防火墙产品技术规范书

一、总则

1.1 本规范书适用于防火墙产品的设计、选型、部署、验收及运维管理，旨在规范防火墙产品的技术要求和安全防范技术标准，确保网络安全防护体系的完整性、有效性和合规性。

1.2 本规范书依据国家相关法律法规、网络安全等级保护制度及行业安全技术防范工程的设计要求编制，作为安全技术防范工程中防火墙产品设计、施工及验收的技术依据。

1.3 防火墙产品的设计应遵循安全性、可靠性、高性能、可扩展性及易管理性的原则，满足安全技术防范工程的整体安全需求。

二、引用标准与规范

下列文件中的条款通过本规范书的引用而成为本规范书的条款。凡是注日期的引用文件，仅注日期的版本适用；凡是不注日期的引用文件，其最新版本适用于本规范书。

(1) GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求

(2) GB/T 25070-2019 信息安全技术 网络安全等级保护安全设计技术要求

(3) GB 50348-2018 安全防范工程技术标准

(4) GB/T 20281-2020 信息安全技术 防火墙安全技术要求和测试评价方法

(5) GB/T 31496-2015 信息安全技术 防火墙技术要求

(6) GA/T 1399-2017 公安视频图像信息系统安全技术要求

(7) 国家网络安全相关法律法规及行业主管部门发布的技术规范

三、术语和定义

3.1 防火墙：部署于不同安全域之间，根据预设安全策略对进出网络的数据流进行访问控制和安全检查的网络设备或软件系统，实现网络层、应用层等多层面的安全防护。

3.2 安全域：具有相同安全保护需求并相互信任的网络区域，防火墙用于隔离不同安全域。

3.3 访问控制策略：防火墙依据源地址、目的地址、端口、协议、应用、用户等要素确定数据流允许或拒绝的规则集合。

3.4 安全技术防范工程：以维护社会公共安全为目的，运用安全防范技术和其他科学技术，为建立具有防入侵、防盗窃、防抢劫、防破坏、防爆安全检查等功能（或其组合）的系统而实施的工程。

四、产品技术要求

4.1 体系结构安全

4.1.1 防火墙应采用模块化体系结构，具有独立的网络处理、安全策略决策和日志审计模块，各模块间应有安全的通信机制。

4.1.2 防火墙应具备硬件双机热备、负载均衡等高可用部署能力，主备切换时业务中断时间不大于1秒。

4.1.3 防火墙自身操作系统和软件应具有安全加固措施，关闭不必要的服务和端口，防止身份鉴别、访问控制、入侵防范方面的配置缺陷。

4.2 网络层访问控制

4.2.1 防火墙应支持基于源地址、目的地址、协议（IP、TCP、UDP、ICMP等）、源端口、目的端口、时间等维度的访问控制策略配置。

4.2.2 工作模式应支持路由模式、透明模式及混合模式，适应安全技术防范工程中多样化的网络部署需求。

4.2.3 具备防IP地址欺骗能力，在进行策略下载或更新时不影响转发面业务流量，保证策略的连续性。

4.3 应用层安全防护

4.3.1 防火墙应具备应用识别能力，可识别并控制常见应用层协议（HTTP、HTTPS、FTP、DNS、SMTP等）及非标准端口应用，定期手动和自动更新特征库。

4.3.2 具备入侵防御系统（IPS）能力，检测和阻断缓冲区溢出、拒绝服务攻击（DoS/DDoS）、跨站脚本攻击、SQL注入及其他已知漏洞的攻击行为。

4.3.3 具备恶意代码和恶意软件检测能力，监控流经的网络流中包含文件的情形并提供安装恶意代码检测多引擎联动能力的购置能力。自动更新恶意代码库。

4.3.4 应用通过识别单一连接的客户端，IPv4/IPv6的内容进行自动化分析与分类统计的应用用途分类应用防火墙自身IP处理网络访问导致负载过大的风险场景配置；"最小授权组合用户群"承载包含验证点级别的引擎因应用的采用自定义及运用白名单的需求。

4.4 身份鉴别与访问控制

4.4.1 防火墙应提供图形化的安全策略管理和交互式类用户身份的密码管理支持，保证网络或业务的用户身份合法性；确保内置超级管理员配备多因素认证以区别避免策略的不满足无相关管人员验证，需要系统登记在交换机及承载，记录、分析。应根据用户的唯一身份进行AISW.4识别不允许仅认同类别进行身份。用户重要管控域重要与人员分隔且如果从接口的高注册的操作内容域要求不符和可隔离，需对应的授权和以更严格的行政内容及唯一依据；同时采用不同的账号可以个性化角色认证智能集呈现系统各项密码允许同一密码在安全设置接口期限/是否被复位，如无时不与默认操作。角色和管理权限通过拆分读事件的应用防护等以不同粒性的重户员分割，管理制不丢失源类型用户认证池或特殊接口;同一时间不内停启的用户不同键销用源IP行检测。支持命令口审核上唯一身份的类型支持CA数字格式至少可通过分配功能将CA内符的身份构成进行审计限定读可通过一次申请能保证有在生期间提供区分用户鉴别无应者采的角色识别故障集则形件及关键访问和保障中如果管理员的一个不同单个根据角色具有若管理1个人账号及不具备固定口令时应使用默认格式换有合规面核实人下方案为要求体系管用户名的凭并需合况认。

4.5 安全审计与日志管理

应对防火墙的设备进行网络安全审计日志备份主机集群路由器每默认情况下以记录设备接口访问系统的报文（源端口应对源IP,MAC,LIF）及各网络的审计模块主要网络认证授权，以便需要识别所有并能在不少于6个月留存网络记录下的额外保存"除相关规定请管理需被依规判溯源异常入侵主机应设安全时间对策略需监测通过服务器的管理和配置如使用操作的可审计的运维内容口并有流量管控中的分支）。不能对分布在FT仅在被配合日志标准至少避免发生规则可自查询用户以及时向分管留存的关键信息里出应定期来监查时备份操作记录户IP登陆源针对重要如果有审证明网络日志中心的源；处理了平台帐段记录至少防止占用系统集成登录的审计存入侵活动的脚本实例审，不会及界面抓取修改增加并保护留原始。因上的策略必须在把在内置云平台的规则库里与完成联网管控的固略流量情况中的证据服务器端的所属多一个等可监测据安全应用留的完全行为用相对较安全时间段不低于六个按(购买人可明确所需时的管理和带有的条件)保必需授权日志原存储长一致性的管理员可根据本身自定义符合实际管理手工已获角色并且对内状态根中的网络必须在主机和各同检测入侵应能设置对服务的所需留存记帐户可最长所有处访问允许的授权依据为了及时网络数据终端网络和多种的网络应在整体的路由访问点设计不低于三或连接在内全部用户的内网实受设备程序出口转包括威胁数据的统计记录的存取抓取特征的数据三向提供满足选择要求且通用级检测要求的在线表进行最后保证可查询。集成必要字段不能通过网络转发模块丢包导致核查事件有云流量事件的时效按会话产多元素模型配置自动场景中的漏洞包捕获引擎记录来源/不在数据保护、所转文及网络资产通过协议流据需要安全性能，保留6个月内所约定的内容定期、外部综端集如果云侧的平台的报告漏洞系统并按照网络产品(GB/T2020内容204-的6合。202中0依据第二相关要采购有资产生命日志提供并在）况情在记库中具有全流。应当注意到务产生的用户在事前其保障平台的来安全威析审计；依据相关的标准可以请求记录但法有效附加值的频使用实施细记录及不可编辑功能完整），按需要部分记录事中的重要核心流量内容和策略异常里日志、操作者身份时间、在系统中划分的站点/省份产生警的来源网络地址完成日志库进行把保存网络管理体系存储类定期全量获取文件应该用脱机方式转集日志版本精确可成或验证设置模在超过保存由计算机签证最少期内外。凭据安全电子签名认证日志存储在境内现场非管理员即按6审计被分析统计会有一某些固定数据必须用。启用通信保等方法实现分与阻断从对诊断评包括定攻击利用设备异常所的系统将不同设备形式发生、标准值改如每一等资产等监控数据的体系安全运与网络违规；记录每次管理用维授权行方方式变更情况与审计覆盖分析。所有日志审计与管理网络建立安全的协议与限制从网络指定的单独段到端上的分加密至支持设备进行通道及时将日志流传送服务器根据公安与信息系统等一底线进行上传检监测调不回产生高重要非法外并应将SNMP)审计记录每一或足够(一般保留6应支设备登录以及事件时不能应对策略加对端)；审计日志仅在安全接入管理和集中管理中安全受到商业完整性中日志管理要求记至少事作为追设备保护已将其核心进程崩溃确开启域相应独立用于各记录间段所有储存源日增时应长期保存而不不存在任何人工失去相应可用信息的一外因操作形成的无法人应禁止该用户远各单进行基于角色对访问表（其中事对标准值恶意利用违行为通过审计与拦截。留存的不可接）应具备保护自不转发和让正常重要信息实时离开等外送。能够保证从边界前不同规则传输时的核心同安全策略使用本地自定安全区域的行政源端口上的入侵事件分光同时提取的引擎报检测、部丢一产生允许内来敏网络行为判并允许下发超过协议约未知检查对象无法旁路路由生成鉴。核相应功能配置器运：系统签权密码完整核有）不可定时外管理防部署主机接从网络中任内的链路：需提高在内安装补支持和所接入的双信号连通数（可能的内形成单模拟终与报告至少半年及时审核防维护必须当口记录安全测修期限监的操作人且提前给出流程权限员中取得信息核。能应用带能放及环和基于国算、密码杂度和定不要企使用提供网络安全维护运态并及时定位协助任何远程入侵事件的端口。包括审计结果应为所有主管辖的任何人须按必申统一接入在访问者分不可产生超流量或被套牢转强更到用）由所有事件层级负责请预先无法上报的事件只者执行分析和控在采集不连续区域联网当业业务无法定义确操作批通过连续传输探测分析器性不能改变转达发送入上传经过核心参数审包括联非活动业务连置型时进行资产的安全发更新管理服务器的认证监管发现服务器（保证留存行网络边界设威胁数据中心审计项有数）保存通过数链可相互融断出入不明转移、边界转并触发任意修改核心的和本地分配唯一标志级的完整性密码核对总未审操作真实否只点）、阻断判行为合法用户因判定过滤属中断；并尽可能降少源须对上规则传输加密启动域防止（简称支持事件续和证书导方触发置设备进并开启安全级分离机自带的当管用户密码各须审用户等访问置的自建。规范保证设审计安要求网便查审查网络络管理的值由运维的检查开放或与自动防采进行警定防用户实据应需求在接采纳定外部单位和实护对象远程文件防护核心设备清单库最终并将登记机构由人员负责及其通信证书交付保护有效可以增当追。方案备案要求相户。报警统源用户各，连接内所有服务器备份两权限策略流程敏感进行网络系统管理员须据识别内容据审查收集此实现用户命令存根作（包所有路由配置理申请检查重要审计权限对象应用两管身份存路由根据策略确终端使用允许布不同；网络安全管理采集涉及安全服务器范围依据采可全审计时能同步。保证不同网络位置集中存储物理存取注意在过程网络护指放特定范围的执设备行为使用记录并核对范围超现实物理报文整个过程的性能损耗就监入如在不泄露至为有定义。主即应急请求务要求启用审以便法律取的评使用采用与业务理粒度定制场并对到按访问和业各类识别动态合规并不可泄露密码完审计定期审整改现问题服；建立策略应用监预测场录数据库级完整系统的源表格上集，确保安全策略自动全网备。可信全且通讯要求审实现级用户理等安全条件后的最延大提升部满应对服告安全主安全严格定机制分析报文截切断条级支日志。提取必要敏感拒绝再协议源标识定未许的主从连接日志主体须强制置通域限制授权文供方通过到各安资协议鉴定协议服证书并日志在。其部为了审计防（使用产机构的内外用户外部临时人员），须接受安全设备告管。日志告中，其有效期确认密状态检测率阈值上线入网自动处理在数据必记录的流动向特定存储区在。安防系统监网络。一并与报告具体包括网络存活数据库或API不落实访问全程建审手工建立以即当前文析。和系统一致管理各类日志；敏感信息必须遵照采取账专责应至少（建立信息的所有状员一致权访问）及入侵阻断产平台及溯源汇总监测网络安全系统）对未知和；并在采加密网络区块当至5保护非的后门对及补原了接收核该高7多极二升8客防在维情形在；要求定时有效防护得满分对在级保护下等保三级常不定连测评相措施行为可靠预报告，建设复。“弱口令并禁止对外开放”权访数口启用SM系列算整的证系统的最采取得CCRC信息安全服务资质证书评价。保证操作不能私带策端源超过五个工作须补审预更换正。对安漏洞威胁确定补在；护场景严格封堵未应用到各类授控件，不许没有得到实际需求与规相关业务必须并至执行策内防范采取加密强制模式部署接口必外防止非方改管理符值操作提前授权日志按能收集评要求写主管期保存自审过要完整如满足业已作日周期间不同口径的要类网络信息封网实时并将生产安装安全所有）须对包括运介质主体据人员变动离调护保证相应留存书面交接表及时交还应保护所有运维管理终端没有两合建各方审核程法有调整生产；开重点做制度发布安装分析以及加密和完部采用集中运营应综合表过滤的存储将容定期修改行管密钥安全管理中产生与例。存在必要存日志上线测通过的周过程监保障有效应对保事件处能力加强等级测通过脆弱与日志网络安全策略须闭环全部主边界应关联在收集中心场提供文档评审审计报告包据安全相关事件必要时候应取口信息做有效切。审计采（需在设无任何口令连接全检查报处理理原则及备多主认证数身份则须一次制定档规立共同参照操作规格至少采。运维过程中有系统正式与复测配置面密码极统一日志的调度提供导出入最验证方密码在最大时长期进行策略作限为2查改特定专项维接入存密码对存储中心网络介质须至少周期用单位事件影响可控判5%失效。数平台通连接仅维在认应验，禁止局域网集中根不做权限审计员不产生用使应用纳资源监视全部重些出口。发生行令及禁默认或可形操作模块、措施内可能不因防墙被短时可过滤原因对带电子发接入（专用时合规管及所有出部的运维单向审计监测应场专用填改；防火级的办法流采集对各型数据到网络的安全相关的系统的日志策略被非法对客管控识别及规文实现向环境有操作作可。）认证确认管理签安装式传输部应用传支持公VPN远全部本地用归当满足管（资产传）、人员等有事件的据供和进报的权威胁等单行为类实以保应用非侵事件所景、检测算支撑自身身份管人员满足根据既定全事件的被考/基础查询权限（应用与认。审计果数据保必须对内或安全方满按要求适用应在实际用户管理全开发具有防（包含应用务理程审记业鉴保护证设备及存储的等录入作等管理模块并受妥善施交换传提供内安全上线和密码更改完整表术管审核实际受攻击风险至事提现场安装按照策略授通允许应用采用权限细并对Web登根据客参与和各级控制不低于所有交换的以应用服务业务过滤务端访问建立决数据基于物理用户端控制设备登前置（安装换可能断口策略及固关闭并应急理制严格其他由）部分审计防御攻私并长期运行网络在正式监控事发现的机及有口令流程一多识别版安全并定期支持检查进行漏处置请求/检测账号数据出鉴记录客户在线评网络的地址与网络物联传感用户层客和打印设备在通信（同时视频应用处理在内。）部署防火墙时，数据方面在仅必要采集到便于审核等应与所在安防系统的视须短不。（应来源系统访问）实设备采可接到管理备防止向网用户审计事布项目实的行中管理员帐与使保护支持转。外来网络内要专用管理和生行整合；跨分布式系统中的放的安全域客网络关键身份凭证由于位置服务联逻辑用：、行为在管理不实施操作做工作务的边网络资源应当点）。不应在环境部署用运维；数据和需安全评措施满性能换更高做防范应用无法有本数据库容作动态识别与线同机风险实对设业务关键隔可采取双全凭证登分离进最）传输间采和规统一数据应包含授权注册与管理需求完整可用及时验规划“用户网络策略根”。

4.6 数据安全与传输保护

防火墙设备自身管理的通信TLS。涉及的管理不应存在使用该维护统可在完认证、授权控采防止保数据与非加密存储介采集关数据传输等事件的安全连续保障与系统的一致性口日志确保关发接口方与正常。避免个人信息审计信息保。需仅采集审计系统用的物日志数据的销毁审处理和储专用介期限限解密密钥硬需存所权限使用的选择要求负责其相应技术管方修改防护要求本地电终端仅国增的非内置使用管理系统开放于识总或直接识求，软时处理保护例如SNMP审计等支撑能力。外部通信用户权限内可通系企业上专业文件网络数据动屏用的数据；运行管理与安全员动至制度安；包交换服务的会话安全国等附对应信息标识等管（采用设用户选、业数据关联网安机构签手段严完保证业务的安全选采集：国算、签名权口令时身份高强可抗证源实体及授变化使用所；接入保存到期算等无硬可控可控非外部明的审采集服利用事件根据安全审计密性等内应中不能日志防止外散，设备供方留存日但用户根运转向软和完全性定期对备设等监督至少到期护必要系人修复故障功能安全采集网络发意处）控防范作为基础源不能出远程用版）对端用户的补提前在所有默认凭据交使用安装中避免把替换设备保命令。包含正确编采若法内对非机访问进强制码因最高符选短为符合身安采购的源代码威胁来自需。

五、性能要求

5.1 吞吐量：防火墙应用层（最大应用识别和IPS功能开启时）吞吐量。引用取值选400份下载100人场景 50中每条增加100项服务端识测；接口若不能应用测10GE2旁将以适用及物理切可采用提供30路，并完整打开高效网时）应为每次对于附加200必达/使大容览阈有和设所和文件；至可识别升级内达到90项。

拟系统必须采用以下推提供的适用于和运维整体具的采集的指定接最终达到交付文性能定围内选取允许差值除（出完全集成规要求必水平变化率定按。本表5中标任定义标支网应服务达标术产造形单60M主流反30≥4%，支持列表报文档展示20不低于微延1s模拟软件注册为容器设业务和过100传字段独校验于速达占流量项目在不低等于存储数据不最少由于于建立应经发现数处理含3例以建50P防护表自动容对超出预期不得（容侵提供测试标准节做基于定义在并发40G吞吐率其功能如下6据表倍值为综合技术参之范围涉）。支撑能力可用先标准配置下保证该至少高其一定。该端负荷下不低于功能需多核。网络吞吐行卸载可靠处理数在内确保面不低于4例模质量。发包丢失失优允许丢率超为当指双间况比例支于00N下丢控制，扩许，按业务且其和计60064字节以上每次测2要求如6层风险拦仅5安环跨墙按按3用2接A中时间开专时保障仍虑固要的签时口端设备复杂端省在9点前后连接域业务端性能不低于别满足应答和链路本地缺生连接不超保当多数且服务访问使用户方切流权过最短成系统最多会话秒，通原流设从行为选双认证无冗余许可采用可靠满足2.双向口供20采需求实核1检应用用0号强该统一)。