流量

采集

支持常見協(xié)議識(shí)別并還原網(wǎng)絡(luò)流量，用于取證分析、威脅發(fā)現(xiàn)，支持：http、dns、smtp、pop3、imap、webmail、DB2、Oracle、MySQL、sql server、Sybase、SMB、FTP、SNMP、telnet、nfs等

支持對(duì)流量中出現(xiàn)文件傳輸行為進(jìn)行發(fā)現(xiàn)和還原，并記錄文件MD5發(fā)送至分析設(shè)備，如可執(zhí)行文件（EXE、DLL、OCX、SYS、COM、apk等）、壓縮格式文件（RAR、ZIP、GZ、7Z等）、文檔類型文件（word、excel、pdf、rtf、ppt等）

支持常見數(shù)據(jù)庫協(xié)議的識(shí)別或還原：DB2、Oracle、SQL Server、Sybase、MySQL、MongoDB、PostgreSQL等協(xié)議;

支持TCP/UDP會(huì)話記錄、異常流量會(huì)話記錄、web訪問記錄、域名解析、SQL訪問記錄、郵件行為、登錄情況、文件傳輸、FTP控制通道、SSL加密協(xié)商、telnet行為、IM通信等行為描述

威脅

檢測(cè)

支持基于流量實(shí)時(shí)IOC匹配功能，設(shè)備具備主流的IOC，情報(bào)總量30+萬條

支持檢測(cè)針對(duì)WEB應(yīng)用的攻擊，如SQL注入、XSS、系統(tǒng)配置等注入型攻擊；

支持跨站請(qǐng)求偽造CSRF攻擊檢測(cè)；

支持其他類型的WEB攻擊，如目錄遍歷、弱口令、權(quán)限繞過、信息泄露、文件包含、文件寫入攻擊等檢測(cè)

支持基于工具特征的WEBSHELL檢測(cè)，能通過系統(tǒng)調(diào)用、系統(tǒng)配置、文件的操作來及時(shí)發(fā)現(xiàn)威脅；如：中國(guó)菜刀、小馬上傳工具、小馬生成器等

支持基于webshell函數(shù)的攻擊檢測(cè)，如文件包含漏洞、任意文件寫入、任意目錄讀取、任意文件包含、preg_replace代碼執(zhí)行等

支持基于代理程序的攻擊檢測(cè)，如TCP代理程序、HTTP代理程序等

策略

配置

支持基于網(wǎng)絡(luò)請(qǐng)求的語義分析檢測(cè)，能夠?qū)⒕W(wǎng)絡(luò)請(qǐng)求拆分后從請(qǐng)求頭、響應(yīng)頭、請(qǐng)求體、響應(yīng)體四方面詳細(xì)展示請(qǐng)求內(nèi)容，并能提升對(duì)未知威脅檢測(cè)能力

支持基于IP地址的旁路阻斷，能夠在實(shí)時(shí)鏡像的流量中發(fā)現(xiàn)惡意IP并實(shí)現(xiàn)實(shí)時(shí)阻斷

支持基于域名URL的旁路阻斷，并能將URL請(qǐng)求進(jìn)行重定向

威脅

分析

支持從威脅情報(bào)、應(yīng)用安全、系統(tǒng)安全和設(shè)備安全的業(yè)務(wù)場(chǎng)景維度對(duì)告警進(jìn)行二次分析。

威脅情報(bào)維度分析包括：情報(bào)詳情、影響資產(chǎn)列表、資產(chǎn)的行為（行為包含：DNS解析、TCP流量、UDP流量、WEB訪問、文件傳輸）

應(yīng)用安全的細(xì)分維度包括：WEB安全、數(shù)據(jù)庫安全、郵件安全、中間件安全

系統(tǒng)安全的細(xì)分維度包括：主機(jī)爆破、弱口令、未授權(quán)行為、挖礦行為。

支持與云端威脅情報(bào)中心聯(lián)動(dòng)，可對(duì)攻擊IP、C&C域名和惡意樣本MD5進(jìn)行一鍵搜索，查看基本信息、相關(guān)樣本、關(guān)聯(lián)URL、可視化分析、域名解析、注冊(cè)信息、關(guān)聯(lián)域名、數(shù)字證書等。

支持基于威脅情報(bào)的威脅檢測(cè)，檢測(cè)類型包含APT事件、僵尸網(wǎng)絡(luò)、勒索軟件、流氓推廣、竊密木馬、網(wǎng)絡(luò)蠕蟲、遠(yuǎn)控木馬、黑市工具、其他惡意軟件，并可自定義威脅情報(bào)

支持對(duì)告警進(jìn)行加白，加白參數(shù)包括受害IP、攻擊IP、威脅情報(bào)、規(guī)則、XFF、URL、威脅名稱。

支持對(duì)威脅告警事件進(jìn)行調(diào)查分析，結(jié)合大數(shù)據(jù)分析技術(shù)以攻擊鏈視角進(jìn)行呈現(xiàn)。

可統(tǒng)計(jì)并展示任意時(shí)間段的流量日志總數(shù)、生效威脅情報(bào)數(shù)、威脅告警等相關(guān)信息。

場(chǎng)景化分析

支持對(duì)業(yè)務(wù)資產(chǎn)主動(dòng)外連行為檢測(cè)，包含：外連IP、外連IP歸屬、服務(wù)商、外連流量大小。

DGA域名發(fā)現(xiàn)，通過結(jié)合機(jī)器學(xué)習(xí)技術(shù)發(fā)現(xiàn)動(dòng)態(tài)惡意域名，檢測(cè)行為特征包含包含請(qǐng)求域名以及檢測(cè)的準(zhǔn)確率。

HTTP代理發(fā)現(xiàn)，檢測(cè)行為特征包含：代理IP、代理端口、代理次數(shù)。

SOCKS代理發(fā)現(xiàn)，檢測(cè)行為特征包含：代理IP、代理端口、代理次數(shù)。

reGeorg Tunnel發(fā)現(xiàn)，檢測(cè)行為特征包含：tunnel地址、關(guān)聯(lián)圖、操作命令、目標(biāo)IP。

異地賬號(hào)登錄，檢測(cè)行為特征包含：登錄IP歸屬、賬號(hào)、登錄資產(chǎn)IP、使用協(xié)議、登錄次數(shù)、登錄成功率。

暴力破解，檢測(cè)行為特征包含：登錄IP歸屬、使用協(xié)議、爆破次數(shù)、爆破成功與否。

明文密碼泄露，檢測(cè)行為特征包含：登錄賬號(hào)IP、賬號(hào)、密碼、使用協(xié)議。

弱口令監(jiān)測(cè)，檢測(cè)行為特征包含：弱口令、弱口令對(duì)應(yīng)賬號(hào)。

支持自定義關(guān)鍵詞發(fā)現(xiàn)惡意郵件還支持郵件白名單，檢測(cè)內(nèi)容包含：發(fā)件人、收件人、關(guān)鍵詞、郵件主題、抄送、附件文件名、郵件正文。

調(diào)查

分析

威脅事件的追蹤溯源分析能力，可基于事件告警進(jìn)行調(diào)查分析，對(duì)攻擊過程進(jìn)行可視化展現(xiàn)，可展示命中威脅情報(bào)的內(nèi)部主機(jī)之間的連接行為，能輸出完整的基于時(shí)間序列和攻擊鏈的事件報(bào)告，事件報(bào)告支持word格式導(dǎo)出。

日志

檢索

可對(duì)TB級(jí)日志做到快速搜索，搜索時(shí)間小于30s

可將日志區(qū)分為普通流量日志、告警日志、終端日志，并可按照不同的日志類型就行日志篩選。

授權(quán)

服務(wù)

需提供12個(gè)月產(chǎn)品授權(quán)服務(wù)，包括：產(chǎn)品功能升級(jí)、產(chǎn)品規(guī)則庫升級(jí)、技術(shù)咨詢、產(chǎn)品威脅情報(bào)更新服務(wù)、故障判斷、故障報(bào)修服務(wù)。

在授權(quán)服務(wù)有效期內(nèi)，需提供400技術(shù)支持服務(wù)，遠(yuǎn)程技術(shù)支持內(nèi)容包括針對(duì)產(chǎn)品的部署問題、配置問題、產(chǎn)品功能問題、產(chǎn)品授權(quán)問題、產(chǎn)品升級(jí)問題、產(chǎn)品安全性問題、易用性問題、兼容性問題等的遠(yuǎn)程回復(fù)。

在授權(quán)服務(wù)有效期內(nèi)，需提供接收到為更新和增加產(chǎn)品功能，修復(fù)產(chǎn)品缺陷而提供的產(chǎn)品功能更新。產(chǎn)品更新支持在線更新或離線更新兩種方式進(jìn)行。

在授權(quán)服務(wù)有效期內(nèi)，需提供服務(wù)器入侵檢測(cè)、網(wǎng)站漏洞利用檢測(cè)和webshell上傳檢測(cè)模塊的規(guī)則庫升級(jí)服務(wù)。

在授權(quán)服務(wù)有效期內(nèi)，需提供產(chǎn)品威脅情報(bào)更新功能，本地設(shè)備可及時(shí)獲取云端威脅情報(bào)庫。

提供的產(chǎn)品授權(quán)服務(wù)需和現(xiàn)有設(shè)備兼容，不存在兼容性問題。

在授權(quán)服務(wù)有效期內(nèi)，需提供在發(fā)現(xiàn)有異常問題時(shí)對(duì)問題設(shè)備進(jìn)行故障判斷的服務(wù)，確認(rèn)問題后進(jìn)行故障登記和報(bào)修，供應(yīng)商跟進(jìn)故障修復(fù)進(jìn)展直至解決問題。

其他

需提供制造廠商對(duì)本項(xiàng)目的售后服務(wù)承諾函。

安全分析平臺(tái)授權(quán)許可

TY-TSS10000-A58軟件更新服務(wù)

1

TY-TSS10000-A58-ASD-UDL-WXQB威脅情報(bào)更新服務(wù)

1

TY-TSS10000-A58-ASD-UDL-GZK規(guī)則庫更新服務(wù)

1

TY-TSS10000-A58-QPS-PWS-12硬件維保服務(wù)

1

TY-TSS10000-S56軟件更新服務(wù)

1

TY-TSS10000-S56-ASD-UDL-WXQB威脅情報(bào)更新服務(wù)

1

TY-TSS10000-S56-ASD-UDL-GZK規(guī)則庫更新服務(wù)

1

TY-TSS10000-S56-QPS-PWS-12硬件維保服務(wù)

1