【正文】 .................................................................. 84 客戶服務(wù)條款 ................................................................................................ 87 第 7 章 技術(shù)偏離表 .......................................................................................................105 中國(guó)農(nóng)業(yè)科學(xué)院圖書(shū)館項(xiàng)目專用設(shè)備（網(wǎng)絡(luò)安全設(shè)備、工作站、計(jì)算機(jī)終端）采購(gòu) 項(xiàng)目（第 3 包） －投標(biāo)書(shū) 中國(guó)電信集團(tuán)系統(tǒng)集成有限責(zé)任公司 5 第 1章 項(xiàng)目概述 設(shè)計(jì)目標(biāo) 中國(guó)農(nóng)業(yè)科學(xué)院新圖書(shū)館是開(kāi)放性、綜合性的現(xiàn)代化農(nóng)業(yè)圖書(shū)館，具有保存文化遺產(chǎn)、集散農(nóng)業(yè)信息、服務(wù)農(nóng)業(yè)科技等多種職能，中文信息保障率達(dá)到 90%以上，外文信息保障率達(dá)到 80%以上。 設(shè)計(jì)思路 根據(jù)本項(xiàng)目的實(shí)際要求，網(wǎng)絡(luò)安全系統(tǒng)的 建設(shè) 需 要 緊密 圍繞 中國(guó)農(nóng)業(yè)科學(xué)院新圖書(shū)館 業(yè)務(wù)系統(tǒng) 的特點(diǎn)，以“劃分區(qū)域，突出重點(diǎn)；業(yè)務(wù)為主，加強(qiáng)監(jiān)管；符合實(shí)際 、綜合防范”的思路進(jìn)行建設(shè)，在建設(shè)時(shí) 要重點(diǎn)考慮 本項(xiàng)目網(wǎng)絡(luò)系統(tǒng)與中國(guó)農(nóng)業(yè)科學(xué)院現(xiàn)有網(wǎng)絡(luò)系統(tǒng)的 無(wú)縫 對(duì)接 ，與 中國(guó)農(nóng)業(yè)科學(xué)院各單位之間搭建安全性更高的專用安全網(wǎng)絡(luò) 。防火墻技術(shù)和產(chǎn)品都得到了巨大的發(fā)展。 多核架構(gòu)不僅僅是更換為多核 CPU 處理器，它是融合多項(xiàng)技術(shù)突破的一整套體系架構(gòu)： ? 多核 CPU 處理器，打破了性能對(duì)頻率的絕對(duì)依賴，在同樣的空間內(nèi)實(shí)現(xiàn)更多的計(jì)算功效； ? 高效中斷分配機(jī)制，使得每個(gè)核上的中斷次數(shù)大大減少，大大提高數(shù)據(jù)包處理能力，降低對(duì)單包的處理時(shí)間限制； ? 從外部的共享式總線變?yōu)閮?nèi)部高速總線和點(diǎn)對(duì)點(diǎn)高速總線，如 16 速PCIE 總線數(shù)據(jù)處理能力可以達(dá)到 64Gbps； ? 并行多通道的高速內(nèi)存訪問(wèn)技術(shù)，如四通道 DDR II 667 MHZ 內(nèi)存接口可以達(dá)到 ，突破內(nèi)存訪 問(wèn)速率限制； ? 多核架構(gòu)在以上技術(shù)上的突破，打破了單核架構(gòu)下的性能瓶頸，使得其處理性能大幅提高，輕松超越 ASIC 和 NP。我們可以從下面的分析看到一 個(gè)高效的并行操作系統(tǒng)對(duì)于系統(tǒng)性能的影響。 合理的任務(wù)分解方案使得不同任務(wù)相對(duì)獨(dú)立，既降低了串 行執(zhí)行比例，也減少了核間通信的需求。 無(wú)鎖編程是減少核間通信的另一個(gè)思路，通過(guò)精心設(shè)計(jì)的數(shù)據(jù)結(jié)構(gòu)，兩個(gè)核可以完全不進(jìn)行任務(wù)同步，同時(shí)又能協(xié)同進(jìn)行工作。這些新的應(yīng)用不僅僅占用了大量的網(wǎng)絡(luò)帶寬，造成網(wǎng)絡(luò)擁塞，更可怕的是迅雷等即時(shí)通 訊軟件協(xié)議以及其他應(yīng)用于互聯(lián)網(wǎng)的協(xié)議已經(jīng)成為了惡意者實(shí)施攻擊的承載協(xié)議。而網(wǎng)絡(luò)結(jié)構(gòu)越來(lái)越復(fù)雜，網(wǎng)絡(luò)接入方式越來(lái)越靈活，網(wǎng)絡(luò)內(nèi)部主機(jī)越來(lái)越多，新的應(yīng)用層出不窮，對(duì)外提供的服務(wù)也 越來(lái)越豐富，這給網(wǎng)絡(luò)管理員帶來(lái)了前所未有的壓力。統(tǒng)計(jì)各種新 應(yīng)用和使用的端口給管理員帶來(lái)了巨大的工作量，更為嚴(yán)重的是，從統(tǒng)計(jì)新的應(yīng)用和端口，到最終調(diào)整安全策略需要很長(zhǎng)的時(shí)間，這將會(huì)大大降低網(wǎng)上辦公效率，對(duì)于那些商業(yè)類應(yīng)用，則會(huì)給用戶帶來(lái)巨大的經(jīng)濟(jì)損失。 網(wǎng)神 SecGate 3600 防火墻基于高性能、高穩(wěn)定性的多核處理器架構(gòu)硬件平臺(tái)和多核并行操作系統(tǒng)新一代 SecOS 推出的全線多核下一代防火墻產(chǎn)品。網(wǎng)神 SecGate3600 防火墻已獲得市場(chǎng)一致認(rèn)可，并在客戶群中有很好的口碑，連續(xù)數(shù)年取得多個(gè)獎(jiǎng)項(xiàng)： ? 20xx 中國(guó)信息安全技術(shù)創(chuàng)新獎(jiǎng)（ SecOS 安全操作系統(tǒng)） ? 20xx 年度中國(guó) CSO 信賴獎(jiǎng)（ SecGate 防火墻） 中國(guó)農(nóng)業(yè)科學(xué)院圖書(shū)館項(xiàng)目專用設(shè)備（網(wǎng)絡(luò)安全設(shè)備、工作站、計(jì)算機(jī)終端）采購(gòu) 項(xiàng)目（第 3 包） －投標(biāo)書(shū) 中國(guó)電信集團(tuán)系統(tǒng)集成有限責(zé)任公司 11 ? 20xx 中國(guó)信息安全值得信賴品牌獎(jiǎng) ? 20xx 中國(guó)信息安全優(yōu)秀防火墻產(chǎn)品獎(jiǎng) ? 中國(guó)計(jì)算機(jī)報(bào) 20xx 年度編輯選擇技術(shù)之星（ SecGate 防火墻） ? 中國(guó)信息安全產(chǎn)業(yè)十大品牌企業(yè) ? 20xx20xx 中國(guó)防火墻市場(chǎng)創(chuàng)新產(chǎn)品獎(jiǎng) ? 20xx 年度中國(guó)信息安全值得信賴品牌獎(jiǎng) ? 20xx20xx 中國(guó)防火墻市場(chǎng)創(chuàng)新產(chǎn)品 ? 20xx 中國(guó)應(yīng)用安全最佳行業(yè)產(chǎn)品獎(jiǎng) ? 20xx 中國(guó)電腦商 500 強(qiáng)之供應(yīng)商 100 強(qiáng) ? 20xx 年度最值得 CSO 信賴的行業(yè)安全解決方案（電子政務(wù)） ? 20xx 年中國(guó)值得 CSO 信賴的信息安全企業(yè) ? 為奧組委提供產(chǎn)品及服務(wù)方案 技術(shù) 層面： 網(wǎng)神 SecGate3600 防火墻具備業(yè)內(nèi)最全面的 HA 技術(shù)，其基于路由的多機(jī)負(fù)載均衡技術(shù)領(lǐng)先于同行業(yè)防火墻產(chǎn)品，此項(xiàng)技術(shù)可以在保證硬件可用性的同時(shí)，保障傳輸鏈路的可靠性。 網(wǎng)神防火墻設(shè)備采用了可擴(kuò)展的硬件架構(gòu)，通過(guò)增加產(chǎn)品接口等方式可以擴(kuò)展設(shè)備整體性能，能夠滿足用戶未來(lái)幾年業(yè)務(wù)發(fā)展的需求。另外，網(wǎng)神防火墻還提供通過(guò) SSH 登錄對(duì)防火墻以命令行方式進(jìn)行遠(yuǎn)程管理的功能，此管理方式管理員有權(quán)進(jìn)行添加和刪除。超級(jí)管理員只能增加其他管理員賬號(hào)，配置管理員只能進(jìn)行設(shè)備的配置管理，日志管理員只能查看其他管理員操作的日志。 系統(tǒng)配置的導(dǎo)入導(dǎo)出 網(wǎng)神防火墻的導(dǎo)入導(dǎo)出功能便于管理員對(duì)整個(gè)防火墻的配置進(jìn)行備份，在需要的時(shí)候，可以離線調(diào)整后，重新導(dǎo)入防火墻即可即時(shí)生效。 擬態(tài)識(shí)別 —— 采用過(guò)程再現(xiàn)技術(shù)，模擬目標(biāo)環(huán)境實(shí)現(xiàn)攻擊語(yǔ)言解析，可以發(fā)現(xiàn)那些企圖以多變 shell 或字符替換方式進(jìn)行的攻擊企圖。 多個(gè)參數(shù)組合判斷事件 —— 對(duì)于一些復(fù)雜的事件，需要組合多個(gè)邏輯參數(shù)變量進(jìn)行判斷，任何一個(gè)單一變量都不是攻擊，但多個(gè)組合在一起，就形成完整的攻擊。 中國(guó)農(nóng)業(yè)科學(xué)院圖書(shū)館項(xiàng)目專用設(shè)備（網(wǎng)絡(luò)安全設(shè)備、工作站、計(jì)算機(jī)終端）采購(gòu) 項(xiàng)目（第 3 包） －投標(biāo)書(shū) 中國(guó)電信集團(tuán)系統(tǒng)集成有限責(zé)任公司 14 啟明星辰在天清入侵防御產(chǎn)品的技術(shù)研究上進(jìn)行了充分的考慮，結(jié)合入侵防御產(chǎn)品的發(fā)展方向和核心，將技術(shù)研究的重點(diǎn)聚焦在對(duì)應(yīng)用業(yè)務(wù)的深層防御上，特別是針對(duì)目前普及最為廣泛的 Web 業(yè)務(wù)的威脅防御能力，更是達(dá)到國(guó)際領(lǐng)先水平。天清入侵防御系統(tǒng)采用 VXID 專利技術(shù)，采用攻擊手法分析而非攻擊代碼特征分析的方法，可以準(zhǔn)確而全面的檢測(cè)和防御此類 Web 攻擊行為。 天清入侵防御系統(tǒng) 支持熱插拔的冗余雙電源，避免電源硬件故障時(shí)設(shè)備宕機(jī)，提高設(shè)備可用性 。 啟明星辰天清入侵防御系統(tǒng)的可擴(kuò)展性 本次投標(biāo)的天清入侵防御系統(tǒng) NDP1000 默認(rèn)提供 4 個(gè)電口及 4個(gè) SFP 插槽，該插槽可連接電口、單模光纖接口、多模光纖接口，方便將來(lái)網(wǎng)絡(luò)的擴(kuò)容及升級(jí)。 中國(guó)農(nóng)業(yè)科學(xué)院圖書(shū)館項(xiàng)目專用設(shè)備（網(wǎng)絡(luò)安全設(shè)備、工作站、計(jì)算機(jī)終端）采購(gòu) 項(xiàng)目（第 3 包） －投標(biāo)書(shū) 中國(guó)電信集團(tuán)系統(tǒng)集成有限責(zé)任公司 17 第 3章 系統(tǒng)集成方案 網(wǎng)絡(luò) 安全系統(tǒng)設(shè)計(jì)方案 網(wǎng)絡(luò) 安全系統(tǒng)設(shè)計(jì)方案的定位 《 網(wǎng)絡(luò) 安全系統(tǒng)設(shè)計(jì)方案》是為中國(guó)農(nóng)業(yè)科學(xué)院圖書(shū)館項(xiàng)目提供的防火墻與入侵防御系統(tǒng)的部署與策略設(shè)計(jì)思路。 邏輯隔離的需求 中國(guó)農(nóng)業(yè)科學(xué)院網(wǎng)絡(luò)內(nèi)部由不同的區(qū)域組成，每個(gè)區(qū)域?qū)崿F(xiàn)不同的應(yīng)用功能，屬于不同的安全等級(jí)，因此各區(qū)域之間需要通過(guò)部署邊界防護(hù)產(chǎn)品進(jìn)行邏輯隔離，通過(guò)部署網(wǎng)關(guān)級(jí)設(shè)備及策略配置，實(shí)現(xiàn)安全域間的邊界防護(hù)和訪問(wèn)控制手段。 多路部署 ，即選擇兩對(duì)接口配置為 Direct 接口，同時(shí)配置管理接口 IP 地址 ，部署示意圖如下圖所示： 中國(guó)農(nóng)業(yè)科學(xué)院圖書(shū)館項(xiàng)目專用設(shè)備（網(wǎng)絡(luò)安全設(shè)備、工作站、計(jì)算機(jī)終端）采購(gòu) 項(xiàng)目（第 3 包） －投標(biāo)書(shū) 中國(guó)電信集團(tuán)系統(tǒng)集成有限責(zé)任公司 20 圖示： 32IPS 部署方案一示意圖 如圖所示， eth0 和 eth2 連接外網(wǎng)， eth1 和 eth3 連接內(nèi)網(wǎng)， eth3 同時(shí)作為管理口。 IPS 部署策略建議 根據(jù) 中國(guó)農(nóng)業(yè)科學(xué)院新圖書(shū)館 互聯(lián)網(wǎng)接入 的主要功能和應(yīng)用，建議對(duì)此處部署的入侵防御系統(tǒng)設(shè)置策略如下： 1. 防御網(wǎng)絡(luò)蠕蟲(chóng)、木馬、黑客攻擊，防止網(wǎng)絡(luò)病毒等惡意流量的傳播，保護(hù)用戶網(wǎng)絡(luò)資源； 2. 根據(jù)中 國(guó)農(nóng)業(yè)科學(xué)院新圖書(shū)館 的應(yīng)用需求設(shè)置流量管理策略； 3. 對(duì)網(wǎng)絡(luò)中的主機(jī)系統(tǒng)漏洞進(jìn)行防護(hù)； 4. 配置 IM/P2P 策略，對(duì) IM/P2P 事件進(jìn)行檢測(cè) /阻斷，包括全部阻斷迅雷、 中國(guó)農(nóng)業(yè)科學(xué)院圖書(shū)館項(xiàng)目專用設(shè)備（網(wǎng)絡(luò)安全設(shè)備、工作站、計(jì)算機(jī)終端）采購(gòu) 項(xiàng)目（第 3 包） －投標(biāo)書(shū) 中國(guó)電信集團(tuán)系統(tǒng)集成有限責(zé)任公司 21 BT 下載和電驢（任意時(shí)間段），在線視頻和網(wǎng)絡(luò)游戲（上班時(shí)間段）， 控制敏感應(yīng)用對(duì)網(wǎng)絡(luò)帶寬的濫用； 5. 對(duì)關(guān)鍵業(yè)務(wù)服務(wù)及其設(shè)備提供安全防御，降低各種惡意行為構(gòu) 成的威脅； 6. 配置合理高效的防護(hù)策略，降低有害流量對(duì)網(wǎng)絡(luò)構(gòu)成的威脅。 防火墻 NAT 模式部署方案的最大特點(diǎn)是可以隱藏內(nèi)網(wǎng) IP 地址和網(wǎng)絡(luò)結(jié)構(gòu)，結(jié)合現(xiàn)有應(yīng)用的訪問(wèn)控制策略，一旦安全規(guī)則生效，外部人員幾乎無(wú)法通過(guò)網(wǎng)絡(luò)層面入侵內(nèi)部網(wǎng)絡(luò)。 13. 日志管理 在防火墻上開(kāi)啟日志記錄功能（建議安裝單獨(dú)的日志服務(wù)器），利用防火墻的日志功能記錄完整日志和統(tǒng)計(jì)報(bào)表等資料，尤其是流量日志、訪問(wèn)日志、管理日志等重要信息。 兩臺(tái)防火墻采用 透明模式部署，互為備份，通過(guò)防火墻對(duì)來(lái)自不同安全區(qū)域之間的流量進(jìn)行檢測(cè)和分析，控 制不同區(qū)域之間的互訪關(guān)系 ，保護(hù)內(nèi)部網(wǎng)絡(luò)系統(tǒng)穩(wěn)定運(yùn)行。尤其在復(fù)雜的網(wǎng)絡(luò)環(huán)境下，更能體現(xiàn)其優(yōu)勢(shì)。 7. 日志管理 在防火墻上開(kāi)啟日志記錄功能（建議安裝單獨(dú)的日志服務(wù)器），利用防火墻的日志功能記錄完整日志和統(tǒng)計(jì)報(bào)表等資料，尤其是流量日志、訪問(wèn)日志、管理日志等重要信息。 1. 作為部署在各安全域邊界的關(guān)鍵網(wǎng)絡(luò)安全設(shè)備，必須嚴(yán)格限 制對(duì)防火墻和入侵防御系統(tǒng) 的管理訪問(wèn)權(quán)限，定期對(duì)防火墻 和入侵防御系統(tǒng) 的訪問(wèn)控制策略進(jìn)行檢查和備份。 5. 建議最終用戶任命兩名防火墻管理員（一個(gè)主要的，一個(gè)輔助的），負(fù)責(zé)防火墻設(shè)備維護(hù)，確保防火墻管理的持續(xù)性。 9. 防火墻 和入侵防御系統(tǒng)的 管理員必須精通網(wǎng)絡(luò)理論，對(duì)網(wǎng)絡(luò)設(shè)計(jì)和安裝實(shí)施有豐富經(jīng)驗(yàn)，這樣防火墻 和入侵防御系統(tǒng) 才能被正確配置和適當(dāng)?shù)毓芾怼? 安全系統(tǒng)集成設(shè)計(jì)方案 我 方 將 在 安全 設(shè)備安裝上架以及整體集成前主動(dòng)與采購(gòu)人就集成方案的確定進(jìn)行溝通， 并根據(jù)多年在行業(yè)內(nèi)的經(jīng)驗(yàn)對(duì)采購(gòu)人提出的集成方案調(diào)整要求給予更專業(yè)以及更合理的意見(jiàn)，同時(shí) 全力配合采購(gòu)人提出的合理的集成方案調(diào)整要求。 防火墻 設(shè)備端口 本次投標(biāo)采用的網(wǎng)神 SecGate 3600 防火墻 G6079AA 標(biāo)配 10 個(gè)標(biāo)準(zhǔn)10/100/1000BaseT 自適應(yīng)以太網(wǎng)電口和 6 個(gè) SPF 1000M 多模 LC 光模塊，滿足本次招標(biāo)的需求，并且還具備 4 個(gè) SPF 擴(kuò)展插槽，可配置 10/100/1000BaseT 自適應(yīng)以太網(wǎng)電口模塊和 1000M 多模 LC 光模塊，滿足用戶未來(lái)的發(fā)展需求。 1000BASET（ 符合 標(biāo)準(zhǔn)）是在雙絞線上傳送 1000Mb/s 基帶信號(hào)的以太網(wǎng)，稱為吉比特以太網(wǎng)（又稱為千兆以太網(wǎng)）。 可以滿足和 中國(guó)農(nóng)業(yè)科學(xué)院 現(xiàn)有網(wǎng)絡(luò)系統(tǒng)在交換層面上進(jìn)行無(wú)縫對(duì)接。 中國(guó)農(nóng)業(yè)科學(xué)院圖書(shū)館項(xiàng)目專用設(shè)備（網(wǎng)絡(luò)安全設(shè)備、工作站、計(jì)算機(jī)終端）采購(gòu) 項(xiàng)目（第 3 包） －投標(biāo)書(shū) 中國(guó)電信集團(tuán)系統(tǒng)集成有限責(zé)任公司 30 第 4章 項(xiàng)目實(shí)施方案 項(xiàng)目實(shí)施概述 本項(xiàng)目將建設(shè)中國(guó)農(nóng)業(yè)科學(xué)院新圖書(shū)館網(wǎng)絡(luò)安全系統(tǒng)，并與現(xiàn)有網(wǎng)絡(luò)環(huán)境進(jìn)行對(duì)接，實(shí)現(xiàn)在圖書(shū)館內(nèi)部應(yīng)用系統(tǒng)與中國(guó)農(nóng)業(yè)科學(xué)院各單位之間搭建安全性更高的專用安全網(wǎng)絡(luò)的目標(biāo)。 項(xiàng)目管理 項(xiàng)目組織機(jī)構(gòu) 本次項(xiàng)目，將組建由 農(nóng)科院圖書(shū)館 領(lǐng)導(dǎo)和中國(guó)電信系統(tǒng)集成公司領(lǐng)導(dǎo)組成的項(xiàng)目領(lǐng)導(dǎo)小組領(lǐng)導(dǎo)，下設(shè) 農(nóng)科院圖書(shū)館 項(xiàng)目經(jīng)理和中國(guó)電信系統(tǒng)集成公司項(xiàng)目經(jīng)理，同時(shí)設(shè)中國(guó)電信系統(tǒng)集成公司項(xiàng)目顧問(wèn)組支持，并組建各項(xiàng)目實(shí)施小組，協(xié)同完成本次項(xiàng)目的工程實(shí)施。項(xiàng)目總負(fù)責(zé)人須做好日常資源管理工作，并直接控制項(xiàng)目管理計(jì)劃 (PMP)的各個(gè)要素，具體說(shuō)來(lái)主要包括以下幾個(gè)方面： ? 項(xiàng)目執(zhí)行 —— 對(duì)以下幾方面工作提供指導(dǎo)：總體方案設(shè)計(jì)； 工程質(zhì)量和進(jìn)度保證；系統(tǒng)驗(yàn)收，培訓(xùn)等。 中國(guó)電信系統(tǒng)集