 支持根据IP地质、时间、用户名、操作指令等内容设定安全时间规则。

支持黑、白名单控制，可根据黑白名单的命令集限制用户的操作权限。

对违规的事件进行告警及自动阻断。

客户端地址策略可以应用于主帐号，也可以应用于从帐号。

实时监控 支持实时审计。操作人员对于资源的访问，审计员可以实施查看。

实时会话监控列表:显示会话连接状态。显示会话来源、目标地址、账号及访问人信息。

同步监控操作过程：支持对操作过程进行同步监控，执行会话回放、监控和阻断操作。

系统状态监控：实时监控审计系统CPU、内存、磁盘的使用情况。

审计系统监控：记录审计系统自身的管理操作，保障审计系统自身安全。

组态报表 系统具备组态报表功能，支持用户自定义报表模板，可以通过制定动态模板、静态模板，可以对各种数据进行组合查询。查询结果可以导出TXT、HTML、XLS等多种格式报表文件。

用命令关键字进行审计结果查询时，可以同时输入多个命令，为多命令查询提供便利。

按照预设统计报表模板和命令关键字等条件进行查询统计时，可以同时输入多个命令，为多命令的统计报表提供便利。

支持以html或Excel方式输出。

支持自定义模板，支持二次开发定制报表。

对外接口 可以将审计日志以SYSLOG方式外发，支持SYSLOG发送的目标和端口。

对所有审计日志提供外发接口，可以配置只外发字符审计，也可以配置外发所有审计（将字符和图形录像的审计日志外发其他设备），并且可以配置对端端口。

支持认证接口，可以配置认证服务器地址和端口。

系统扩展 支持4A扩展，可以将审计日志输出到4A平台。

资质要求 ▲厂商 资质要求 厂商具备国家保密局颁发的《涉及国家秘密的计算机信息系统集成资质证书》（甲级）；

厂商为“信息安全等级保护关键技术国家工程实验室”参建单位之一，要求提供相关证明文件；

厂商为互联网安全研究中心应用安全联盟会员，提供会员编号证明；

厂商通过ISO20000信息技术服务管理体系认证，要求提供证明文件；

厂商具备国家信息安全测评信息安全服务资质（安全开发类一级）；

厂商具备中国信息安全产品测评中心颁发的《国家信息安全认证信息安全服务资质证书》（安全工程类二级）；

产品 资质要求 公安部计算机信息系统安全专用产品销售许可证；

国家版权局计算机软件著作权登记证书；

(六) 上网行为管理系统 1. 产品功能 （1）. 规划用户分组结构 为了给不同用户、不同部门授予差异化的互联网访问权限，包括差异化的行为审计策略，首先要规划和建立组织的用户分组结构。可以完全按照组织的行政架构在AC上建立树形用户分组结构，实现父组、子组、组内套组等要求。在完成用户组的创建后，即可创建用户，并将用户分配到指定的用户组中，以实现网络访问权限的授予与继承。

用户创建的过程简单方便，除手工输入帐户方式外，AC还能够根据OU或Group读取AD域控服务器上用户组织结构，并保持与AD的自动同步，方便管理者维护AD这一套组织结构。另外AC也支持账户自动创建功能，基于新用户的源IP地址段自动将其添加到指定用户组、同时绑定IP/MAC等，继承指定的网络权限，方便了管理者和权限的控制。用户帐号还支持生效时间的设定、支持多人共用同一帐号等，丰富的帐号策略使得管理者可以自由的根据实际情况合理调整。

如果管理员已经将用户信息汇总到Excel、TXT等文件中，那么他将通过AC的账户导入功能更加快捷的创建用户和分组信息。

（2）. 分析网络流量 通常组织的互联网带宽比较有限，即使充裕，如果员工网络行为不规范，IT管理者仍然饱受抱怨：网络太慢、业务系统访问迟缓、页面迟迟打不开等，IT管理者需要确知组织带宽的使用情况，这正是AC所能给您带来的价值体现：
登陆AC控制台后，管理员可以直观查看流量曲线图、当前流量TOP 10应用等，并可通过AC的数据中心进一步详细查看、统计昨天或指定时间段的流量情况。管理员可以统计指定时间段指定分组或用户的流量情况，通过饼状图、柱状图、曲线图等直观展现；
还可基于用户进行上行流量、下行流量、总流量等排名，找到流量最活跃的员工。

如果您是一位大型机构的CIO或CEO，您需要面对的问题将远不止这些，而AC数据中心的功能需要您亲身体验和掌握。当您面对数据中心的Web页面，通过几次鼠标点击就发现网络及管理中存在的问题时，您将感受到领先技术带来的极富乐趣的用户体验。

（3）. 优化和分配带宽资源 组织如何获得更充足的互联网带宽呢？AC通过多线路复用、带宽叠加（专利号：200310112006X）技术，可同时连接4条互联网线路。而只要您同时连接电信和网通线路于AC，AC的多线路智能选路技术（专利号：ZL03113974.4），将为员工的Internet流量自动优选最佳出口，解决跨运营商的带宽瓶颈问题，同时兼具负载均衡、线路备份等功能，大幅提升访问速度和可靠性。

组织有限的带宽往往被大量非业务流量所挤占，尤其BT、电骡等P2P行为严重吞噬带宽；
AC不仅为管理员提供了强大的应用封堵手段（如直接禁止指定用户的P2P行为），更可在允许用户使用P2P时限制P2P占用的带宽，另外可以为指定用户、用户组每天、每月的总上网流量进行限制，灵活的管理方法充分满足组织在上网行为管理上的复杂需要。

除了限制非业务应用对带宽的占用，同时要保证业务应用的带宽需求。得益于AC强大的应用识别能力（目前超过20个大类、300多条识别规则），AC基于出口链路、用户/用户组、应用类型、网站类型、文件类型、时间段实现精细、智能的带宽划分与分配策略，使得管理员拥有能够充分保障组织业务所需带宽的各种管理手段。

（4）. 网页访问控制 网页浏览是员工主要互联网行为之一，与工作无关的上网行为给组织带来巨大的损失。

AC内置千万级预分类URL地址库，并经专人人工审核分类，包含互联网上各类涉及色情、反动、暴力等站点。由于互联网的容量爆炸性增长，Google声称互联网独立网址超过一万亿个，采用静态URL库显然不够，因此AC还支持基于内容的过滤手段，包括过滤用户通过搜索引擎搜索的指定关键字、过滤包含指定关键字的网页、过滤含指定关键字的URL地址等。而结合了人工智能的网页智能分析系统（Intelligent Webpage Analysis System, IWAS）能够根据网址、正文内容、关键字、代码特征等对网页进行智能分类，并且具备自我学习和自我修正能力，可以依据管理者定义进行任意URL分类的识别和过滤，真正帮助组织完善网页访问行为的管理。

（5）. 管理IM即时通讯工具 权威统计显示国内网民最常使用的IM工具依次为QQ、飞信、MSN、Skype。办公室内IM聊天、影音文件分享、甚至游戏对战屡见不鲜，而QQ病毒、MSN蠕虫也让IT管理者记忆犹新，如何有效管理IM工具？借助现有防火墙等传统手段封堵IM并不奏效。以下是AC提供的对IM从禁止、监管、再到安全防御的解决方案。

禁止 AC深度内容检测技术根据应用协议数据包特征字段全面封堵各种IM工具，包括QQ、MSN、新浪UC、网易泡泡、Yahoo Messenger、Skype、ICQ、Google Talk、飞信等；
即使IM软件将数据包封装到80、443等端口传输，AC亦可区别IM流量和正常的Http、Https，从而有效管理IM的使用。同时AC可实现允许指定部门/用户（如市场部）通过IM与客户沟通，但禁止IM传文件、IM语音视频通话、玩IM游戏等，轻松、灵活管控IM。

监管 QQ、飞信、MSNShell、Skype等越来越多的IM聊天内容是加密的，如果不能记录将是上网行为管理的最大漏洞之一。AC的聊天内容同步侦听（Real-time Monitor for Messages , RMM)技术能够记录各种加密聊天内容，这在业界是屈指可数的，领先的技术使得深信服研发部门能够快速跟进任何一款新推出的IM工具，并推出针对性的升级策略使得AC支持对各种新IM工具的聊天监控功能。强大的功能往往涉及个人隐私，我们建议使用AC前在组织内发出通知，提醒员工他们在工作时间发生的网络行为是可以被监控到的。

安全防御 IM好友发来的URL链接、文件等，可能将病毒、木马、流氓软件送入内网，这也是组织已经购买防火墙、部署杀毒软件后仍然病毒层出不穷的原因之一：堡垒从内部被攻破了！AC的深度内容检测技术能够禁止用户使用IM传递文件，IM好友发送的URL地址，员工打开过程中将被AC过滤和控制。另外，管理员也可以启用AC的网关杀毒功能从源头上查杀病毒、蠕虫，此内容将在后述部分详解。

（6）. 控制BT等P2P行为 封种子服务器IP、封种子资源网站、封端口的P2P管理方式让管理员忙的焦头烂额却得不到满意的效果。有效的P2P管控方法包括应用协议分析和P2P行为智能检测技术，AC同时支持这两种技术。常用、普及的P2P软件，AC深度内容检测技术实现对其管控和封堵。截止本文档编写时，AC通过深度内容检测技术可以封堵P2P流媒体55个，其他P2P应用27个。

尽管已经内置了丰富的P2P识别规则，但新的P2P应用层出不穷，员工可以从网络上获得各种P2P工具，还有更多不常见和未来可能出现的P2P软件如何管控？AC采用网络行为智能分析技术(Network Behaviors Intelligence Analysis , NBIA），基于统计学分析原理，实现对各种P2P的智能识别和封堵，为用户提供了一劳永逸的P2P管控解决方案。

尽管AC提供了彻底封堵P2P的方案，但粗暴禁止P2P可能招致员工反感，在某些情况下个别部门或员工可能需要使用P2P进行文件共享等，此时AC的P2P流控功能完美的满足了管理上的灵活要求，利用此功能，AC可以针对不同部门、不同时间段、限制不同P2P应用占用的带宽，且可管控部门内每个员工P2P行为对带宽的占用情况（“3.4 优化和分配带宽资源”已详细说明AC针对应用的带宽划分和分配）。

（7）. 控制其他网络应用行为 员工的上网行为远不止此，管理者还需关注在线炒股、网络游戏、在线视频（RTSP、MMS、Flash、RealMedia等）等。AC已经包括300多条常见应用的识别和管控规则，并定期从深信服公司网站上自动更新最新识别库。同时AC允许有编程基础的网络管理员自行添加、修改和导入自定义的网络应用识别规则。这相对于绝大多数其他厂商仅提供给管理者根据IP和端口封堵应用的方式更加灵活和彻底。

对于局域网内出现的AC未能识别和控制的新应用，管理员如果无法自行编制对应的识别策略，仅需将所需控制的应用程序名称、版本号以及下载地址提交给深信服客服中心，我们将在三个工作日内提供最新的识别策略，并帮助用户完成对该应用的封堵和管控。

（8）. 防泄密和法律风险 内网员工无意或有意将组织机密信息泄露到互联网甚至竞争对手，或向论坛BBS发布不负责的言论、网络造谣等，将给组织带来泄密和法律风险。AC不仅能过滤、记录员工通过Mail（包括Webmail）、BBS、Blog、QQ空间等工具发布的网络言论，还能实时报警。即使通过Telnet访问部分BBS网站，所有输入的Telnet命令和内容，AC都能详细记录。

对于使用HTTP、FTP等方式传送文件所引发的风险（如将研发部的核心代码发送出去），AC首先可以禁止用户使用HTTP、FTP上传下载指定类型的文件，对于上传的文件AC也可以全面记录文件内容，做到有据可查。而外发Email潜在的泄密风险通过AC的邮件延迟审计（Postponed Sending after Audit , PSA）技术，根据管理员预设条件，将潜在的泄密邮件先拦截，经人工审核后再发送，保障组织信息资产安全。但存心的泄密者通常会更改文件后缀名、删除后缀名、压缩、加密等，再通过Email外发、或通过HTTP、FTP上传，AC对以上行为同样可以识别并报警，彻底避免因外发文件而产生的泄密风险。

（9）. 日志审计和报表中心 内网用户的所有上网行为AC都能够记录以满足公安部82号令的要求。AC可针对不同用户(组)进行差异化的行为记录和审计，包括网页访问行为、网络发帖、Email、文件传输、QQ游戏行为、大智慧炒股行为、QQLive在线影音行为等，并且包含该行为的流量信息等。但CEO等高层领导的网络行为可能涉及组织的重要机密（如CEO与供应商的邮件），不应该被记录。AC“免审计Key”从技术上彻底免除行为记录，只要将“免审计Key”插入计算机USB接口并输入对应PIN码，该用户的任何网络行为都免除记录，消除高层领导的忧虑。

大型组织60天将产生数百G行为日志通过AC独立数据中心实现海量存储，并通过丰富报表工具方便日志的操作，报表工具主要包括：
■ 内置超过60多种报表模板，并支持用户自定义报表。

■ 对比报表：汇总对比、指定用户组的对比、指定用户的对比、指定IP的对比等；

■ 统计模板：上网流量统计、上网行为统计、病毒信息统计、上网时间统计等；

■ 趋势：流量趋势、行为趋势、IM趋势、邮件趋势、炒股趋势等；

■ 查询工具：流量查询、行为查询、时间查询、病毒日志查询、安全日志查询、操作日志查询等；

■ 内容检索：网页搜索、邮件搜索、IM搜索、关键字搜索、Webmail/BBS搜索等 如何防止非授权人员访问数据中心并窥探或恶意传播他人上网行为日志，甚至导致员工对IT管理者的误解和埋怨？AC的“数据中心认证Key”技术，保证只有插入该key的管理员才能审计他人行为日志，否则将只能查看统计报表、趋势图线等，确保日志不被滥用。

2. 产品的技术优势 （1）. 单点登录技术 AC的单点技术(Single Sign On, SSO)将避免用户重复输入帐号密码的繁琐操作。AC支持LDAP、POP3、PROXY单点登录。尤其AC无需用户安装任何客户端软件即实现LDAP单点登录，对用户完全透明。内网用户采用域账号登陆Windows系统后，即可自动通过AC认证，而且支持不使用域帐号登录Windows系统即禁止其访问互联网。

AC的POP3、PROXY单点登录功能启用后，内网员工只需收发一下Email、或触发PROXY服务器的认证后，也将自动通过AC认证，极大的方便了用户的使用。

（2）. P2P智能识别 能够全面识别P2P行为是进一步管控的基础。对P2P的管控包括封堵和流控两方面，既可全面禁止指定用户使用P2P软件，也可允许其使用但对P2P行为占用的带宽资源进行限制和管理，从而既优化带宽资源的使用，又为员工提供了人性化的管理方式。

（3）. 代理服务器识别 对于通过Proxy Server代理上网的情况，AC可以很好地适应并发挥其作用。AC的深度内容检测技术识别用户数据中包含代理信息后，通过代理识别模块可以识别从用户端发送到达代理服务器之间的应用数据，进而对用户的网络行为进行管控和记录。

（4）. 最全面的应用识别 AC多种应用识别技术，全面识别各种应用、进而管控和审计。主要包括：
1) URL识别：千万级静态URL库、搜索引擎输入关键字过滤、基于正文关键字过滤明文网页、SSL证书验证技术过滤加密网页、网页智能分析系统IWAS从容应对互联网上数以万亿的网页。

2) 文件类型识别：识别并过滤HTTP、FTP方式上传下载的文件，即使恶意用户删除文件扩展名、篡改扩展名、压缩、加密后再上传，同样能识别和报警。

3) 深度内容检测：IM聊天、在线炒股、网络游戏、在线流媒体、P2P应用、Email、常用TCP/IP协议等，基于数据包特征精准识别，且支持管理员自行定义新规则，以及深信服科技及时更新和快速响应。

4) 智能识别：种类泛滥的P2P行为，静态“应用识别规则”已经捉襟见肘，通过P2P智能识别，识别不常见、未来可能出现的P2P行为，进而封堵、流控和审计。

通过强大的应用识别技术，无论网页访问行为、文件传输行为、邮件行为、应用行为等AC都能帮助组织实现对上网行为的封堵、流控、审计等管理。

（5）. 海量日志快速检索 记录员工网络行为，不仅满足公安部82号令等法律要求，又做到了有据可查。大型组织每天产生数G的日志数据，通过AC的外置数据中心实现了海量存储，而且提供了图形化的日志查询、统计、审计、报表中心等功能。

组织通过AC的外置数据中心保存了上百G的海量日志信息，而一旦发生关键事件或管理者需要从大量日志信息中快速检索获取其感兴趣的内容，却难以快速从海量日志中发现期望得到的数据。AC内置了强大的数据中心内容检索系统，利用类似Google的先进搜索技术，从高达几百G的海量数据中通过多个关键字快速搜索指定内容，并且支持对Email附件正文内容的检索、支持高级检索，支持订阅和自动Email投递功能，极大的方便了管理者的使用。

（6）. 异常流量感知 随用户互联网访问、移动存储设备的使用、以及局域网内其他终端的感染导致用户终端设备往往存在木马、间谍软件、远程控制软件等威胁。此类恶意软件为了藏匿自己的行踪往往通过常用的TCP 80、443、25、110等端口与互联网控制端交互数据，这使得组织的信息安全、资产安全、网络安全等无法保障。AC的异常流量感知技术正是对于以上异常流量行为进行识别并报警，帮助IT管理者主动发现组织内网潜藏的安全威胁，提升组织内网可靠性和可用性。

(七) 数据库审计系统（防统方系统）
数据库审计系统是一款专业的实时的数据库审计产品，能够多角度分析数据库活动，并对异常的行为进行告警通知、审计记录和事后追踪分析。该系统独立于数据库进行配置和部署，这种方式能够在不影响数据库的前提下达到安全管理的目的。

1. 产品概述 产品的系统架构如下图所示：
网络引擎：是系统的核心组件，主要负责处理对数据库访问流量及SQL语句的解析，包括流量采集加速、数据捕获、协议识别、协议解析、SQL语句重写与分类、数据库入侵检测等功能模块；

审计中心：主要负责对审计日志、告警等信息的检索、分析和报表统计；

WEB控制台：包括策略管理、网络管理、数据库管理、数据维护、日志管理、账号管理等配置模块。

2. 特色与优势 （1）. 全面记录数据库访问行为 基于精细的数据库协议解析和专业的SQL语法、词法分析，具备全面的数据库访问审计能力，具体表现在以下几个方面：
1) 记录的日志信息全 突破了传统审计产品5要素的审计能力瓶颈，将可审计要素提升至7要素：
Ø Who——应用用户、数据库用户、主机名称、操作系统帐号等；

Ø What——访问了什么对象数据，执行了什么操作；

Ø When——每个事件发生的具体时间；

Ø Where——事件的来源和目的，包括IP地址、MAC地址等；

Ø How——通过哪些应用程序或第三方工具进行的操作；

Ø Range——该操作执行的影响范围，如查询、修改或删除的记录行数；

Ø ResultSet——返回结果集，如查询操作的返回内容，这将是审计人员进行线索追踪分析的有力取证材料。

2) 审计的SQL语句类型全 支持对所有标准的SQL语句进行审计，包括数据查询语言DQL、数据操纵语言DML、数据定义语言DDL、数据库控制语言DCL。

3) 支持的数据库类型全 能够保护所有常见的数据库类型，支持国外数据库Oracle、IMB DB2、Microsoft SQL Server、MySQL和PostgreSQL，以及国产数据库达梦数据库、人大金仓Kingbase和南大通用GBase。

（2）. 准确关联应用用户 绝大多数用户环境中的数据库服务器均为三层部署环境，即客户端-Web服务器-数据库服务器，终端用户通过Web服务器实现对数据库的访问操作。传统的数据库审计产品只能通过时间戳等信息来关联前端的Web访问和后端的数据库请求，在并发量较大的情况下关联的准确率直线下降。

通过对前端应用访问和后端数据库操作请求进行多层业务关联审计，实现访问者信息的完全追溯，包括发起操作的应用用户、URL、客户端的IP、请求报文等信息，精确地定位事件发生前后所有层面的访问及操作请求，使得追责、问责到人成为现实，真正做到数据库操作行为可监控、违规操作可追溯。

DAS提供的关联方法，避免了传统数据库审计产品关联中基于时间匹配所造成的大量错审现象，使应用用户与SQL语句实现实时、准确关联；
也使针对应用用户危险行为描述、审计和实时告警成为可能。

应用用户关联审计日志 另外，DAS能够准确关联SQL语句中的参数、准确识别SQL语句的操作对象，方便管理员各个维度的精准定位。

（3）. 快速处理日志信息 全面、准确记录数据库访问行为的基础之上，系统将产生大量的日志信息，接下来要考量的便是产品的日志处理性能，海量日志能否快速入库、能否快速检索，成为审计类产品的价值能否得到体现的最终衡量指标。

具备卓越的日志与告警信息处理性能。首先，DAS通过专有的数据库索引技术，大大提高了日志检索速度，在库存上亿条日志的基础之上，随意检索数据库中的日志信息，响应时间在10秒以内。其次，DAS采取批量入库技术，有效保障海量日志的快速入库，以大型的金融行业客户为例，在高达万条级每秒的日志量环境中，日志入库的延迟不超过1分钟。

（4）. 节省日志存储空间 客户购买审计类产品的主要原因之一，就是为了满足合规要求，等保、分保等法规法案对日志保存时间均有明确要求，一般要求至少保存3个月的审计日志信息，因此在有限的存储空间内能否保存尽量多、时间跨度尽量长的审计日志信息，成为衡量数据库审计产品优劣的又一个重要指标。

基于精细的SQL语法分析，采取SQL归一化处理技术，只保留SQL语句本质特征的一份副本，在此基础之上对于每个具体的SQL语句，仅需保存动态的条件值或参数即可，因此在同样的存储空间中，DAS能够存储大量的日志数据。以2TBG的硬盘为例，在5000万条/秒的日志量环境中，DAS能够轻松地存储6个月以上的日志。

（5）. 产品价值 1) 满足合规要求：帮助用户满足防统方、等保、分保等合规要求；

2) 提高监管能力：全面、准确地展示、汇报数据库访问情况、安全风险和执行效率，方便管理员全方位掌控数据库运行情况，提高对数据库安全监管的能力；

3) 加快响应速度：实时记录、分析和统计数据库访问行为和安全风险的告警信息，方便管理员在数据库安全事件发生后第一时间采取管控措施，加快对数据库安全事件的响应速度；

4) 解决追责难题：准确的应用用户关联优势，切实、有效地解决了三层数据库部署环境中，安全事件发生后精准定位、追责到人的难题。

(八) 终端安全管理系统 1. 主要功能特点 （1）. 信息收集 终端可以收集终端机器上的安全状况，包括：漏洞修复情况、病毒木马情况、危险项情况、以及各种软硬件情况等。

这些情况会汇集到控制中心，管理员可以通过相应功能，了解网内所有终端的安全情况、硬件情况以及软件安装情况等。

（2）. 立体防护 具有漏洞修复、病毒木马查杀、黑白名单、硬件准入、软件准入、上网行为管理等多样化的防护手段，从准入、防黑加固、病毒查杀、软件和上网行为控制等多个层次，为企业构建立体防护网，确保企业终端安全。

（3）. 集中管控 控制中心为管理员提供了统一修复漏洞、上网管理、统一杀毒、统一升级、软件统一分发卸载等很多管理功能，管理员可以通过控制台直接对网内所有终端进行统一管控。

（4）. 系统架构 第一层：安全控制中心 安全控制中心有两大功能，一方面提供了管理台，采用B/S架构，管理员可以随时随地的通过浏览器打开访问，进行管理和控制。主要有设备分组管理、策略制定下发、全网健康状况监测、统一杀毒、统一漏洞修复以及各种报表和查询等。

另一方面，提供了很多的基础服务，如：云查杀服务、终端升级服务、数据服务、通讯服务等。

第二层：客户端 客户端，部署在需要被保护的服务器或者终端，执行最终的杀毒扫描、漏洞修复等安全操作。并向安全控制中心发送相应的安全数据。

2. 详细功能描述 功能 详细描述 支持运行环境 控制中心支持windows 2003 sp2、windows 2008、windows xp sp3、windows vista、windows 7、windows 8等操作系统；
终端支持windows 2003 sp2、windows 2008、windows xp sp3、windows vista、windows 7、windows 8等操作系统。

安全控制功能 控制中心：采用B/S架构管理端，支持多级管理，具备设备分组管理、策略制定下发、全网健康状况监测、统一杀毒、统一漏洞修复、网络流量管理、终端软件管理、硬件资产管理以及各种报表和查询等能力。

客户端：执行最终的木马病毒查杀、漏洞修复等安全操作。并与安全控制中心通信，提供控制中心管理所需的相关数据信息。

支持开机安全配置：按安全配置项显示展示全网存在的安全配置项和涉及的终端，可开启指定或全部安全配置项；
按终端显示展示全网每个终端存在的安全配置项，可开启安全配置项。

安全管理能力 1、支持插件清理，按插件显示展示全网存在的插件和涉及的终端，可清理指定或全部插件、加入信任；
按终端显示展示全网每个终端存在的插件，可清理插件 2、支持全网终端体检，可在集中管理端主页进行全网体检，安全监控所有终端状态 3、支持开机加载软件优化功能 4、支持私有云查杀，预置全面的白名单，终端威胁统一到控制中心查询黑白并进行查杀 5、支持自定义安全策略，终端将根据安全策略的定义自动修复各类威胁；
支持将自动处理和未处理的记录报告给管理员；

6、可设置指定或全网终端使用U盘的权限，分为可读写、只读和禁用三种权限；
可查询指定时间范围内终端使用U盘的情况 7、支持信任白名单文件，通过信任文件白名单可以管理企业网络内信任的程序或文件，加入信任后终端不再将此文件视为威胁 8、支持网址黑名单，可设置终端不能访问的网址URL，终端访问这些URL时会被拦截，并展示拦截记录 终端管理功能 1、支持终端密码保护，设置密码后，终端安装、退出或卸载相应软件，都需要输入正确的密码方可执行 2、统一锁定全网终端的浏览器主页，防止恶意程序篡改 3、设置终端的升级更新和数据下载的模式。预设三组模式，智能模式：终端可以访问外网时，向外网升级；
不可以访问外网时，则通过升级服务器统一升级；
统一模式：终端通过升级服务器统一升级；
独立模式：终端只能通过外网升级 4、可以对终端实行准入控制，未安装网络安全管理软件的终端不能访问内外网，只有安装了网络安全管理软件的终端才能访问对应的内外网；

病毒及恶意代码检测能力 1、具备公有云检测能力，并且具有足够的公有云特征储备；

2、具备私有云检测能力，私有云需提供非白即黑策略的文件白名单终端控制能力。

3、在断网状态下具备不依赖病毒库特征的情况下对未知病毒查杀的能力。

4、具备虚拟沙箱技术 1、对指定分组或全网终端设置定时杀毒策略，满足策略后终端将执行扫描 2、可查看全网终端杀毒软件的安装状态。

3、可展示全网存在的木马和涉及的终端，可查杀指定或全部木马、加入信任；
按终端显示展示全网每个终端存在的木马，可查杀木马。

上网行为管理 1、可让指定或全网终端安装流量管理驱动 2、可让指定或全网终端开启或关闭流量管理驱动 3、可设置统计和限速是否过滤局域网流量 4、可统计全网终端的上传、下载速度及上传，下载量 5、可限制指定或全网终端的上传及下载速度 软件管理 1、支持软件监控，按软件显示展示全网安装的软件和涉及的终端；
按终端显示展示全网每个终端安装的软件 2、支持软件分发，向指定或全网终端分发软件，支持终端接收软件后自动运行，支持定义软件运行参数 3、支持文件黑白名单，管理员自定义文件的黑白属性，黑名单中的文件不能运行，白名单中的文件可以运行 4、支持文件审计，对全网终端的所有文件保持完整的审计，方便鉴定恶意软件从何而来并立即阻止恶意软件继续运行 硬件管理 1、支持硬件监测，按终端维度展示终端的硬件，包括电脑型号、CPU、内存、硬盘、设备SN等；
可监控CPU温度、硬盘温度和主板温度 2、支持硬件变更，展示终端硬件变动记录，可确认变更或删除记录 3、支持基准变更，将指定或全部硬件变更记录加入基准，下次判断硬件是否有变更时根据新的基准来判断 补丁分发与漏洞修复 1、要求产品本身具备漏洞发现及修复功能。

2、要求产品生产公司具备微软热补丁修复功能 3、产品具备漏洞集中修复，强制修复，定时修复 4、产品具备漏洞集中修复过程中的流量控制和保证带宽 5、补丁分发支持服务端带宽限流与客户端P2P补丁分发加速 6、可显示展示全网存在的漏洞和涉及的终端，可修复指定或全部漏洞、忽略指定或全部漏洞；
按终端显示全网每个终端存在的漏洞，可取消忽略原来忽略过的漏洞，可设置预先忽略补丁，可设置关闭 windows update，提供蓝屏修复功能；

其他功能 1、支持控制中心数据恢复与备份 2、支持IP-MAC绑定 3、可开放数据接口，以便客户与其他的管理系统集成，进行报表的统一查询和展示。

五. 信息安全专业服务 (一) 安全规划服务 1. 总体架构 （1）. 思路和方法 根据医院信息系统的实际情况，我们用安全域方法论为主线来进行设计，从安全的角度来分析业务可能存在的安全风险。一般常常理解的安全域（网络安全域）是指同一系统内有相同的安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的子网或网络，且相同的网络安全域共享一样的安全策略。

安全域的原则 安全域的理论和方法所遵循的根本原则：
①　 业务保障原则：安全域方法的根本目标是能够更好的保障网络上承载的业务。在保证安全的同时，还要保障业务的正常运行和运行效率。

②　 结构简化原则：安全域方法的直接目的和效果是要将整个网络变得更加简单，简单的网络结构便于设计防护体系。比如，安全域划分并不是粒度越细越好，安全域数量过多过杂可能导致安全域的管理过于复杂和困难。

③　 等级保护原则：安全域的划分要做到每个安全域的信息资产价值相近，具有相同或相近的安全等级、安全环境、安全策略等。

④　 立体协防原则：安全域的主要对象是网络，但是围绕安全域的防护需要考虑在各个层次上立体防守，包括在物理链路、网络、主机系统、应用等层次；
同时，在部署安全域防护体系的时候，要综合运用身份鉴别、访问控制、检测审计、链路冗余、内容检测等各种安全功能实现协防。

⑤　 生命周期原则：对于安全域的划分和布防不仅仅要考虑静态设计，还要考虑不断的变化；
另外，在安全域的建设和调整过程中要考虑工程化的管理。

安全域划分的方法 信息安全保障是一个极为复杂、系统性和长期性的工作。设计安全域体系及实施方案时一般应遵循以下四个步骤：
①　 清晰定义安全模型：针对信息系统的安全属性定义一个清晰的、可描述的安全模型。安全模型是根据信息系统的总体功能特性、安全价值以及面临威胁的相似性，结合分析系统计算区域、用户域、网络域和安全服务区域四大特性来形成安全模型。

②　 合理划分安全等级：在对信息系统进行等级化的基础上，设计等级化的保障措施，使之一一对应，从而形成整体的等级化安全保障体系。

③　 科学设计防护深度：采用多层保护的深度防御策略，实现安全管理和安全技术的紧密结合，从而形成一个具有多重深度保障手段的防护网络，构成一个具有多重深度保障、抗打击能力和能把损坏降到最小的安全体系。

④　 确保可实施易评估：综合运用用户访谈、资产普查、风险评估等手段，科学设计安全体系框架，确保可实施易评估。

安全域的划分除了遵循上述根本原则和步骤外，还需根据业务特点、地域部署方式、管理模式等因素综合考虑划分安全域、安全子域、三级安全区域。

在企业或组织内部，典型的安全域划分方法应综合考虑以下内容：
①　 横向安全域划分：按照企业或组织与外部的连接关系，将外部连接划分为不同的安全域，如外部单位接入域、互联网接入域等；

②　 纵向安全域划分：按照地域和管理方式，从纵向划分为公司总部、省公司和地市分公司三个层面的安全子域，在本级应重点考虑内部单位接入域，包括上联和下联；

③　 内部安全域划分，按照系统承载业务重要性等级、网络结构、设备所处位置或连接方式、内部管理模式，将企业内部可以划分为核心域、公共区、终端接入域、内部接入域等。

（2）. 总体安全策略设计 我们以信息系统详细描述文件、信息系统安全等级定级报告、风险评估报告结果为依据，形成机构纲领性的安全策略文件，包括确定安全方针，规定安全策略，以便结合等级保护基本要求和安全保护特定需求，构建机构信息系统的技术保护框架和安全管理体系。总体框架如下：
总体安全策略主要包括以下内容：
Ø 安全方针 Ø 安全策略 Ø 安全组织机构划分策略 Ø 业务系统分级策略 Ø 数据信息分级策略 Ø 安全域互连策略 Ø 信息流控制策略 （3）. 各级系统安全技术措施设计 根据等级保护基本要求、安全需求分析报告、机构总体安全策略文件等，针对安全域，提出需要实现的安全技术措施，可以形成机构特定的系统安全技术保护框架，用以指导信息系统分等级保护的具体实现。

（4）. 系统整体安全管理策略设计 根据等级保护基本要求、安全需求分析报告、机构总体安全策略文件等，调整原有管理模式和管理策略，既从全局高度考虑为每个等级信息系统制定统一的安全管理策略，又从每个信息系统的实际需求出发，选择和调整具体的安全管理措施，最后形成统一的系统整体安全管理体系。

（5）. 信息系统安全建设总体方案 在完成安全域划分、总体安全策略设计、各级系统安全技术措施设计、系统整体安全管理策略设计的基础上，我们将安全总体设计工作的结果文档化，最后形成一套指导机构信息安全工作的指导性文件。

信息系统安全建设总体方案的主要内容包括：
Ø 信息系统概述；

Ø 总体安全策略；

Ø 信息系统等级化分析；

Ø 信息系统分级保护模型；

Ø 信息系统技术防护策略；

Ø 信息系统安全管理与安全保障策略。

2. 安全建设规划 安全建设报告主要包括：安全建设目标、安全建设内容、安全建设方案 （1）. 安全建设目标确定 我们依据信息系统安全策略规划书、机构当前面临的机遇和挑战以及机构的安全建设资金状况确定各个时期的安全建设目标。

安全建设目标主要包括以下两方面内容：
Ø 信息化建设中长期发展规划和安全需求调查；

Ø 提出信息系统安全建设分阶段目标。

（2）. 安全建设内容规划 我们根据安全建设目标和信息系统安全总体方案书的要求，可以设计分期分批的主要建设内容，并将建设内容组合成不同的项目，阐明项目之间的依赖或促进关系。

确定主要安全建设内容 根据信息系统安全总体方案书明确主要的安全建设内容，对主要安全建设内容进行适当的分解。主要建设内容可以分解为以下内容：
Ø 安全基础设施建设；

Ø 网络安全建设；

Ø 系统平台和应用平台安全建设；

Ø 数据系统安全建设；

Ø 安全标准体系建设；

Ø 人才培养体系建设；

Ø 安全管理体系建设。

确定主要安全建设项目 通过组合安全建设内容为不同的安全建设项目，描述项目所解决的主要安全问题及所要达到的安全目标，对项目进行支持或依赖等相关性分析，对项目进行紧迫性分析，对项目进行实施难易程度分析，对项目进行预期效果分析，描述项目的具体工作内容、建设方案，形成安全项目列表。

（3）. 安全建设方案设计 根据建设目标和建设内容，在时间和经费上对安全建设项目列表进行总体考虑，分到不同的时期和阶段，设计建设顺序，进行投资估算，形成安全建设方案或安全建设计划，重点是形成近期的可行的安全建设方案或安全建设计划。

安全建设方案主要包括以下内容：
Ø 规划建设的依据和原则；

Ø 规划建设的目标和范围；

Ø 信息系统安全现状；

Ø 信息化的中长期发展规划；

Ø 信息系统安全建设的总体框架；

Ø 安全技术体系建设规划；

Ø 安全管理与安全保障体系建设规划；

Ø 安全建设投资估算；

Ø 信息系统安全建设的实施保障等内容。

(二) 安全评估服务 1. 服务描述 根据用户需求，对用户单位的WEB应用信息系统进行安全扫描，包括对信息系统进行的操作与应用进行脆弱性扫描，找到各个层面上的脆弱性漏洞，分析各脆弱性的利用可能性和危害程度，并为用户提供漏洞统计、漏洞分类、漏洞详情等信息，最终给出对被测系统安全扫描报告。

2. 安全扫描工具 1) 支持对Windows系统漏洞进行扫描评估检查；

2) 支持对Linux、Unix系统漏洞进行扫描评估检查；

3) 支持对网络设备和防火墙等系统漏洞进行扫描评估检查；

4) 支持对数据库、中间件系统的漏洞进行扫描评估检查；

5) 支持对邮件、操作系统等本地系统安全进行扫描评估检查；

6) 支持对各种系统的远程服务进行扫描评估检查；

7) 支持对各种系统服务项进行扫描评估检查；

8) 支持对Oracle、MySQL、SQLserver等的SQL注入攻击漏洞进行扫描评估检查；

9) 支持对XSS跨站脚本攻击漏洞进行扫描评估检查；

10) 支持对Apache、Tomcat、IIS等系统漏洞进行扫描评估检查；

11) 支持对网络爬虫、扫描器的信息泄露、目录遍历等攻击方式进行扫描评估检查；

12) 支持对CSRF、Shell上传文件等漏洞进行扫描评估；

13) 支持五种以上Web扫描深度策略，高危漏洞、中危漏洞、低危漏洞、SQL注入漏洞、跨站脚本攻击漏洞等；

14) 支持三种以上扫描类型，深度扫描、普通扫描、快速扫描等；

15) 支持公有云自动特征库升级服务；

16) 信息安全等级保护关键技术国家工程实验室参建单位；

17) 系统支持ping、tcpdump、ifconfig、url测试等网络工具；

18) ▲★要求提供上述各功能截图说明或相关证明文件；

19) 产品为B/S架构，使用简单方便。

(三) 安全加固服务 1. 服务描述 一般的网络系统和应用服务在安装调通后，会留下很多的安全隐患；
例如：没有打安全补丁、安装时为方便使用简单口令而后来又不更改、没有进行适当的目录和文件权限设置、没有进行适当的用户权限设置、打开了过多的不必要的服务等等，这些都为黑客的入侵提供了便利之门。安全加固服务协助用户进行信息系统加固，消除信息系统中存在的各种安全隐患，确保信息系统及时更新，先于黑客的攻击进行加固，提高安全性。

安全加固方案 风险规避方案 提交实施申请单 用户方确认 安全加固 （见图2）
同期记录 现场培训 下次评估确认 加固报告 启用风险规避方案/恢复 加固异常 继续加固 修改方案 放弃加固 实施加固 新加固方案 一切正常 开 始 图 安全加固流程图 安装安全补丁 安全配置 安全机制 文件系统 用户管理 网络及服务 其它配置文件 加密通信 数字签名 日志/备份 访问控制 安全设备策略定制 资料文档 现状记录及备份 图 安全加固流程图 2. 服务内容 根据客户网络的服务器及网络的拓扑情况，有针对性地提出信息系统安全加固建议及加固实施报告。安全加固服务主要分为系统安全加固、网络安全加固、应用服务加固等。具体如下：
l 操作系统安全加固 l WEB安全加固 l DNS安全加固 l 网管软件安全加固 l 数据库安全加固 l 路由器安全加固 l 交换机安全加固 l 防火墙安全加固 l (四) 安全巡检服务 指按约定周期性，就指定的信息系统范围进行安全检查，来发现信息系统在日常运维过程中可能存在的安全隐患，分析系统运维过程的不足，并给出相应的安全解决建议。

安全巡检服务体现了日常安全运维工作的规范化和专业化，根据客户信息系统的重要程度按不同周期进行持续的安全检查，使用户充分了解系统安全的实时状况。避免因为客户自身技术力量不足而影响信息系统的安全运行。

安全巡检服务能使客户的信息系统安全运行，向合规化、专业化、体系化和标准化发展，使客户能清晰掌握自身信息系统的安全状况，轻松地管理系统出现的安全问题，有更多精力去更专注地开展业务，提高经营效益。

(五) 应急响应服务 1. 服务承诺 本次项目中，我们提供7*24小时安全事件应急响应服务，30分钟内作出响应，并在6个小时内到达现场。

安全应急响应服务为广东本地服务，我们将成立安全应急响应服务小组，派一名具有信息安全领域专业认证的安全专家加入小组。

本项目的应急响应服务是指信息安全事件的应急服务，但有责任承担其他IT事件应急响应必要的配合工作。

应急响应服务是医院信息系统安全的重要组成部分，目的是保证信息系统的业务连续性，消除信息系统在业务活动中出现各种意外的中断，尤其是保护关键业务免受重大故障或灾难的影响。

应急响应服务通过预防措施和恢复控制相结合的方式，使由意外事故（如自然灾害、事故、设备故障和故意行为）引起的破坏减少至可接受的水平。

2. 安全事件预警 （1）. 安全事件定义 安全事件的应急响应是指针对已经发生或可能发生的安全事件进行监控、分析、协调、处理、保护资产安全属性的活动。良好的安全事件响应遵循事先制定的流程和技术规范。

安全事件应急响应工作的特点是高度的压力，短暂的时间和有限的资源。应急响应是一项需要充分的准备并严密组织的工作。它必须避免不正确的和可能是灾难性的动作或忽略了关键步骤的情况发生。它的大部分工作应该是对各种可能发生的安全事件制定应急预案，并通过多种形式的应急演练，不断提高应急预案的实际可操作性。具有必要技能和相当资源的应急响应组织是安全事件响应的保障。参与具体安全事件应急响应的人员应当不仅包括应急组织的人员，还应包括安全事件涉及到的业务系统维护人员、设备提供商、集成商和第三方安全应急服务提供人员等，从而保证具有足够的知识和技能应对当前的安全事件。应急响应除了需要技术方面的技能外，还需要管理能力，相关的法律知识、沟通协调的技能、写作技巧、甚至心理学的知识。

在系统通常存在各种残余风险的客观情况下，应急响应是一个必要的保护策略。同时需要强调的是，尽管有效的应急响应可以在某种程度上弥补安全防护措施的不足，但不可能完全代替安全防护措施。缺乏必要的安全措施，会带来更多的安全事件，最终造成资源的浪费。

安全事件应急响应的目标通常包括：采取紧急措施，恢复业务到正常服务状态；
调查安全事件发生的原因，避免同类安全事件再次发生；
在需要司法机关介入时，提供法律任何的数字证据等。

（2）. 安全事件分级 Ø 严重度1级 一个关键系统无法运作，大范围人群受到影响，一项关键应用失效，或出现安全问题，或出现威胁生命的情形，同时带来以下影响：
1) 业务运行受到了严重的影响；

2) 涉及大量人员；

3) 一项关键应用失效；

4) 安全受到威胁；

5) 问题/故障极其明显并被媒体获知；

6) 重要的服务完全终止。

Ø 严重度2级 一个关键系统的运行有风险但负面影响尚未出现，或存在问题但不是关键问题或可以采取补救方案解决该问题，同时带来以下影响：
1) 业务运行存在风险但尚未发生负面影响；

2) 涉及少量人员；

3) 一项关键应用存在问题，但应用仍可运行；

4) 有潜在的安全威胁；

5) 媒体很有可能发现这一问题/故障；

6) 对于管理网系统，有50%以上的用户受到影响；

7) 某一项关键应用因出现问题完全关闭并导致该应用的所有用户受到影响；

Ø 严重度3级 系统的某个分系统无法工作或存在问题，同时带来以下影响：
1) 系统的某个单元存在问题，且不影响系统运行，但需要解决；

2) 某个用户受到影响，无法正常履行其职责，且没有补救方案；

3) 某一项关键应用出现问题部分关闭，导致一些用户受到影响，但已经采取补救方案；

4) 该类问题在局部层面进行解决。

Ø 严重度4级 单个用户受到影响，但存在补救方案，同时带来以下影响：
1) 单个用户受到影响，不能正常履行其职责，但有补救方案。

2) 该类问题在现场层面进行解决。

（3）. 安全事件预警 安全事件预警机制是医院应急响应服务的重要环节，通过建立与完善信息安全事件监测、预测、预警。按照“早发现、早报告、早处置”的原则，加强对信息安全突发事件和可能引发信息安全突发事件的有关信息的收集、分析判断和持续监测。通过执行“以变应变，主动防御”的策略把安全预警与应急响应相结合尽可能将事件响应工作更多的放在事件真正发生之前。

3. 应急响应规范 为了在本次项目服务期间能以“最短时间、最高质量”完成应急响应工作，在医院应急响应子预案的框架下编制应急响应技术规范。此规范能够更好的配合应急响应预案的执行，并且在处理安全事件过程中能够起到技术标准及应急处理具体方法的作用。应急响应技术规范分别对应急响应流程中每个环节所用到的技术进行了阐述。整个文档由正文和附件两个文档组成，其中正文部分以应急响应方法学的六个阶段（准备、检测、抑制、根除、恢复和跟进）为主线顺序划分章节，并对安全事件响应过程中涉及的取证流程和工具进行了简要的说明。同时也应包括：关于安全攻防的具体技术内容。具体分为准备、检测、抑制、根除、恢复、跟进6个阶段内容。

4. 应急响应流程 （1）. 总体流程 （2）. 响应流程 1) 提供紧急安全事件响应热线电话/手机和专用的Email联系方式；

2) 在接到紧急安全响应请求后的1小时内，通过电话、专用Email或远程监测等多种方式，确定故障类型，定义故障等级。

3) 远程支持响应。

4) 对于能够通过电话或网络方式远程支持解决的重要故障，我们承诺在故障等级情况确定后尽快从远程帮助用户或由我方从远程修复系统，解决故障，使故障造成的损失减小到最小。

5) 在接到用户紧急安全响应请求后的1小时内，在远程不能确定安全故障类型或故障情况严重不能通过远程解决的严重故障情况下，我们承诺安排至少两人以上的技术人员到达现场解决问题，到达现场时间为2小时。

(六) 安全信息服务 1. 漏洞和补丁通报 为医院实时提供全球最新出现的安全漏洞和安全升级通告。

2. 技术行业动态周报 追踪和整理全球信息安全技术最新动态，产品和行业情况、安全厂商情况、安全标准与法规等内容。

(七) 安全培训服务 信息安全是动态发展的，黑客攻击手段在不断更新，新的病毒木马程序也不断产生。通过信息安全培训，帮助及时掌握最新的安全技术。通过专业公司的专业网络安全培训，可以了解网络安全基础知识；
熟练使用防火墙等安全产品；
熟悉解决网络安全故障的常用方法和手段；
熟练使用网络安全评估技术；
掌握网络安全加固的方法等。

(八) 信息化安全服务清单 服务类型 频率 内容 安全评估服务 4次/年 对系统和应用进行安全扫描评估，发现系统和应用存在的问题，提供安全整改建议。

安全巡检服务 4次/年 使用多种手段，对网络的网络设备、服务器、操作系统、应用系统进行周期性的安全扫描、手工检查、专家分析，并提交制定评估报告及加固建议。提供包括网络维护和评估、安全审计、监控和配置管理、对相关报告和分析活动的现场支持、分析并解决问题等服务。

安全加固服务 2次/年 协助进行系统和应用组件加固，消除存在的各种安全隐患，确保系统和应用及时更新，先于黑客的攻击进行加固，提高安全性。

应急响应服务 不限次 在发生紧急情况时，接到紧急事件报告后,启动应急响应服务体系，紧急出动应急响应服务，7*12快速响应，2小时内作出响应，并在8个小时内到达现场。赶到现场，恢复系统和应用的正常工作，并协助检查入侵来源，提供事故分析报告和安全建议及服务，提供及时、全面的安全问题解决方案。

安全顾问服务 随时 对安全现状提出合理性的建议，配合制订基于网络环境、应用需求、业务流程、组织结构和战略目标的安全策略与实施计划，并详细说明实现安全策略的方式方法。提供包括安全管理体系设计、安全技术选择和推荐、安全管理制度的制定、灾难恢复计划咨询等服务。

安全信息服务 不限 提供及时的最新漏洞和安全动态。

安全培训服务 1次/年 提供一次有针对性的专业信息安全培训，培训课程内容及时间安排由双方另行协商议定。

六. 信息安全建设方案清单 序号 名称 功能要求 数量 品牌/报价 一、安全设备及防护软件 1.1 网络防火墙 下一代防火墙，2U机箱，最大配置为12个接口，至少配备4个10/100/1000BAST-T接口和2个可插拔的SFP扩展口；

整机吞吐量：12 Gbps 最大并发数：180万 1套 网神/天融信 1.2 Web应用 防护系统 标准机架式设备，4*10/100/1000M电口，HTTP请求/秒≥7500，TCP并发连接≥50万，延时亚毫秒，吞吐量（Mbps）≥500，无限站点，注入攻击/跨站脚本攻击/恶意编码(网页木马)/缓冲区溢出/信息泄露/应用层DOS/DDoS攻击/WEB应用加速/敏感信息泄露防护/网页防篡改 1套 天泰/绿盟 1.3 上网行为 管理系统 标准机架式设备，4*10/100/1000M电口，HTTP请求/秒≥7500，TCP并发连接≥80万。

1套 深信服/网康 1.4 运维管理 审计系统 ≥6个10/100/1000自适应以太网口，支持Console口管理；
标配 2T硬盘；
图形并发会话数≥300, 字符型并发会话数≥1000；
要求配置300个主机/设备审计节点许可；

采用B/S结构，无需安装任何代理 1套 网神/绿盟 1.5 数据库审计系统 （防统方系统）
2U机箱，6个以上1000M端口；
吞吐量（M/sec）≥2000Mbps；
峰值处理能力≥18000条/秒；
被审计数据库实例数≥4；
根据任意sql条件查询性能≥1000万条/秒；
支持主流数据库 1套 绿盟/安恒 1.6 终端安全 管理系统 1个管理中心+50个服务器端+1500个客户端 1套 360/趋势 二、安全咨询、专业服务 2.1 IT流程规范化改进咨询服务 1.ISO9001质量管理体系标准要求；

2.三甲医院信息化管理标准要求；

3.ISO20000-1信息技术管理体系标准要求；

4.医院现有的信息化管理制度规范。

以流程规范为导向、以服务对象为中心的方法，提高IT服务的能力和水平。

1项 2.2 信息安全 专业服务 包含安全规划、安全评估、安全加固、应急响应、安全信息、安全培训等服务内容 1项 — END —