防火墙设备通用技术规范.doc

二次系统安全防护设备—防火墙设备
采购标准技术规范使用说明
1. 本标准技术规范分为通用部分和专用部分。
2. 项目单位根据需求选择所需设备的技术规范。技术规范通用部分条款、专用部分标准技术参数表和使用条件表固化的参数原则上不能更改。
3. 项目单位应按实际要求填写“项目需求部分”。如确实需要改动以下部分，项目单位应填写专用部分“项目单位技术差异表”，并加盖该网、省公司物资部（招投标管理中心）公章，与辅助说明文件随招标计划一起提交至招标文件审查会：
1） 改动通用部分条款及专用部分固化的参数；
2） 项目单位要求值超出标准技术参数值范围；
3） 根据实际使用条件，需要变更环境温度、湿度、海拔、耐受地震能力、用途和安装方式等要求。
经招标文件审查会同意后，对专用部分的修改形成“项目单位技术差异表”，放入专用部分表格中，随招标文件同时发出并视为有效，否则将视为无差异。
4. 投标人逐项响应技术规范专用部分中“1标准技术参数表”、“2项目需求部分”和“3投标人响应部分”三部分相应内容。填写投标人响应部分，应严格按招标文件技术规范专用部分的“招标人要求值”一栏填写相应的投标人响应部分的表格。投标人还应对项目需求部分的“项目单位技术差异表”中给出的参数进行响应。“项目单位技术差异表”与“标准技术参数表”和“使用条件表”中参数不同时，以差异表给出的参数为准。投标人填写技术参数和性能要求响应表时，如有偏差除填写“投标人技术偏差表”外，必要时应提供证明参数优于招标人要求的相关试验报告。
5. 对扩建工程，如有需要，项目单位应在专用部分提出与原工程相适应的一次、二次及土建的接口要求。
6. 技术规范范本的页面、标题等均为统一格式，不得随意更改。
7. 一次设备的型式、电气主接线和一次系统情况对二次设备的配置和功能要求影响较大，应在专用部分中详细说明。
目 次
二次系统安全防护设备—防火墙设备采购标准技术规范使用说明 217
1　总则 219
1.1　引言 219
1.2　投标人职责 219
2　技术规范要求 220
2.1　环境要求 220
2.2　电源要求 220
2.3　防火墙设备基本要求 220
2.4　防火墙设备功能要求 221
2.5　日志报表要求 222
2.6　管理要求 222
2.7　自身安全性要求 222
3　试验和验收 222
3.1　安装调试 222
3.2　设备验收 223
4　技术服务 223
4.1　技术服务 223
4.2　培训 224

1　总则
1.1　引言
本技术规范书为防火墙设备招标的主要技术功能要求、供货要求、服务要求，供投标人编制项目建议书及报价之用。
1.1.1 投标人及投标产品应具备如下资质：
1） 投标人需具有ISO9001质量保证体系认证证书、宜有ISO14001环境管理体系认证证书、宜有OHSAS18001职业健康安全管理体系认证证书，并具有AAA级资信等级证书、宜有重合同守信用企业证书并具备良好的财务状况和商业信誉。
2） 投标产品必须为自主知识产权的国产设备，经公安部、国家信息安全测评认证中心等国家权威部门测试通过，并获得安全产品销售许可证，评测认证资质必须在两年内有效。
3） 若投标人为系统集成商，需提供原厂商的代理资质证明；同时保证有直接向原厂商下单权限并直接获得原厂商售后技术服务支持的权限。
4） 投标产品应在电力行业测评机构经过测评，必须符合变电站电磁兼容要求的电磁兼容三级要求，符合变电站环境中应用要求，出具相应检测报告。
5） 投标人应提供三年以内在电力行业网、省级公司及以上网络的应答产品的应用案例3个以上。
1.1.2 投标人应具有设计并集成过规模与本工程类似或更大的、条件与本工程规定相当或更严格的网络安全系统的业绩，并提供业绩清单，用户证明，联系人地址、电话。
1.1.3 本次投标的所采用的设备及主要安全防护技术，至少要有与本工程同等规模的系统中有1年以上成功商业运行经验。所投标的设备应经过有资质的检测机构的检测，并提供检测报告、业绩清单，用户证明，联系人地址、电话；如发现有失实情况，招标人有权拒绝该投标。
1.1.4 投标人在建议书中，对本技术规范书中所提的技术及工程要求，应逐项予以说明和答复。对涉及到的主要产品、技术及服务，应做出详细说明。投标人亦可根据产品技术性能的具体情况，在建议书中提出建议，并附详细资料和说明。对本规范书各条目的应答为“满足”、“不满足”、“部分满足”，不得使用“明白”、“理解”等词语，如出现上述应答，将视为不符合要求且该应答无效，在答复中，要求明确满足的程度，并做出具体、详细的说明，凡采用“详见”、“参见”方式说明的，应指明参见文档中的具体的章节或页码，凡要求进行说明而未做说明的，视该条应答无效。
1.1.5 本技术规范书应视为保证网络运行所需的最低要求，如有遗漏，投标人应予以补充，否则一旦中标将认为投标人认同遗漏部分并免费提供。
1.1.6 招标人保留对本文件的解释和修改权。
1.2　投标人职责
投标人的工作范围将包括下列内容，但不仅仅限于此内容。
1.2.1 投标人提供的产品必须满足本规范书所描述的硬件设备及外设配置要求，这是招标人提出的设备最低配置要求。
1.2.2 投标人所提供的所有设备需完全满足本采购所述规格，所有需要的硬件需配齐以构成一套完整实用产品。如果投标人所列出的硬件设备及外部设备的配置建议，当实际采购时其软、硬件有任何遗漏（包括技术规范书中未列出而设备正常运行又需要的软硬件），则设备正常运行需要时投标人必须免费提供，招标人将不再支付任何费用。
1.2.3 招标人非常重视投标人在应答方案中所推荐产品的生命周期，要求所推荐的产品在未来两年内不能停产或淘汰。
1.2.4 在招标人购买整机之日起，投标人对其所有部件保证五年供应。
1.2.5 所有硬件系统均需符合下述标准：
电磁学规范：FCC Class B或CISPR 22 Class B；
安全规范：UL Listed（美国）或EN 60950（国际）；
质量标准：ISO9000认证。
1.2.6 投标人必需提供下列技术资料：
各种设备机架（柜）外型尺寸、重量、面板布置、进出线方式；
所需电源种类、功耗、电压、地线要求；
机房荷重、环境要求；
设备安装方式和抗震措施；
设备、线缆、端口等的实施维护标识办法。
1.2.7 投标人应提供由中国信息安全测评中心或电力行业内专业测评机构出具的覆盖全部技术指标项的测评报告。
1.2.8 如果应答设备要求使用特别接头、插座等，由投标人提供。另外，所投设备的用电保护超过一般线路保护，保护设备也由投标人提供。
1.2.9 设备/产品基于国际标准或工业标准，成熟、互联性强、易扩充。
1.2.10 软件系统及相关硬件有最佳的匹配和应用运行能力。
1.2.11 投标人必须提供产品相应的、配套的、正式的中文或英文版技术参考手册、安装及管理维护手册和使用手册。
1.2.12 所有软件系统如果有使用时限问题，必须在应答书中明确说明。所有软件产品必须提供符合项目目标环境的安装介质，必须提供相应配套的、正规出版的中文版技术参考手册、安装及维护管理手册和招标人使用手册。
1.2.13 投标人提供的所有硬件设备必须是全新的、出厂的新设备，软件产品应是最新版的商用版本，提供的产品准许在中华人民共和国境内销售、能够在中国境内和合法使用，且在性能及质量方面能提供可靠证明，并享有设备制造商承诺的质量保证。同时，应对此软、硬件所涉及的专利、知识产权等法律条款承担义务，招标人对此不承担任何责任。
1.2.14 投标人需提供应答设备及推荐设备的产品销售许可证书。
1.2.15 提供实施计划 ，制造和质量保证过程的一览表以及标书规定的其他资料。
1.2.16 提供设备管理和运行所需有关资料。
1.2.17 现场服务。
2　技术规范要求
2.1　环境要求
2.1.1 设备储存温度：-40℃～＋55℃；
2.1.2 设备工作温度：0～＋45℃；
2.1.3 大气压力：86～106kPa；
2.1.4 相对湿度：30％～85％；
2.1.5 抗地震能力：地面水平加速度0.3g，垂直加速度0.15g同时作用。
2.2　电源要求
设备采用交流电源供电，并在下列供电变化范围内正常工作：
交流：220V±10％，50Hz±5％。
投标人应详细说明所供设备本期配置功耗及满配功耗。
2.3　防火墙设备基本要求
装置至少应满足表1中最新版本的规定、规范和标准的要求，但不限于表1中规范和标准。
表1 投标人提供的设备和附件需要满足的主要标准
标 准 号
标 准 名 称
IEC529
防护等级
IEC61000-4-2
静电放电试验
IEC61000-4-3
辐射静电试验
IEC61000-4-4
快速瞬变干扰试验
IEC61000-4-5
浪涌抗扰性试验
GB/T 13702
计算机软件分类与代码
GB/T 15532
计算机软件单元测试
GB2423
电工电子产品基本环境试验规程
GB2887
计算站场地技术条件
GB/T 6593
电子测量仪器质量检测规则
GB4798.3
电工电子产品应用环境条件 有气候防护场所固定使用
YD/T 1130
基于IP网的信息点播业务技术要求
YD/T 1163
IP网络安全技术要求—安全框架
YD/T 1171
IP网络技术要求—网络性能参数与指标
YD/T 1190
基于网络虚拟IP专用网（IP-VPN）框架
GB/T 15153.1
远动设备及系统电磁兼容要求

2.4　防火墙设备功能要求
2.4.1 防火墙设备应具有包过滤功能，包括但不止于以下功能：
2.4.1.1 支持基于IP地址的访问控制。
2.4.1.2 支持基于协议、端口的访问控制。
2.4.1.3 支持基于MAC地址的访问控制。
2.4.1.4 支持基于时间的访问控制。
2.4.1.5 支持基于IP地址、协议、端口、时间等参数组合的访问控制。
2.4.2 防火墙设备应具有深度包检测功能，包括但不止于以下功能：
2.4.2.1 支持基于URL的访问控制。
2.4.2.2 支持SMTP，POP3协议，可对电子邮件中Subject、To、From域等进行访问控制。
2.4.2.3 支持基于HTTP，FTP，SMTP，POP3协议的文件类型的访问控制。
2.4.2.4 支持基于HTTP页面及电子邮件正文的关键字访问控制。
2.4.3 防火墙设备应支持SNAT、DNAT的动态网络地址转换。
2.4.4 防火墙设备应支持IP/MAC地址绑定。
2.4.5 防火墙设备应具有动态开放端口功能，包括但不止于以下功能：
2.4.5.1 支持FTP的动态端口开放。
2.4.5.2 支持以H.323协议建立视频会议。
2.4.5.3 支持SQL.NET数据库协议。
2.4.6 防火墙设备应具有网络适应及路由策略功能，包括但不止于以下功能：
2.4.6.1 支持静态路由、动态路由（RIP、OSPF）。
2.4.6.2 支持路由、透明和混合工作模式。
2.4.6.3 支持VLAN TRUNK网络环境（802.1q）。
2.4.6.4 支持根据数据包信息设置策略路由。
2.4.7 应能够基于IP地址、协议、时间等参数对流量进行统计，可根据不同条件设置统计规则
2.4.8 应支持基于IP地址及协议的带宽管理功能。
2.4.9 应支持物理设备状态及链路状态检测的双机热备，支持状态同步，切换时间小于或等于5s。
2.4.10 应支持网络负载均衡到多台服务器。
2.4.11 设备需要支持网络时间同步协议NTP，支持NTP认证和NTP客户端。
2.5　日志报表要求
2.5.1 防火墙设备应具有日志记录功能，包括但不止于以下功能：
2.5.1.1 支持记录被安全策略允许、拒绝的访问请求。
2.5.1.2 支持记录防火墙的管理行为、认证请求。
2.5.1.3 审计记录的内容应至少包括时间、日期、事件类型、事件描述、处理结果等。
2.5.2 应支持日志的统计分析和报表生成，能够基于IP地址、协议等条件定制生成报表。
2.5.3 装置应具有集中管理功能，可对分布式的防火墙进行统一集中管理；支持日志集中管理。
2.5.4 应支持日志的授权访问，授权用户可对日志进行检索、清空、备份等操作。
2.5.5 应支持日志存储耗尽处理机制，如向管理员报警、覆盖最早的日志等。
2.6　管理要求
2.6.1 支持管理员权限划分。
2.6.2 支持对授权管理员的口令、Radius等认证鉴别方式，提供鉴别失败处理机制，支持对管理IP地址进行设置。
2.6.3 防火墙设备应具有多种管理方式，包括但不止于以下功能：
2.6.3.1 支持本地和远程安全管理。
2.6.3.2 支持软件升级。
2.6.3.3 具有中文GUI界面，通过GUI能够完成全部配置、管理工作，支持中文对象名。
2.6.4 支持配置的备份与恢复，允许恢复出厂设置。
2.6.5 支持防火墙状态监控，如CPU、内存、端口状态；支持网络流量状态监控。
2.7　自身安全性要求
2.7.1 应能抵抗各种典型的拒绝服务攻击，如SYN Flood，UDP Flood，ICMP Flood。
2.7.2 能抵抗IP碎片包攻击。
2.7.3 能抵御源IP地址欺骗攻击。
2.7.4 能够检测和记录端口扫描行为，不返回敏感信息。
3　试验和验收
3.1　安装调试
安装地点和环境在买方指定的地点，卖方或制造商应负责设备的安装、调试，保障设备正常运行。卖方需明确以下问题：
3.1.1 设备安装由卖方负责，安装过程中所有电缆及接头均由卖方提供并施工。
3.1.2 卖方负责对施工地点进行现场勘察，提供工程施工和相关安装资料，并负责指导买方人员掌握和使用这些技术资料。卖方应提供下列各种详细资料：
3.1.2.1 设备外型尺寸、重量、面板布置、进出线方式。
3.1.2.2 所需电源种类、功耗、电压、地线要求。
3.1.2.2 机房荷重、环境要求。
3.1.2.3 设备安装方式和抗震措施。
3.1.3 安装调测时使用的工具、设备由卖方提供，通用工具由买方协助解决。双方应协商制定工程进度表，卖方负责按工程进度表进行施工。
3.1.4 设备调试由卖方负责，卖方调试前应提出完整的调试计划并经买方确认，包括设备调试的内容、项目、指标、方法和进度，并提供相应的仪器和工具。卖方有责任对买方的技术人员提出的问题做出解答。调试应进行详细记录，系统调试结束后，由卖方技术人员签字后交给买方验收。
3.2　设备验收
3.2.1 项目单位与卖方或制造商对设备到货后共同配合进行开箱检查，出现损坏、数量不全或产品不对等问题时，由卖方或制造商负责解决。
3.2.2 依技术规范书要求对全部设备、产品、型号、规格、数量、外型、外观、包装及资料、文件（包括装箱单、保修单、随箱介质等）的验收。
3.2.3 根据技术规范书要求，全部设备在技术规范书规定的地点和环境下， 进行安装、调试，加电实现正常运行，并达到技术规范书要求的性能和产品技术规格中的性能。
3.2.4 按规范书技术部分要求对产品进行测试检查。设备产品测试中出现性能指标或功能上不符合规范书和合同时，项目单位有拒收的权利。
3.2.5 如验收及测试中出现不符合规范书和合同要求的严重质量问题时，买方保留索赔权利。
3.2.6 技术文档齐全，包括操作手册、配置参数手册、排错手册、管理维护手册等其他技术文件，如果有中文设备技术文件，必须提供中文版本的设备技术文件，如没有，必须提供英文版设备技术文件。
4　技术服务
4.1　技术服务
4.1.1 技术后援支持
卖方或制造商必须向买方承诺技术后援支持，为今后买方主要软、硬件设备的功能扩充、服务提供至少五年的技术支持。
4.1.2 质保及售后服务
4.1.2.1 质保及售后服务
本技术规范书中所有设备必须有以下条件：
质保：所有本规范书内包含的产品质保期为36个月，对于设备，包括硬件、软件，在质保期内，提供免费的生产原厂商软件升级包和免费的生产原厂商设备保修备件；质保期自设备通过最终验收之日起计算，其费用计入总价。请卖方或制造商详细描述质保方案。
售后服务：卖方或制造商需提供质保期内免费的7×24h技术支持与服务。卖方或制造商必须按照如下格式对服务响应时间进行明确描述。“设备出现故障时必须在2h内对买方所提出的维修要求做出响应，12h内到达现场。对于24h解决不了的问题，应提供备用设备。”卖方或制造商如有其他服务响应可以另加描述。
卖方或制造商详细说明所提供的设备原厂商三年售后服务与技术支持的级别及服务内容。应答人必须提出质保期内的维修、维护内容及服务方式、范围（产品、技术、模块、部件）。
在质保期内，应答人应提供相关软件的免费升级和备品更换服务；应答应人负责对其提供的设备进行现场维修与维护，不收取额外费用；在质保期后应答人应以不高于本合同相应的最优惠价格向买方提供修理和维修合同设备必要的备品备件。
要求各应答人承诺在产品交付时提供针对交付产品的原厂三年质保函。
4.1.2.2 质保期后的质保与售后服务
卖方或制造商按照上述质保与售后服务为标准为买方提供质保期后的维保方案和报价，不计入总价。
在质保期过后，卖方或制造商应以不高于本合同相应的最优惠价格向买方提供修理和维修合同设备必要的备品备件。
原厂商技术支持站点（或办事处）与原厂商备品备件库。
卖方或制造商需提供国家电网公司涉及地理区域范围内的原厂商技术支持站点及原厂商备品备件库。
4.2　培训
4.2.1 培训总则
1） 培训服务为项目单位自愿采购内容。
2） 卖方提供的培训服务必须满足4.2章要求。
3） 卖方必须提供高水平的培训。培训应包括硬件、软件等。所提供的培训课程表随应答文件一起提交。
4） 卖方派出的培训教员应至少具有三年的相同课程的教学经验。
5） 所有的培训教员必须用中文授课（如果讲师不会讲中文，卖方必须提供中文翻译），除非有其他的协议规定。
6） 卖方必须为所有被培训人员提供培训用计算机、网络环境、文字资料和讲义等相关用品。所有的资料必须是中文。
7）培训场所由卖方提供。
8）培训时间和日期与招标方协商决定。
9）培训费用根据培训内容按照每人每天计算。
10） 培训费用单独报价，不计入总价。
11） 卖方应提供现场免费培训。
4.2.2 培训内容与课程要求
1） 培训内容应包括：卖方所提供的软、硬件设备的相关技术原理、性能、操作使用方法、维护管理的技术、实际的操作练习等。使买方具备独立进行管理、维护测试和故障处理等工作的能力，以保证卖方所提供的设备能够正常、安全运行。
2） 培训费用包括课程费、资料费等，不计入总价。
3） 提供详细培训体系内容。