中国电信安全公司2026年安全大脑网关设备采购项目（标包3防护型国际版）资格预审公告

序号

产品名称

规格型号

数量

1

防护型国际版CTSGW-F300GL

详见关键技术指标

180

2

防护型国际版CTSGW-F500GL

详见关键技术指标

180

3

防护型国际版CTSGW-F1000GL

详见关键技术指标

40

序号

功能类别

关键功能项

具体要求

是否测试

1

网络与连接功能要求

部署模式要求

防护型国际版终端应支持路由工作模式。在此模式下的接口工作在三层状态，不同接口设置不同的IP地址段，划分为不同的安全域。采用路由方式转发网络流量，并支持静态路由、动态路由、策略路由等功能。
防护终端应支持透明工作模式。在此模式下，接口工作在二层状态，并支持透明转发网络流量。
防护型国际版终端应支持旁路模式。在此模式下，接口仅对流量进行统计、扫描或者记录，并不对流量进行转发。同时，网络流量也不会受到终端本身故障的影响。对于防护型国际版终端的部分功能，例如IPS、AV、统计集以及网络行为控制等功能在旁路模式下也可以工作。因此旁路模式可以满足对网络流量仅有审计或者威胁防御需求的使用场景。

否

2

路由功能要求

防护型国际版终端应支持静态路由功能。静态路由是手工定义的路由条目，根据目的地址指定下一跳，因此也称作目的路由。对外连接较少或者内网连接相对比较稳定的网络通常使用静态路由。管理员可以根据需要确定是否添加默认路由条目。

否

3

NAT要求

﹒静态网络地址转换(Static NAT)
静态NAT完成一组内部IP地址到外部IP地址的一对一全端口转换。
﹒动态网络地址转换(Dynamic NAT)
动态NAT根据需要将一组外部IP地址动态地分配给内部主机使用。内部主机与外部IP地址的绑定是动态的，在会话发起时开始，在随后的会话过程中保持，并在最后一个会话结束后取消。
﹒网络地址及端口转换(PAT)
PAT将多个源地址和端口将被转换成指定IP地址条目中的一个地址的多个端口。

是

4

IPv6要求

1、IPv6网络环境
1）在IPv6组网环境，以及IPv6与IPv4混合组网环境下正常工作，能有效提供防护型国际版终端基础功能及安全功能，并保障自身的安全性。
2、IPv4与IPv6混合网络环境
1）IPv6/IPv4双协议栈功能：设备在同一网络中同时支持IPv4 和IPv6协议。设备通过维护IPv6和IPv4两套路由协议栈使设备既能与IPv4主机，也能与IPv6主机通信，分别支持独立的IPv6和IPv4路由协议。
2）IPv6/IPv4的协议转换功能：支持NAT64和NAT46，能进行IPv6与IPv4之间的网络地址与协议的转换，实现IPv6网络与IPv4网络的双向互访。
防护型国际版终端应支持IPv6的状态检测功能，支持基于安全策略和规则进行状态检测。

是

5

系统语言要求

防护型国际版终端系统版本应至于支持中文（简体）与英文双语言界面，满足本地化运维与国际化管理的切换需求，且切换后全功能界面（含登录页、菜单、配置页、告警、日志）均正常显示，无乱码或功能缺失。

否

6

安全功能要求

安全策略要求

防护型国际版终端应支持安全策略功能。安全策略是网络安全设备的基本功能，控制安全域间/不同地址段间的流量转发。
防护型国际版终端应支持在安全策略中，支持开启和关闭IPS、AV、Botnet C C、URL过滤等威胁防护功能及文件过滤、文件内容过滤、网页关键字、应用行为控制等数据安全功能。
安全策略的匹配规则元素应至少包含源和目的安全域、源和目的IP、服务、应用等。
安全策略的动作包括允许、拒绝、记录日志

是

7

应用识别要求

支持对2000 种以上应用的识别和控制，动作包括允许、阻止、仅限记录和攻击者隔离。
支持应用特征自定义。
支持阻止在非默认端口上检测到的应用程序。
支持自定义应用分类（基于协议、风险等级、厂商、技术、行为、类别进行筛选）。

否

8

入侵防御要求

防护型国际版终端应支持入侵防御IPS功能，对网络间传输的报文进行深层检查，通过制定规则和下发相应的策略，对非法的、不正常的、含攻击行为的报文能实时的告警和拦截。
4 支持HTTP特征库规则，支持对Web服务器的安全防护。
5 支持对HTTP的方法（GET、POST、PUT、HEAD等）做限制策略。
6 支持SQL注入、XSS防护，支持HTTP报头的长度、cookie的个数等参数限制策略。
8 支持僵尸网络检测，僵尸网络库包括IP库和域名库。
9 IPS特征库：支持基于ips特征签名的攻击检测和防御。
支持自定义入侵防御特征。
支持网络实时更新IPS特征库。
10 IPS入侵检测策略：应用签名基于过滤器进行选择，包括基于严重性、目标、操作系统、应用程序和/或协议。
支持针对于特定的IPS签名进行免除。
支持拦截、仅记录日志。
支持屏蔽攻击者，至少支持阻断攻击者IP和临时隔离两种，隔离时间可配置。
支持重置，向攻击者发TCP Reset包。
支持僵尸网络的连接检测并进行阻断或监控。
防护型国际版终端 IPS日志应包含但不限于:网络五元组、源目 Mac、源目安全域、payload或 pcap包等取证信息、规则名称、威胁分类等，且需携带payload或 pcap 包等取证信息

是

9

病毒过滤要求

防护型国际版终端应支持防病毒功能，提供高速、高性能以及低延迟的病毒过滤解决方案。配置系统的病毒过滤功能后，终端能够探测各种病毒威胁，例如蠕虫、木马、恶意软件、恶意 网站等，并且根据配置对发现的病毒进行处理。
防护型国际版终端应记录防病毒日志，包含但不限于：网络五元组、源目Mac、源目安全域、病毒文件名称、病毒家族、文件哈希值及哈希算法类型等。

是

10

黑白名单

IP黑名单，拦截方向包括对源IP、目的IP、源和目的IP；拦截时间支持“永久拦截”、“自定义时间”。
IP 黑名单管理支持**、删除和解封；**支持手工建立，以及通过云端平台批量下发等方式。

是

11

威胁情报检测要求

1、IP类IOC情报：
1）支持IP+端口匹配；
2）支持IP全端口匹配；
3）支持IPv4和IPv6双栈协议匹配；
2、域名类IOC情报：
1）支持精准域名匹配；
2）支持通配符域名匹配：
ü针对多级子域名匹配，应支持匹配至于五级子域名，不匹配主域名，如*.ctct.com，需匹配test1.****.com，test2.test1.****.com，......，test5.test4.test3.test2.test1.****.com等，不匹配主域名ctct.com
ü通配符仅允许置于域名最左侧，且全局仅能存在一个通配符，禁止中间或多通配符（如a*.ctct.com、*.*.ctct.com均无效）
ü严禁使用顶级域 / 根域级通配（如*.com、*.cn），避免过度拦截合法域名
4、情报检测要求：
1）IP情报需要支持双向流量识别及阻断能力；
2）域名情报需要支持DNS解析阶段、应用访问阶段的识别及阻断能力；
3）情报动作需要支持记录日志、阻断等；
5、自定义情报：审计型终端应支持自定义威胁情报的功能，包括自定义IP和域名情报：
1）IP：自定义IP情报应支持IP及IP+端口配置功能；
2）域名：域名情报应支持明细域名、通配符域名及域名+端口；
3）自定义情报配置应支持IOC值、威胁类别（本地+自定义）、情报类别、执行动作，设备侧展示以上字段信息、情报配置时间、情报来源；
6、例外情报：支持情报维度（IP、域名），例外情报功能需精准定义匹配条件与适用范围，优先级为情报匹配最高优先级；
7、匹配逻辑：整体匹配顺序遵循 “先排除再匹配、精度优先” 原则：首先执行例外排除规则（优先筛除无需匹配的情报），再依次触发匹配类规则（含自定义匹配规则、本地情报库规则）；其中匹配类规则内部优先级为：IP 匹配>域名精细匹配>域名通配符匹配>URL匹配，确保高精准度规则优先命中，避免模糊匹配干扰；
8、情报日志：包含但不限于：网络五元组、源目Mac、源目安全域、情报命中标签、命中的ip或域名、动作、IP账号等；
9、情报升级：支持在线更新，定期从云端同步最新威胁情报特征库，默认支持按天更新，应急事件更新需求应实现小时级响应。
10、云端对接：自定义情报应支持与中国电信安全大脑平台对接，接收来自云端的自定义情报，检测优先级应为高优先级。
11、情报规格：防护型国际版终端威胁情报库规格： 标准版（300M）和高级版（500M）的规格不低于50万，专业版（1000M）以上档次不低于 100 万。

是

12

SSL/TLS加密流量检测

支持SSL代理功能，和客户端、服务器分别建立连接实现加密流量解密方式，对SSL加密的HTTPS流量进行IPS检测、URL过滤、病毒过滤和威胁情报检测。
支持通过SSL专用加速卡进行加解密，提高加密流量处理性能。
支持TLS 1.2、TLS 1.3等主流协议。
支持SSL证书检测和深度检测，支持证书卸载。
支持基于 MITM 的解密检测。
支持URL的SSL证书黑名单。
支持按站点信誉数据库、Web 类别和策略地址的SSL检查放行。
支持使用 HTTP/2 协议检测流量并能够阻止QUIC流量，以便浏览器自动回退到 HTTP/2 + TLS 1.2。

否

13

境外地址拦截功能要求

防护型国际版终端软件设备的地域簿对象应支持境内、境外IP地址过滤和监控能力、IP地址范围涵盖全球所有国家/地区，支持针对境外或特定区域的IP地址阻断能力，地址簿持续自动更新。
●地域对象：应支持按国家、地市等地区名称分类
●动态更新：应支持每天自动同步更新，更新过程中不影响安全策略执行
策略联动：支持安全策略应用地域地址簿对象，支持基于国家、地市等地区的访问控制

是

14

管理功能要求

管理方式要求

防护型国际版终端应支持Web、CLI、SSH、API或独立控制台软件管理。
防护型国际版终端应支持SSH反向代理功能。

否

15

日志管理要求

登录类日志：记录管理员执行的登录、退出操作，每条日志字段应包括：账号、登录IP、登录方式、登录时间等信息；
操作类日志：记录管理员执行的各种操作，包括：策略配置、系统参数配置、启用或关闭旗舰版终端等，每条日志字段应包括：账号、登录IP、操作方式、操作记录、操作时间等信息；
运行类日志：设备异常状态告警（如CPU、内存阈值告警等）、设备异常运行状态（如设备重启，设备断电、设备宕机等）、设备升级历史（如版本、特征库升级）等，每条日志字段应包括：日志类型、时间戳、事项描述等信息；
安全事件类日志：安全事件字段应包括事件类型、事件名称、风险级别、动作、攻击手段、服务类型、协议摘要、网络接口、源IP、源端口、目的IP、目的端口、源mac、目的mac、事件次数等参数；
原始日志：IPS、AV、威胁情报等原始日志格式详见7.3章节；
防护型国际版终端应支持以上各类日志上报到云端；其中登录类、操作类、运行类日志在终端本地保存的时长不少于1年。

否

16

版本文件及特征库管理要求

为了使用新功能或者解决软件BUG，防护型国际版终端应支持能够升级版本文件。升级方式应包括但不限于本地升级、远程升级。
防护型国际版终端的版本文件、特征库文件应原厂商随其最新稳定版本及时提供。

否

17

license授权要求

防护型国际版终端出厂应内置3年以上license授权。

防护型国际版终端应支持通过安全大脑平台进行自动授权的能力。

否

18

自身安全要求

防护型国际版终端应支持配置限定用户登录的IP地址范围。
防护型国际版终端应支持SSH、HTTPS等加密方式进行远程访问。
防护型国际版终端应支持对管理员口令进行加密保存，应支持管理员首次登录修改密码功能，应支持管理员登录的短信、证书等双因素认证功能。
防护型国际版终端应支持用户口令复杂度设置及检查，拒绝设置不符合复杂度要求的口令。
防护型国际版终端应支持最大登录失败重试次数设置，登录失败超过重试次数后处理方法有：锁定账号/IP、自动退出等，支持终端自动解锁和人工解锁。
防护型国际版终端应支持管理员登录超时timeout时间设置，用户登录空闲时间超过配置时间后自动断开连接，并需要再次登录才能进入终端。
防护型国际版终端软件需满足以下安全性要求：
1)病毒扫描
软件包及所有组成文件中不得包含任何形式的病毒、木马或恶意代码。
2)漏洞扫描
经漏洞扫描工具检测后，不得存在中危及以上的安全漏洞。
3)渗透测试
经渗透测试后，不得存在可被利用的常见安全漏洞（包括但不限于身份认证与权限控制缺陷、注入类漏洞、跨站攻击、文件上传风险、敏感信息泄露、逻辑漏洞及后门等），所有典型攻击路径应能被有效拦截或拒绝。
防护型国际版终端设备出厂时需确保无可利用安全漏洞，设备运行周期内若出现风险，需按照中电信安全〔2025〕82 号文要求在规定时限内完成固件更新或安全补丁等有效修复方案，最多不超过 12 小时。

否

19

北向接口协议要求

防护型国际版终端应支持通过标准、安全可靠的协议或通信方式接入云管系统，以实现远程管理、监控与配置下发等云管功能。终端设备至少应支持MQTT、Restful API、NETCONF、WSS等多种协议之一，基于安全大脑场景中长连接维持、低功耗运行和实时消息推送的需求，优先推荐采用MQTT协议进行接入。

否

20

业务开通及平台接入能力要求

需满足中国电信天翼安全大脑平台接入要求

否

21

轻量化上线要求

快速上线部署

1、终端出厂配置
支持出厂加载终端出厂配置。预配置包含安全策略、网络接口、安全防护、日志管理、设备管理和基础云平台纳管配置等，详见附录B3具****公司最新要求为准。
2、开局配置向导
支持图形化的开局配置上线向导功能。默认首次登录时，自动弹出开局向导界面，并顺序点击完成二层/三层上线纳管配置。向导中应包含纳管配置界面并支持显示纳管状态和许可/版本校验回显信息。
3、纳管后通过大脑平台下发预配置文件
4、USB自动安装
支持通过USB的方式，自动加载开局配置。

否

22

高可靠性要求

存储可靠性要求

防护型国际版终端应提供合理可靠的存储模块（如flash卡、miniSD卡或硬件），满足CTSGW-03004章节中关于系统日志的要求，即登录类、操作类、运行类日志在终端本地保存的时长不少于1年。
防护型国际版终端应提供合理可靠的存储模块（flash卡 或硬件），满足配置文件、系统镜像文件、特征库升级等关键使用场景下的可用性，完整性。

否

23

终端纳管要求

安全大脑平台纳管要求

厂家终端设备支持配置电信分发的逻辑id，安全网关上线时，携带逻辑id和终端sn向大脑平台注册，安全大脑平台根据客户订单信息完成终端逻辑id和终端sn的校验和纳管绑定。

是

24

配置可用性检查

配置可用性检查要求

针对“已纳管在线”终端进行上线可用性检查，厂商提供各检查项的原子能力接口，将检查结果上报至安全大脑平台。
网关可用性检查项，至少包括：物理接口状态、接口方向判断、业务转发接口流量、安全策略配置检查、安全策略有效性、日志发送配置、设备系统时间等。

否

25

网关信息采集与更新

网关状态信息采集

防护版终端厂商网关及平台需要实时向安全大脑平台上报网关状态信息，包括但不限于：
●终端在线状态，如在线、离线、注册中等

是

26

网关信息采集监控

1、license信息（包含终端系统本身、各类特征库）
2、系统软件版本（当前版本及更新时间）、各类特征库版本信息（版本及更新时间）
6、终端配置：上报日志配置
7、终端型号、硬件版本
8、公网IP
9、设备标识、CTEI、MAC

是

27

网关下线解绑

终端下线解绑

厂家终端设备需要与安全大脑平台对接，支持由于客户退租、换机、其他等场景下，网关解绑下线处理，保障终端能够按预期下线与回收。

是

28

防护流量数据采集

安全日志上报

厂家终端设备需要与安全大脑平台对接，将网关的安全日志，通过rsyslog+RELP或kafka或https等加密传输的方式上报到安全大脑平台，日志应能区分日志种类并上报必要的日志字段，日志种类至少满足CTSGW-03004要求，包括：
1、IPS日志：满足CTSGW-02003
2、AV日志：满足CTSGW-02005
3、威胁情报检测日志：满足CTSGW-02008

是

27

系统日志上报

厂家终端设备需要与安全大脑平台对接，将网关的系统日志，通过rsyslog+RELP或kafka或https等加密传输的方式上报到安全大脑平台，至少满足CTSGW-03004要求，包括：
1、登录类日志
2、操作类日志
3、运行类日志

是

30

安全网关管控

反向管理

厂家终端设备需要与安全大脑平台对接，满足电信的集成设计，支持通过安全大脑平台反向管理安全路由设备；支持基于HTTPS或SSH的反向管理功能；支持基于免密和自定义密码反向登录到终端。

是

31

黑名单下发

厂家终端设备需要与安全大脑平台对接，支持黑名单处置，满足CTSGW-02007要求，至少包括：
支持对终端创建、删除、查询黑名单，接口满足RESTFUL风格，支持批量处理命令。

是

32

自定义威胁情报下发

厂家终端设备需要与安全大脑平台对接，支持自定义威胁情报处置，至少包括：
1、支持下发IP、域名、URL自定义情报，至少包括IOC值、威胁类别、情报类别、执行动作。威胁类别以云端下发为先（优先匹配云端下发情报），设备支持展示查询云端下发的自定义情报且包括以上字段、平台下发时间、情报来源（云端大脑下发），满足CTSGW-02008自定义情报要求
2、支持下发例外情报，包括IP、域名、URL的IOC值，满足CTSGW-02008要求

否

33

配置文件管理

厂家终端设备需要与安全大脑平台对接，支持安全大脑平台做云端的配置文件备份和还原功能。

是

34

网关配置下发

1、安全策略配置
2、ipsec vpn配置
3、设备账号密码配置
9、其他配置，承诺按中国电信天翼安全大脑版本迭代要求持续开放对接

是

35

升级管理

大脑平台统一升级管理

厂家终端设备支持和安全大脑平台进行网关软件版本、补丁文件，特征库，威胁情报等在线升级能力要求。

否

36

大脑平台统一授权管理

****设备厂商需在规定时间内通过在线或离线文件的方式向安全大脑平台批量提供终端设备的许可证文件，以满足设备首次上线使用、到期自动授权等要求；
厂家终端设备需支持和安全大脑平台进行终端许可在线授权的能力要求。

否

要求

防护型国际版场景规格

场景类型

防护型国际版-300M场景

防护型国际版-500M场景

防护型国际版-1000M场景

终端型号

CTSGW-F300GL

CTSGW-F500GL

CTSGW-F1000GL

cup/内存/存储

4核/2GB/-

4核/4GB/64G

8核/8GB/120G

适用电信接入带宽（单向）

300M以内

500M以内

1000M以内

GE千兆电口

5x GE RJ45

10x GE RJ45

8x GE RJ45

万兆光口

-

-

2x 10GE

管理口数量

1

1

1

ips规则库数量（条）

18000

18000

18000

黑名单规格（条）

4000

4000

4000

本地威胁情报规格（条）

50万

50万

100万

ips检测率

80%

80%

80%

情报检测率

50%

50%

50%

混合流量应用吞吐（Mbps）

600 Mbps

1.0Gbps

2.0 Gbps

TCP**连接数（条/秒）

30,000

50,000

100,000

TCP最大并发连接数（条）

500,000

1,000,000

2,000,000

IPSEC VPN性能吞吐（Mbps）

600 Mbps

1.0Gbps

2.0 Gbps

IPSec VPN隧道数（条）

200

200

200

远程办公用户数

250

500

1000

SSL卸载吞吐

200Mbps

500Mbps

1.0Gbps

招标人:

****

招标代理机构:

****

地 址：

**市**区朝外西街3号1****中心E座

地 址：

**市西****门南大街甲2号天银大厦-A西座10层

邮 编：

/

邮 编：

/

联 系 人：

高琪

联 系 人：

邢雪婷、仇艳茹、陈宇昕、苏京、冯耿星、王少蕊、霍明林

电 话：

010-****3293

电 话：

134****2618

电子邮件：

****@chinatelecom.cn

电子邮件：

****@chinaccs.cn

网 址：

/

网 址：

/

开户银行：

/

开户银行：

****花园支行

账 号：

/

账 号：

311********50066798