ZB_ZHAOBIAOGONGGAO_START 中国电信安全公司****年安全大脑网关设备采购项目（标包4：防护型虚拟版）（第二次） ( 招标 )
资格预审公告
中国电信安全公司****年安全大脑网关设备采购项目 已批准， 招标人 为 天翼安全科技有限公司 ，建设资金来自 招标人自筹 ，项目已具备 招标 条件，现进行资格预审，特邀请有意向的潜在 投标人 （以下简称申请人）提出资格预审申请。
2.1资格预审编号： I************************
2.2项目概况： 本项目采购中国电信安全公司****年安全大脑网关设备采购项目所需的安全大脑网关设备。
2.3交货时间、交货地点： 按照订单中规定的时间、地点交货 。
2.4项目性质：货物 招标 ，资格预审。
2.5项目规模： 本项目共划分6个标包，分别为标包1：审计型；标包2：商密型、标包3；防护型国际版；标包4：防护型虚拟版；标包5：审计型虚拟版；标包6：插件型安全猫安审版。本文件仅为标包4，其余标包详见其他文件
| 序号 | 产品名称 | 规格型号 | 数量（个） | 交货地点 | 估算金额（元） |
| 1 | 虚拟防护型CTSGW-VF**** | 详见关键技术指标 | **** | 全国，具体按照订单中规定的地点 | 2,**5,**0.** |
| 2 | 虚拟防护型CTSGW-VF**** | **0 | **7,**0.** | ||
| 注：上述采购数量为预估量 | |||||
本项目将按照最新的《中国电信供应商不良行为管理规则》执行供应商不良行为处理结果，请重点关注处理结果适用的供应商主体、被处理产品、处理范围、禁限期、处理措施等关键内容，请务必登录中国电信阳光采购网（******）查阅《中国电信供应商不良行为管理规则》。
2.6技术要求/产品规格：详见上述2.5条。
2.7标包划分情况（如有）： 详见上述2.5条
3.1申请人基本资格要求
3.1.1 申请人应为 中华人民共和国境内 法律上和财务上独立的法人或依法登记注册的其他组织，合法运作并独立于 招标人 和 招标代理机构 。法人下属不具备法人资格的分支机构参与资格预审申请的，应提供所属法人针对本项目或覆盖本项目的经营事项的有效授权。
3.1.2申请人的法定代表人或负责人为同一人或者存在控股、管理关系的不同申请人，不得参加同一标包 投标 或者未划分标包的同一 招标 项目 投标 。
${ 3.1.3 } ${ 3.1.3 } 3.1.3 本次资格预审 不接受 联合体资格预审申请。 ${联合体申请资格预审的，应满足下列要求： （1）联合体各方必须按资格预审文件提供的格式签订联合体协议书，明确联合体牵头人和各方的权利义务； （2）由同一专业的单位组成的联合体，按照资质等级较低的单位确定资质等级； （3）通过资格预审的联合体，其各方组成结构或职责，以及财务能力、信誉情况等资格条件不得改变； （4）联合体各方不得再以自己名义单独或加入其他联合体在同一标包或者未划分标包的同一资格预审项目中参加资格预审。 ${ （5） 。} }
3.1.4 本次资格预审 不接受代理商资格预审申请。
${ （1） 投标 产品制造商注册地在中华人民共和国境外（与中华人民共和国有正常贸易与往来的国家或地区）及香港、澳门、台湾地区且必须使用代理商 投标 和签订销售合同的；（2） 投标 产品制造商为注册地在中华人民共和国境内的外资企业（包括香港、澳门、台湾地区资本）或者由外国投资者（包括香港、澳门、台湾地区）享有绝对控制权（最大或最多表决权）的企业且必须使用代理商 投标 和签订销售合同的。代理商申请资格预审的，应满足下列要求：} ${ （1） 【本项目/本标包/同类产品】仅允许代理唯一制造商申请资格预审，且该制造商不得再自行申请资格预审或再委托其它申请人申请资格预审。
${ （2）申请人与 投标 产品制造商的代理合作关系迄今为止应已持续 0 年（含）以上。} ${ （3） } } ${ 3.1.6 与申请人有投标产品代工制造关系的制造商不得参加同一标包投标或者未划分标包的同一招标项目投标。 } ${ 3.1.7 } 3.2申请人不得存在下列情形之一
（1） 为 招标人 不具有独立法人资格的附属机构（单位）；
（2） 被依法暂停或取消 投标 资格的；
（3） 被责令停产停业、暂扣或者吊销许可证、暂扣或者吊销执照；
（4） 进入清算程序，或被宣告破产，或其他丧失履约能力的情形；
（5） 在最近三年内（自 ****年**月**日 起）被相关行业主管部门或司法机关认定有骗取中标、严重违约、重大工程质量或者安全问题的；
（6） 在最近五年内（自 ****年**月**日 起）被判处单位行贿罪，且行贿行为与采购活动相关的（以“中国裁判文书网”的生效判决为准）；
（7） 在最近五年内（自 ****年**月**日 起）被判处合同诈骗罪的（以“中国裁判文书网”的生效判决为准）；
（8） 被最高人民法院在“信用中国”网站（******）或各级信用信息共享平台中列入失信被执行人名单，已执行完毕或不再执行的除外；
（9） 为本 招标 项目提供过设计、编制技术规范和其他文件的咨询服务；
（**） 为本工程项目的相关监理人，或者与本工程项目的相关监理人存在隶属关系或者其他利害关系；
（**） 为本 招标 项目的代建人；
（**） 与本 招标 项目的监理人或代建人或 招标代理机构 同为一个法定代表人；
（**） 与本 招标 项目的监理人或代建人或 招标代理机构 存在控股或参股关系；
（**） 被工商行政管理机关在国家企业信用信息公示系统中列入严重违法失信企业名单；
（**） 中国电信在职员工违规担任供应商法定代表人并参与采购活动的；
（**） 中国电信集团有限公司/中国电信股份有限公司中层及以上管理人员违反有关领导人员配偶、子女及其配偶经商办企业行为管理规定，其配偶、子女及其配偶经商办企业参与采购活动的；
（**） 中国电信领导人员离职或退休后三年内违反《国有企业领导人员廉洁从业若干规定》等相关规定任职、投资入股的私营企业、外资企业和中介机构，参与其原任职单位采购活动的；
${ （**） ；} （**） 其他按照中国电信供应商不良行为处理结果及《中国电信供应商不良行为管理规则》的结果执行规则，应对 投标人 及其 投标 产品在本项目中执行禁止采购处理措施的；
（**） 法律法规、资格预审文件限定的其他情形。
${ 申请人是代理商的，本条所指的申请人也包括其所代理的制造商。} ${ 联合体 投标 的，联合体成员均不得存在上述任一情形。} 3.3 投标 产品资格要求
3.3.1 投标 产品应是来自中华人民共和国 ${或是与中华人民共和国有正常贸易与往来的国家或地区} 的成熟稳定的产品。
${ 3.3.2 投标 产品 。} ${ 3.3.3 } ${ 3.3.4 } 3.3.2 投标产品应符合中国电信相关技术要求，并满足以下关键技术指标（防护型虚拟版终端场景）：
| 功能类别 | 功能项名称 | 具体要求 | 是否测试 | |
| 1 | 网络功能要求 | 部署模式要求 | 防护型虚拟版终端软件应支持路由工作模式。在此模式下的接口工作在三层状态，不同接口设置不同的IP地址段，划分为不同的安全域。采用路由方式转发网络流量，并支持静态路由、动态路由、策略路由等功能。 | 否 |
| 2 | 路由功能要求 | 防护型虚拟版终端软件应支持静态路由功能。静态路由是手工定义的路由条目，根据目的地址指定下一跳，因此也称作目的路由。对外连接较少或者内网连接相对比较稳定的网络通常使用静态路由。管理员可以根据需要确定是否添加默认路由条目。 | 否 | |
| 3 | NAT要求 | ·静态网络地址转换(Static NAT) | 是 | |
| 4 | IPv6要求 | 1、IPv6网络环境 | 是 | |
| 5 | 安全功能要求 | 安全策略要求 | 防护型虚拟版终端软件应支持安全策略功能。安全策略是网络安全设备的基本功能，控制安全域间/不同地址段间的流量转发。 | 是 |
| 6 | 策略的规则和动作要求 | 安全策略的匹配规则元素应至少包含源和目的安全域、源和目的IP、服务、应用等 | 是 | |
| 7 | 安全日志要求 | 防护型虚拟版终端软件应支持安全策略规则开启日志记录功能，记录匹配安全策略的所有日志。 | 否 | |
| 8 | APT 攻击防护要求 | 4 威胁情报检测 | 否 | |
| 9 | 入侵防御要求 | 防护型虚拟版终端软件应支持入侵防御IPS功能，对网络间传输的报文进行深层检查，通过制定规则和下发相应的策略，对非法的、不正常的、含攻击行为的报文能实时的告警和拦截。入侵行为包括蠕虫、病毒、木马、拒绝服务、扫描工具等。 | 是 | |
| ** | 病毒过滤要求 | 防护型虚拟版终端软件应支持防病毒功能，提供高速、高性能以及低延迟的病毒过滤解决方案。配置系统的病毒过滤功能后，终端软件能够探测各种病毒威胁，例如蠕虫、木马、恶意软件、恶意 网站等，并且根据配置对发现的病毒进行处理。 | 是 | |
| ** | 黑白名单 | IP黑名单，拦截方向包括对源IP、目的IP、源和目的IP；拦截时间支持“永久拦截”、“自定义时间”。 | 是 | |
| ** | 威胁情报与信誉要求 | 1、IP类IOC情报： | 是 | |
| ** | SSL卸载功能要求 | 与AV、IPS、URL、文件过滤、内容过滤结合使用，防护型虚拟版终端软件应支持对HTTPS/POP3S/SMTPS/IMAPS流量进行IPS防护、AV检测、文件过滤、URL过滤、内容过滤；对HTTPS流量进行网页关键字过滤、Web外发信息过滤以及应用行为控制；对POP3S/SMTPS/IMAPS流量进行邮件过滤。 | 否 | |
| ** | 境外地址拦截功能要求 | 防护型虚拟版终端软件设备的地域簿对象应支持境内、境外IP地址过滤和监控能力、IP地址范围涵盖全球所有国家/地区，支持针对境外或特定区域的IP地址阻断能力，地址簿持续自动更新。•地域对象：应支持按国家、地市等地区名称分类•动态更新：应支持每天自动同步更新，更新过程中不影响安全策略执行•策略联动：支持安全策略应用地域地址簿对象，支持基于国家、地市等地区的访问控制 | 是 | |
| ** | AI审计管控要求 | 大模型访问识别与管控 | 防护型虚拟版终端应支持对 ChatGPT、DeepSeek、minimax、Anthropic Claud、豆包、Kimi、智普AI、文心一言、腾讯云宝、通义千问、讯飞星火等通用大模型，Llama 系列等开源大模型，以及医疗、法律、金融等垂直领域大模型类应用进行精准识别，实现对各类大模型网页访问、客户端使用、API 调用等行为的可视、可审与可管。 | 否 |
| ** | 智能体访问识别与管控 | 防护型虚拟版终端应具备对 OpenClaw，以及国内衍生的各类 Claw类智能体的流量特征与行为识别能力，包括但不限于OpenClaw、AutoClaw（智普 AI/GLM-5)、WorkBuddy / QClaw、MaxClaw、KimiClaw（月之暗面）、CoPaw、LobsterAI（有道龙虾）、ArkClaw、Claude Code、Trae、EasyClaw、OneClaw、DuClaw/DuMate； | 否 | |
| ** | 管理功能要求 | 管理方式要求 | 防护型虚拟版终端软件应支持远程SSH管理、B/S管理或独立控制台软件管理。 | 否 |
| ** | 日志管理要求 | 登录类日志：记录管理员执行的登录、退出操作，每条日志字段应包括：账号、登录IP、登录方式、登录时间等信息； | 否 | |
| ** | 版本文件及特征库管理要求 | 为了使用新功能或者解决软件BUG，防护型虚拟版终端软件应支持能够升级版本文件。升级方式应包括但不限于本地升级、远程升级。 | 否 | |
| ** | license授权要求 | 防护型虚拟版软件出厂应在未激活license授权时保证业务转发正常，功能不生效。 | 否 | |
| ** | 自身安全要求 | 防护型虚拟版终端软件应支持配置限定用户登录的IP地址范围。 | 否 | |
| ** | 平台接入能力要求 | 安全大脑管理平台是运营商级集约化全域安全管控平台，依托客户侧安全网关搭建云边协同防护体系，面向全国政企提供标准化、规模化安全运营服务。招标网关设备须适配平台集中管控，满足三级等保要求，平台核心能力对标国家、公安及通信行业相关标准；规范内终端设备需支持与平台标准化对接，实现云边协同统一管控，适配电信多级运营场景，支撑规模化安全运营并兼容技术迭代升级。 | 否 | |
| ** | 轻量化上线要求 | 终端出厂配置要求 | 防护型虚拟版终端应支持出厂加载终端出厂配置。预配置包含安全策略、网络接口、安全防护、日志管理、设备管理和基础云平台纳管配置等，详见附录B2具体以中国电信安全公司最新要求为准。 | 是 |
| ** | 虚拟环境适配要求 | 虚拟环境适配要求 | 防护型虚拟版需实现多运行形态兼容适配，涵盖 Pod、虚拟机、Docker 等部署环境。结合中国电信标准 ICT 高阶网关业务发展需要，Pod 部署形态为硬性必支持要求，虚拟机、Docker 等其余部署形态按建议适配。 | 是 |
| ** | 终端软件纳管要求 | 安全大脑平台纳管要求 | 参考GB/T ****9-****中对终端集中管理能力要求，结合中国电信安全大脑业务CTG-MBOSS BSS 分册规范，安全大脑终端需具备： | 是 |
| ** | 配置可用性检查 | 配置可用性检查要求 | 针对“已纳管在线”终端软件进行上线可用性检查，厂商提供各检查项的原子能力接口，将检查结果上报至安全大脑平台。网关可用性检查项，至少包括：物理接口状态、接口方向判断、业务转发接口流量、安全策略配置检查、安全策略有效性、日志发送配置、设备系统时间等。 | 否 |
| ** | 网关信息采集更新 | 终端状态信息上报 | 厂家终端软件需要实时向安全大脑平台上报网关状态信息，包括但不限于： | 是 |
| ** | 终端信息采集监控 | 1、license信息（包含终端软件系统本身、各类特征库） | 是 | |
| ** | 网关下线解绑 | 终端软件下线解绑 | 厂家终端软件设备需要与安全大脑平台对接，支持由于客户退租、换机、其他等场景下，网关解绑下线处理，保障终端软件能够按预期下线与回收。 | 是 |
| ** | 防护流量数据采集 | 安全日志上报 | 厂家终端软件设备需要与安全大脑平台对接，将网关的安全日志，通过rsyslog+RELP或kafka或https等加密传输的方式上报到安全大脑平台，日志应能区分日志种类并上报必要的日志字段，日志种类至少满足CTSGW-****4要求，包括： | 是 |
| ** | 系统日志上报 | 厂家终端软件设备需要与安全大脑平台对接，将网关的系统日志，通过rsyslog+RELP或kafka或https等加密传输的方式上报到安全大脑平台，日志至少满足CTSGW-****4要求，包括： | 是 | |
| ** | 安全网关管控 | 反向管理 | 厂家终端软件设备需要与安全大脑平台对接，满足电信的集成设计，支持通过安全大脑平台反向管理安全路由设备；支持基于HTTPS或SSH的反向管理功能；支持基于免密和自定义密码反向登录到终端软件。 | 是 |
| ** | 黑名单下发 | 厂家终端软件设备需要与安全大脑平台对接，支持黑名单处置，满足CTSGW-****3要求，至少包括： | 是 | |
| ** | 威胁情报下发 | 厂家终端软件设备需要与安全大脑平台对接，支持自定义威胁情报处置，至少包括： | 否 | |
| ** | 配置文件管理 | 厂家终端软件设备需要与安全大脑平台对接，支持安全大脑平台做云端的配置文件备份和还原功能。 | 是 | |
| ** | 网关配置下发 | 1、安全策略配置 | 是 |
规格型号：
| 要求 | 虚拟防护版终端场景规格要求 | ||
| 终端软件类别 | 防护型虚拟版-****M场景 | 防护型虚拟版-****M场景 | |
| 终端型号 | CTSGW-VF**** | CTSGW-VF**** | |
| 适用接入带宽（单向） | 1G以内 | 5G以内 | |
| 虚拟环境适配要求 | Pod（必选）、虚拟机形态、docker可选 | ||
|
| |||
| Bypass要求 | 支持平台或软件bypass功能 |
| |
| 虚拟业务口 | ≥4个 | ≥8个 |
|
| 虚拟管理口 | ≥1个 | ≥1个 |
|
| 宿主机资源（CPU/内存） | 不超过4C/8G | 不超过8C/**G |
|
| ips规则库数量（条） | ≥**,**0 | ≥**,**0 |
|
| 黑名单规格（条） | ≥5,**0 | ≥**,**0 |
|
| 威胁情报规格（条） | ≥**0 万 | ≥**0 万 |
|
| ips检测率 | ≥**% | ≥**% |
|
| 情报检测率 | ≥**% | ≥**% |
|
| 应用层吞吐（Mbps）（电信零配置） | ≥2,**0 | ≥6,**0 |
|
| TCP新建连接数（条/秒）（电信零配置） | ≥**,**0 | ≥**,**0 |
|
| TCP最大并发连接数（条）（电信零配置） | ≥**0,**0 | ≥****,**0 |
|
| IPSEC VPN性能吞吐（Mbps） | ≥**0 | ≥**** |
|
| SSL VPN用户数（个） | ≥**** | ≥**** |
|
3.3.3 投标产品业绩要求： 投标产品业绩要求：投标人须提供签署日期自****年7月1日至资格预审公告发布之日前一日止的投标产品/投标同类产品（例如容器安全类、安全大脑等）在中华人民共和国境内市场上累计的销售额不少于**0万元（含）人民币。
注：投标人须附相关合同关键页（须包括合同标的内容、签约时间、合同金额、合同签章页，如果提供的是框架合同，需提供对应框架合同结算的发票或订单或结算单据，框架协议及其项下同一项目所有订单的累计金额均视为同一个合同计取)的扫描件或者其他相关证明材料，业绩时间以合同或框架订单签订时间为准，业绩金额按合同或框架下订单金额计取，证明材料不全无法确定为相关业绩的，不予认可。合同原件备查，如评审时需要核查，接到正式通知后，在规定时间内送达评审现场，否则业绩不予认可。
3.3.4 投标产品须具备合法有效的软件著作权登记证书或软件产品登记证书。
注：申请人须提供合法有效的软件著作权登记证书或软件产品登记证书扫描件。
${ 3.4 投标产品制造商（集成商、软件开发商、软件著作权人等）资格要求 3.4.1 制造商应提供合法有效的登记（或注册）证明文件，应具有良好的银行资信和商业信誉。} ${ 3.4.2 } ${ 3.4.2 } ${ 3.4.3 } ${ 3.4.4 } ${ 3.4.5 } ${ 3.5现场考察 本次资格预审将对文件审查合格的申请人进行现场考察，申请人应接受招标人组织的现场考察。现场考察情况与申请文件不符的，提供虚假资料的不能通过资格审查。 } 3.4评价检测
本次资格预审将对文件审查合格的申请人进行评价检测，申请人应参加招标人组织的评价检测。评价检测未达到本公告3.3投标产品资格条件要求中3.3.2条款技术关键指标要求的，不能通过资格审查。
3.5法律法规规定的其他要求。
4．资格预审方法
4.1本次资格预审采用合格制，资格审查标准和内容详见资格预审文件。
${ 4.1本次资格预审采用有限数量制，按照审查方法择优选取前 0 名通过资格审查，资格审查标准和内容详见资格预审文件。} 4.2通过资格审查的申请人均可参加本次资格预审范围内本项目 或相应标包 的 投标 。
4.3 通过资格审查的申请人不足3个时，招标人重新组织资格预审或采用资格后审进行重新招标。
5．资格预审文件的获取
5.1资格预审文件获取时间: ****年**月**日 **时**分**秒 至 ****年**月**日 **时**分**秒 （北京时间，下同）。
5.2资格预审文件获取方式：凡有意参与 投标 的潜在 投标人 ，请按以下步骤顺序进行操作，获取资格预审文件：
5.2.1登录“中国电信阳光采购网（******）” 后，通过“招投标-采购文件领取”模块或通过“电子采购入口”跳转中国电信电子采购系统，选择本项目进行资格预审文件登记申领。未在系统注册的潜在 投标人 须先进行注册，注册方法详见本公告“7申请人注册”。
5.3资格预审文件费用： 获取本资格预审文件不收取费用。 ${每套售价 0 元人民币，售后不退。支付要求： 。}
6．资格预审申请文件的递交
6.1资格预审申请文件递交截止时间： ****年**月**日 **时**分**秒 。
6.2电子资格预审申请文件的递交：登录中国电信阳光采购网（******）后，通过“招投标-我的项目”模块或通过“电子采购入口”跳转中国电信电子采购系统，选择本项目进行资格预审申请文件递交，申请人应在资格预审申请文件递交截止时间之前通过电子采购系统完成加密电子资格预审申请文件的上传。申请人未在电子采购系统进行资格预审文件申领登记或电子资格预审申请文件未按照要求加密的，将无法通过电子采购系统提交电子资格预审申请文件。
7．申请人注册
7.1中国电信阳光采购网注册
未注册过的潜在 投标人 ，须通过中国电信阳光采购网（******）首页“立即注册”模块完成注册后，方可申领本项目资格预审文件。
7.2 CA证书办理
参与电子采购的潜在 投标人 须提前办理CA证书进行电子资格预审申请文件编制和资格预审申请，并确保CA证书在使用时有效。CA证书办理流程详见中国电信阳光采购网“操作指引-CA办理”。
7.3技术支撑联系方式
服务热线：**********
服务邮箱：****（电子采购系统技术支撑）
****（CA证书办理技术支撑）
本次资格预审公告同时且仅在中国电信阳光采购网（******）、 中国招标投标公共服务平台（******） 上发布，其他媒体转载无效。
9.1联系方式
| 招标人 : | 招标代理机构 : | ||
| 地 址： | 地 址： | ||
| 邮 编： | 邮 编： | ||
| 联 系 人： | 联 系 人： | ||
| 电 话： | 电 话： | ||
| 电子邮件： | 电子邮件： | ||
| 网 址： | 网 址： | ||
| 开户银行： | / | 开户银行： | |
| 账 号： | / | 账 号： |
9.2异议接收方式
登录中国电信阳光采购网（******）后，通过“招投标-采购异议-提出异议”模块提出。
${**.行政监督部门
