安全溯源分析系统建设项目POC测试供应商二次征集公告

功能项

功能要求

硬件规格

1、产品应全面适配信创环境。硬件设备须使用国产化CPU和操作系统，应用系统如涉及使用中间件，数据库，需适配信创环境，确保在信创环境中稳定运行。

2、关键设备内存至少128GB，存储至少96TB，支持万兆光口。

3、单套设备在功能全开启情况下的流量捕获、全包存储、流量分析处理、网络流量统计（包括网络负载、性能等）峰值性能不低于10Gbps。

流量采集

1、支持采用流量镜像、分路器、分光器或Agent等多种方式，对网络原始流量包进行7×24小时全天候实时采集。

2、支持离线流量采集，支持手动批量导入PCAP包对离线流量回放分析。

3、支持10Gbps流量场景下精准可靠的网络流量数据包捕获，设备自身丢包率小于1%。

4、具备高性能流量解析与处理能力，会话处理方面，最大并发会话数可达 100万条，每秒**会话能力不低于 5万条。

5、支持设备内核层的方式对流量进行筛选和过滤，通过筛选丢弃垃圾流量以节省**性能。内核底层的包捕获过滤条件应丰富易用，至少支持五元组、VLAN等协议元素定义捕获过滤规则。

6、支持对采集到的重复流量进行去重处理，去重方式包括但不限于基于MAC地址、IP地址等。

数据包存储

1、支持10Gbps场景下实时存储全部原始数据包。

2、支持单包全包存储（写入机械硬盘）、无截断、无丢包，持续运行 24 小时无丢包。

3、支持数据包压缩存储，全流量存储到硬盘时，可以选择压缩/不压缩，能够展示总存储容量。

4、支持数据包加密存储能力。

5、支持根据五元组、VLAN、应用协议等进行灵活的存储策略设定，包括不存储、截断存储、全包存储等。

6、支持数据存储冗余机制（如 RAID5/6/10 或多副本技术），确保单块或多块（视策略而定）硬盘故障时数据不丢失，业务不中断。

流量解析

1、支持同时分析和处理IPv4和IPv6流量能力。

2、支持从流量中实时解析并还原生成协议元数据日志，支持应用层协议元数据解析，协议包括但不限于HTTP、DNS、FTP、SMB、IMAP、POP3、SMTP、TELNET、RDP、SSL、SSH、Mysql、PostgreSQL、Socks、LDAP、DB2、NTLM、KERBEROS等。

3、支持HTTP协议完整报文解析与字段提取，包括但不限于请求头、请求体、响应头、响应体、请求路径等，结构化输出相关字段。支持通过自定义脚本的方式干预HTTP协议解析过程，达到丰富业务字段的目的。具备对畸形、截断等异常HTTP报文的容错解析能力，防止丢失有效溯源数据。

4、支持 HTTP 压缩、编码的自动识别与解压还原；支持HTTP协议传输文件的识别与还原，支持文件类型的识别；支持HTTP分块传输编码的精准解析与重组。支持对URL编码、Base64、Unicode等常见编码的多重/嵌套解码还原等。

5、支持网络应用指纹识别，支持自定义应用指纹特征并在流量中识别。

数据检索

1、支持高效的流量检索分析，单台设备数据包检索性能不低于200TB/s。

2、支持根据网络层、传输层及应用层特征字段对数据包进行精准搜索，包括但不限于 IP、端口、请求路径、User-Agent、状态码、XFF、请求/响应体内容等。

3、支持等于、包含、like、and、or、not 等常见检索逻辑，支持正则表达式及嵌套布尔逻辑组合检索。

4、支持对检索结果进行时间轴聚合、字段分组统计等可视化分析，支持将检索结果及原始数据包（PCAP）导出。

溯源分析

1、支持基于威胁情报指标（IOC）进行自动化溯源分析，指标包括但不限于IP、URL、域名、JA3、邮箱、文件名、自定义请求头/体特征、请求/响应大小等，并能够显示相关会话清单等。

2、支持对流量日志进行深度关联分析，能够自动识别并还原NAT前后的源IP、目的IP、源端口、目的端口的映射关系，确保在复杂网络拓扑下溯源线索不中断。

3、支持对流量日志、协议日志等查询结果进行灵活的扩展分析；支持将分析结果直接导出，并支持基于分析结果一键回查原始数据包（PCAP），支持在线分析或下载到本地。

流量外发

1、支持实时流量外发，通过Syslog、Kafka等协议，将满足筛选条件的会话日志和协议元数据外发到外部服务器，支持自定义外发策略筛选具体字段进行外发。

2、支持将HTTP会话的解析字段如请求方法、响应码、UA、URL等字段筛选后通过Syslog、Kafka等方式进行外发。

3、支持流量导出，将自定义过滤规则过滤的流量通过PCAP的方式导出。

运维监控

1、提供系统自身**监控看板（CPU、内存、磁盘 IO、网卡负载、丢包统计）。

2、支持磁盘空间预警及自动清理策略（如按时间轮询删除最早数据，或按优先级删除低价值数据）。

3、支持运行状态日志通过 Syslog、KAFKA等渠**发。

API接口

1、系统提供标准的HTTP API功能，并提供API开发文档。

应急响应

1、提供7x24小时的安全问题应急响应溯源服务，提供7x24小时客服电话，保证1小时内的响应速度，4小时内的现场应急响应支持服务。

用户管理

1、平台应支持基于角色的访问控制，支持多因素认证，支持账户登录失败次数限制及锁定策略。

2、实施最小权限原则，关闭不必要端口及服务。

3、支持记录用户操作日志及系统日志。

测试方案

测试内容

运行稳定性测试

CPU/内存峰值及均值监控、长稳测试、异常恢复能力等。

数据采集能力测试

流量接入方式、多种协议支持能力、全流量捕获率、加密流量解析能力等 。

数据存储能力测试

存储周期验证、数据完整性校验、硬件**消耗、硬件提供存储空间、数据备份等。

数据解析能力测试

字段解析准确度、解析吞吐性能、对自定义解析规则的支持等。

数据检索能力测试

多维度组合查询、全局检索响应速度、聚合统计分析效率等。

溯源分析能力测试

攻击链还原完整度、关联分析自动化程度、可视化叙事能力等。

流量外发能力测试

外发接口类型、外发数据格式与字段、外发性能、流量回放能力等。

可运维性

部署安装耗时、界面操作**度、故障排查工具完备性、文档清晰度等；监控、告警、日志等运维元素的全面性。

安全与合规

敏感数据自动脱敏、系统自身漏洞扫描结果、配置备份与恢复机制、权限细粒度与操作审计日志等。