集团公司总部堡垒机采购采购公告

系统名称

基本要求

维保期

堡垒机
（数据中心风险洞察系统RIS-L3000Q）

1U设备 硬盘不少于1T 内存8G 网络接口 2个千兆口。设备授权不少于250个，至少可管理250台设备，其中包括WINDOW、LINUX、主流厂商防火墙、主流厂商存储、数据库，可通过页面访问业务系统。

三年

KEY

适配集团现有的KEY或赠送20个适配堡垒机KEY。确保双因子认证

项目

基本要求

用户管理

支持根据功能模块来自定义用户角色，并内置超级管理员、配置管理员、审计管理员、自动化管理员和操作员五种角色。

内置动态令牌认证、USBKEY认证和手机令牌认证；

支持X.509证书认证方式

支持国密动态令牌认证方式，满足国密标准的身份认证要求

支持双因子组合认证，可以将两种认证组合为全新的双因子身份认证方式，而非一种双因素认证。

支持用户账号的批量导入和批量导出；

支持对用户属性信息在页面中直接批量修改

支持AD账号的定期自动化同步，当AD域中的账号有变更时，会被自动同步的系统中，并加入预定义的用户分组。

具备账号密码的防爆力破解功能，可在用户持续输错若干次密码后，自动锁定账号或者客户端，锁定时长能够自定义。

支持对用户账号登录IP、登录终端MAC地址的限制；

资产管理

支持动态全景视图管理，管理员在设置好资产的层级关系后，系统可自动生成动态全景树状视图；（需提供加盖原厂鲜章的功能界面截图证明）

支持资产属性多个层级的标签化管理。

支持对资产信息和资产属性在页面中直接批量修改。

支持AS400的TN5250协议资产管理、代填和命令审计

支持资产添加后的一键网络端口连通性测试、ping连通性测试和资产登录测试；

支持目标资产的自动化跳转登录和账号切换登录；

支持应用发布功能，可集中管控各类B/S、C/S应用；

支持等价资产管理和等价账号管理，当等价关系设定后，其中一台资产内的账号密码发生变更，等价的资产、账号密码随之自动变更。

支持对IPV6资产的管理；

权限管控

支持基于ABAC模式的动态权限管控，管理员可基于用户属性、资产属性、系统账号属性来创建弹性动态权限规则，只要满足相关属性的用户、资产、账号即会被自动赋予对应访问权限；（需提供加盖原厂鲜章的功能界面截图证明）

支持对web系统资产可限制其访问的URL。

支持对通过rdp协议登录到目标资产后的剪贴板控制，可限制剪贴板的文件上行、字符上行、文件下行、字符下行操作；

支持变更单管理功能，管理员可以基于使用人、资产、系统账号、到期时间，来上传、创建值班表模式的权限变更单，变更单无需审批，但可以自动生成时效性的访问权限；

支持按用户/用户组/资产/资产组查看访问权限，权限内容含资产、账号、规则模板及对应的权限策略名称，并可通过EXCEL导出相应权限关系；

支持基于A/B角管理模式的双人复核，当用户登录到目标资产时，必须经过复核人的复核确认后才能正常操作；当会话复核人发现操作存在风险，可实时暂停。

支持高危命令权限控制，当用户试图去执行高危命令时，会被系统自动给予告警、放行、拒绝、切断会话、转发给管理员复核；高危命令权限控制支持命令黑白名单和命令正则表达式；

资产访问

支持以树状结构方式展现用户可访问的资产信息；

支持资产一键收藏功能，以便用户通过系统进行快捷资产登录；

支持批量启动功能，可一次性登录选择好的目标资产；

支持自定义资产访问参数，如桌面分辨率、需要映射的磁盘、会话启动方式等；（需提供加盖原厂鲜章的功能界面截图证明）

支持图形会话的自动TLS加密

支持会话多人共管模式，当前运维人员可以邀请其他用户共享或者协助当前操作会话。

支持通过苹果电脑的浏览器web方式启动rdp会话和SSH会话。

支持显示当前资产的连接数量和会话基本信息，便于运维员了解即将访问的资产会话连接情况

支持在web页面批量访问RDP资产，且是html5方式运维（需提供加盖原厂鲜章的功能界面截图证明）

支持用户单来源地址限制，使得同一用户帐号同时只被允许从一个IP地址访问；

支持会话负载限制，防止任意图形会话、字符会话、数据库会话因为占用资源过高导致系统过载甚至宕机；

行为审计

具备命令识别方面的先进性技术，可实现对命令行操作行为的100%记录；

具备数据库审计方面的先进性技术，可实现对oracle、sqlserver、mysql数据库客户端操作行为的100%的SQL语句解析审计，非键盘记录；

支持从任一条sql语句开始,可录像式的回放用户操作过程；

支持64倍速播放功能。

支持IPv6资产的运维审计日志。

支持对用户命令操作的输入输出，在同一界面展示，并能自动以不同颜色标记出被系统拒绝、切断的操作；

具备OCR图形识别技术，可以对图形操作过程中的键盘鼠标操作、剪贴板操作、标题栏操作三大类信息，进行文本审计；

支持图形会话的按标题和大小进行切片展示功能，管理员点击任意切片，即可直接定位到对应操作片段；

支持文件传输审计，可以完整记录用户通过系统进行的SFTP、剪切板、磁盘映射、rz/sz四大类文件传输操作，并可对传输的文件信息进行留存，以便于事后审计；

支持二次检索功能，可根据检索结果调整检索条件进一步缩小检索范围，提高检索精度。

支持将多个会话的操作片段进行一键合并和基于时间的操作排序重组。

统计报表

管理员可以手动定制报表模版，并支持根据不同模版自动生成日报、周报、月报，报表内容自动发送给相关管理员；

可以统计出某段时间内，用户执行高危命令的情况；

报表支持HTML、excel、pdf格式导出；

自动改密

支持对网络设备、服务器、AD域账号的动态自动改密功能，可基于资产属性和账号属性创建弹性动态改密规则，只要满足相关属性的资产和账号即会被自动纳入改密计划

支持自定义密码规则，包括密码策略、是否分段保管、密码备份方式等，密码策略包括随机生成相同密码、随机生成不同密码、指定密码、密码集；密码备份方式支持分段加密外发到邮箱或者文件服务器；

支持便捷的expect自定义改密命令的模式，保证字符改密的易用性

支持历史账号密码留存；

支持账号密码定期自动备份；

网盘传输

免客户端：支持通过web页面直接进行文件的上传和下载，无需在本地安装应用程序、客户端。（需提供加盖原厂鲜章的功能界面截图证明）

配额管理：支持全局修改用户profile空间配额，用户存放的文件大小不能超过该配额。（需提供加盖原厂鲜章的功能界面截图证明）

文件分享：用户可以将自己profile中的文件，直接分享给其他用户。

网盘传输：支持用户将暂存在个人profile中的文件，一键上传到目标系统或者一键下载到用户本地。

传输进度可视化：支持在web页面上通过进度条的方式展示传输进展。

产品部署

支持active-standby方式的HA部署；

支持多A集群部署，且系统内置负载均衡，无需用户另置负载均衡设备；

支持跨地域的多A集群模式和HA模式部署；

支持总分部署模式，即提供堡垒机管理总中心+分支节点的部署模式，且中心需支持HA和集群，节点支持单机或HA。

系统管理

系统语言支持中英文自由切换；

支持同一堡垒机用户只能从一个IP地址访问堡垒机，并且支持开关功能。

支持定期自动备份审计数据至文件服务器，定期清理过期的审计日志；

支持在Web界面自定义设置字符、图形、Web等服务的网络端口；

支持在Web界面中查看系统的负载，磁盘占用空间以及关键进程的健康状态；

支持三级以上的部门分权管理，使得不同部门的管理员只能管理自己部门的账号、资产、权限及审计日志；

API接口

系统至少具备登录认证、访问权限、用户账号、目标资产、操作审计、定期改密、命令复核的标准API接口；