广发证券总部高级威胁监测系统文件沙箱扩容项目供应商征集公告

功能项

子功能项

功能需求描述

信创要求

信创要求

支持国产安全自主可控，满足信创兼容性要求，支持银河麒麟等操作系统，CPU支持鲲鹏、海光等，

部署方式

工作模式

支持多种工作模式，包含正常模式、快速模式、极速模式，可根据用户对处理速度、检测率和报告的详细程度的不同需求进行调整，选择方式多灵活性高；

高可用

支持与现网文件沙箱系统组成集群部署模式，提供高可用的负载均衡能力；

可视化控制台

设备状态可视化

支持可视化显示沙箱运行状态、威胁检测情况、平台硬件状态，以及硬件状态数据进行展示，包括内存、CPU、磁盘使用率等；支持弹性配置监控页面布局，支持监控页面自动切换和刷新，支持配置刷新频率

样本分析能力

文件样本提交支持和预处理

支持文件、URL、URL列表（IP、Domain）、捆绑文件的提交分析，支持手动提交、开放的API接口、通过ICAP客户端提交分析样本；样本可预扫描等

沙箱分析

支持Win7、Win10、win11、Win 2019 server、Ubuntu18，Centos8，kylin V10 SP1，UOS desktop 20 pro等沙箱镜像，支持常见文件动态检测。

支持根据现网操作系统版本及应用程序进行高度模拟和定制化，自主制作沙箱环境的镜像并导入使用

支持对恶意样本的以下行为进行动态分析：进程操作行为、文件操作行为、系统配置操作行为、网络通信行为、内存镜像分析、休眠逃逸、虚拟层检测、加壳检测、躲藏、欺骗、注册表操作行为、劫持、重定向或数据窃取等行为，支持批量检测；

支持提供样本分析报告，报告内容包括：文件类型、文件风险级别、威胁特征、调用系统API信息、屏幕快照、URL链接、IOC威胁名称、IOC恶意家族、IOC流行度等

支持根据实际需要配置每种镜像沙箱实例的数量

支持对沙盒平台的状态进行实时监控，包括排队文件数、处理中文件数等；支持未知威胁事件证据留存

动态检测支持超过50种文件类型，支持设置指定动态分析/不分析的文件类型

支持自定义YARA规则，精准侦测恶意样本，为威胁研究员搭建深度狩猎分析的高效平台，确保分析结果能迅速落地应用，全面提升安全防护效能。

恶意URL防护

可通过云端URL评估数据库查询、沙箱技术动态分析可疑链接、网页动态脚本分析过滤、针对URL指向的可疑文件进行沙箱分析、云端和本地威胁评估特征查询等方式检测URL 可从嵌入在MS Office以及PDF文档附件中提取URL

生成本地威胁特征

对于确认的威胁，可生成文件SHA1以及C&C本地威胁特征，可提供给其他授权的安全产品使用

自定义解压密码

支持从页面和API接口获取指定解压密码，自动解压分析加密压缩包

压缩文件检测

支持解压之后进行动态检测的压缩文件类型不少于16种，包括常见但不限于常见压缩文件；支持对压缩文件中的多个子文件进行检测，可识别压缩文件的衍生文件（最多可解压并静态检测10000个子文件，最多动态检测10个，报告中最多包含100个子文件）；

支持检测多层（最多20层）压缩格式的附件文件

样本分析优先级和样本清理

可以查看排队样本优先级，支持对排队样本设置最高优先级；支持批量删除所有正在处理样本和排队样本

沙盒管理

提交者管理

支持对不同来源的文件提交对象进行管理和分配权重，支持体现具体的提交对象名称、样本过去7天和一天平均处理时间、提交个数、超时的样本数量。

沙盒状态

支持查看沙盒状态，包括正在排队和正在处理的样本数量，每种镜像沙盒实例的使用率等，文件sha1、IP、域名、URL进行加白、加黑单个和批量处理；

SNMP管理

支持以SNMP代理方式提供以下数据：样本上传API接口失败计数 、上传样本量计数、队列中样本数量。

日常管理

日志管理

支持Syslog协议，可以实时传输日志到syslog服务器，选择传输的内容类型。Syslog日志支持CEF和LEEF格式

可依照档案 SHA1和MD5，对可疑文档数据库进行查询

可从本系统下载可疑威胁文档样本，并提供加密保护

支持设置自动优先清除正常文件样本仅保留威胁告警样本

报表系统

支持手动或定时自动生成经过分析后的图形化日/周/月报表，支持HTML和PDF报表格式

支持自动寄送报表功能

支持通过可视化中心或报表可以查看详细样本活动及C&C外联通讯等全部分析结果