1网络安全设备主要性能要求和技术指标要求1.1防火墙用于控制专网、业务内网和业务外网，控制专网、业务内网部署在XX干线公司、穿黄现地管理处（备调中心），每个节点各2台；业务外网部署在XX干线公司1台，共计9台。要求如下：特性参考指标要求体系架构必须采用专用的安全操作系统平台，非通用操作系统平台；工作模式路由、NAT、透明（VLAN透传）、混合；网络接口需求千兆电口≥4个，千兆光口≥4个。必须实现安全带外管理功能，设备必须提供独立的带外管理接口；电源配置双电源，电源可热插拔；性能与容量64字节吞吐量≥4Gbps；1518字节吞吐量≥8Gbps；；防火墙的IPSecVPN处理性能必须≥600Mbps；支持的虚拟系统≥64个；实配≥32个虚拟防火墙；防火墙的每秒新建会话能力必须高于9万/秒；防火墙支持的并发会话数必须高于100万条；基本要求防火墙必须提供IPSecVPN功能，提供不少于4000条的并发VPN隧道能力；防火墙必须支持抗DoS/DDoS攻击功能，支持对synflood、updflood、teardrop、landattack、icmpflood、pingofdeath等拒绝服务攻击的防护，可根据不同的接口区域选择是否需要实施抗DoS攻击保护并选择实施哪几种攻击防护。必须支持多媒体业务与组播功能，支持H.323、SIP、MGCP，SCCP等多媒体协议，并支持以上多媒体应用协议的NAT穿越；严格遵循RFC国际标准，其支持的算法有DES、3DES、AES128、AES192、AES256，SHA-256、SHA-512等，可于主流VPN厂商互通。必须支持OSPF、IP、RIP2动态路由协议；支持BT限流功能；支持Active-PassiveHA和Active-Active双主高可用结构，在以上两种结构下，必须保证防火墙Session同步和VPN状态同步；必须支持AV防病毒功能，并能提供AV外置可插拔性能扩展卡。1.2入侵检测系统（IDS）根据系统组建需要，控制专网、业务内网、业务外网均部署入侵检测系统（IDS），共需6套。（1）控制专网：部署在XX干线公司及穿黄现地管理处（备调中心），每个节点各1套，共2套；（2）业务内网：部署在XX干线公司及穿黄现地管理处（备调中心），每个节点各2套，共4套；1.2.1产品规格及性能指标要求（1）支持10/100/1000BASE-SX/1000BASE-T以太网接口，千兆接口不小于2个(提供的配置中至少包含两个GE多模850nm波长光模块)；（2）能监控的最大TCP并发连接数不小于120万；（3）能监控的最大HTTP并发连接数不小于80万；（4）连续工作时间（平均无故障时间）大于8万小时；（5）吞吐量不小于2Gbps。（6）控制台服务器性能不低于“5服务器主要性能要求和技术指标要求”中的要求。1.2.2部署和管理功能要求(1)传感器应采用预定制的软硬件一体化平台；(2)入侵检测系统管理软件采用多层体系结构；(3)组件支持高可用性配置结构，支持事件收集器一级的双机热备；(4)各组件支持集中式部署和大型分布式部署；(5)大规模分布式部署支持策略的派发，即上级可将策略强制派发到下级，以确保整个系统的检测签名的一致性；(6)可以在控制台上显示并管理所有组件，并且所有组件之间的通讯均采用加密的方式；(7)支持以拓扑图形式显示组件之间的连接方式；(8)支持多个控制台同时管理，控制台对各组件的管理能力有明确的权限区别；(9)支持组件的自动发现；(10)支持NAT方式下的组件部署；(11)支持IPv6下一代通信网络协议的部署和检测。1.2.3检测能力要求(1)支持基于状态的协议分析技术并能按照RFC的规范进行深入细致的协议检测，准确的识别协议的误用和滥用；(2)支持协议异常检测，协议分析和特征匹配等多种检测方式，能够检测到未命名的攻击；同时支持UNICODE解析、应用层协议状态跟踪、连接状态跟踪，辅以模式匹配、异常检测等手段来有效降低误报和漏报率，提高检测精度；(3)产品应具备对Split、Injection等IDS逃避技术的检测和识别能力；(4)能对每一个攻击进行详尽的过程状态量定义，使得IDS可以拥有最低的误报率和最小的漏报率。(5)提供灵活的参数定制，比如全局的用户黑名单、违法IP、违法命令等；(6)产品应具备IP碎片重组与TCP流重组功能；(7)产品应具备抗编码变形逃避的能力；(8)产品应具备抵抗事件风暴和欺骗识别的能力；(9)支持自定义网络中TCP连接的超时等待时间，防止IDS被拒绝服务攻击；(10)支...
