中国电信安全公司2026年安全大脑网关设备采购项目（标包2：商密型）（第二次）资格预审公告
项目详情
ZB_ZHAOBIAOGONGGAO_START中国电信安全公司2026年安全大脑网关设备采购项目（标包2：商密型）（第二次）(招标)
资格预审公告
1．招标条件
中国电信安全公司2026年安全大脑网关设备采购项目已批准，招标人为天翼安全科技有限公司，建设资金来自招标人自筹 ，项目已具备招标条件，现进行资格预审，特邀请有意向的潜在投标人（以下简称申请人）提出资格预审申请。
2．项目概况
2.1资格预审编号：I110000075511058140010111
2.2项目概况：本项目采购中国电信安全公司2026年安全大脑网关设备采购项目所需的安全大脑网关设备。
2.3交货时间、交货地点：按照订单中规定的时间、地点交货 。
2.4项目性质：货物招标，资格预审。
2.5项目规模：本项目共划分6个标包，分别为标包1：审计型；标包2：商密型、标包3；防护型国际版；标包4：防护型虚拟版；标包5：审计型虚拟版；标包6：插件型安全猫安审版。本文件仅为标包2，其余标包详见其他文件。
| 序号 | 产品名称 | 规格型号 | 数量（个） | 交货地点 | 估算金额（元） |
| 1 | 商密型CTSGW-SM50 | 详见关键技术指标 | 960 | 全国，具体按照订单中规定的地点 | 2,169,600.00 |
| 2 | 商密型CTSGW-SM100 | 960 | 2,603,520.00 | ||
| 3 | 商密型CTSGW-SM300 | 480 | 1,627,200.00 | ||
| 4 | 商密型CTSGW-SM500 | 480 | 2,169,600.00 | ||
| 注：上述采购数量为预估量 | |||||
本项目将按照最新的《中国电信供应商不良行为管理规则》执行供应商不良行为处理结果，请重点关注处理结果适用的供应商主体、被处理产品、处理范围、禁限期、处理措施等关键内容，请务必登录中国电信阳光采购网（https://caigou.chinatelecom.com.cn）查阅《中国电信供应商不良行为管理规则》。
2.6技术要求/产品规格：详见上述2.5条。
2.7标包划分情况（如有）：详见上述2.5条
3．申请人资格要求
3.1申请人基本资格要求
3.1.1 申请人应为中华人民共和国境内法律上和财务上独立的法人或依法登记注册的其他组织，合法运作并独立于招标人和招标代理机构。法人下属不具备法人资格的分支机构参与资格预审申请的，应提供所属法人针对本项目或覆盖本项目的经营事项的有效授权。
3.1.2申请人的法定代表人或负责人为同一人或者存在控股、管理关系的不同申请人，不得参加同一标包投标或者未划分标包的同一招标项目投标。
$ 3.1.3 $ 3.1.3 3.1.3 本次资格预审不接受联合体资格预审申请。$联合体申请资格预审的，应满足下列要求：
（1）联合体各方必须按资格预审文件提供的格式签订联合体协议书，明确联合体牵头人和各方的权利义务；
（2）由同一专业的单位组成的联合体，按照资质等级较低的单位确定资质等级；
（3）通过资格预审的联合体，其各方组成结构或职责，以及财务能力、信誉情况等资格条件不得改变；
（4）联合体各方不得再以自己名义单独或加入其他联合体在同一标包或者未划分标包的同一资格预审项目中参加资格预审。$
（5） 。
3.1.4 本次资格预审不接受代理商资格预审申请。
$
（1）投标产品制造商注册地在中华人民共和国境外（与中华人民共和国有正常贸易与往来的国家或地区）及香港、澳门、台湾地区且必须使用代理商投标和签订销售合同的；
（2）投标产品制造商为注册地在中华人民共和国境内的外资企业（包括香港、澳门、台湾地区资本）或者由外国投资者（包括香港、澳门、台湾地区）享有绝对控制权（最大或最多表决权）的企业且必须使用代理商投标和签订销售合同的。代理商申请资格预审的，应满足下列要求：$
（1）【本项目/本标包/同类产品】仅允许代理唯一制造商申请资格预审，且该制造商不得再自行申请资格预审或再委托其它申请人申请资格预审。
$
（2）申请人与投标产品制造商的代理合作关系迄今为止应已持续0年（含）以上。$
（3） $ 3.1.6 与申请人有投标产品代工制造关系的制造商不得参加同一标包投标或者未划分标包的同一招标项目投标。$ 3.1.7 3.2申请人不得存在下列情形之一
（1） 为招标人不具有独立法人资格的附属机构（单位）；
（2） 被依法暂停或取消投标资格的；
（3） 被责令停产停业、暂扣或者吊销许可证、暂扣或者吊销执照；
（4） 进入清算程序，或被宣告破产，或其他丧失履约能力的情形；
（5） 在最近三年内（自2023年07月01日起）被相关行业主管部门或司法机关认定有骗取中标、严重违约、重大工程质量或者安全问题的；
（6） 在最近五年内（自2021年07月01日起）被判处单位行贿罪，且行贿行为与采购活动相关的（以“中国裁判文书网”的生效判决为准）；
（7） 在最近五年内（自2021年07月01日起）被判处合同诈骗罪的（以“中国裁判文书网”的生效判决为准）；
（8） 被最高人民法院在“信用中国”网站（www.creditchina.gov.cn）或各级信用信息共享平台中列入失信被执行人名单，已执行完毕或不再执行的除外；
（9） 为本招标项目提供过设计、编制技术规范和其他文件的咨询服务；
（10） 为本工程项目的相关监理人，或者与本工程项目的相关监理人存在隶属关系或者其他利害关系；
（11） 为本招标项目的代建人；
（12） 为本招标项目的招标代理机构；
（13） 与本招标项目的监理人或代建人或招标代理机构同为一个法定代表人；
（14） 与本招标项目的监理人或代建人或招标代理机构存在控股或参股关系；
（15） 被工商行政管理机关在国家企业信用信息公示系统中列入严重违法失信企业名单；
（16） 中国电信在职员工违规担任供应商法定代表人并参与采购活动的；
（17） 中国电信集团有限公司/中国电信股份有限公司中层及以上管理人员违反有关领导人员配偶、子女及其配偶经商办企业行为管理规定，其配偶、子女及其配偶经商办企业参与采购活动的；
（18） 中国电信领导人员离职或退休后三年内违反《国有企业领导人员廉洁从业若干规定》等相关规定任职、投资入股的私营企业、外资企业和中介机构，参与其原任职单位采购活动的；
$
（19） ；
（19） 其他按照中国电信供应商不良行为处理结果及《中国电信供应商不良行为管理规则》的结果执行规则，应对投标人及其投标产品在本项目中执行禁止采购处理措施的；
（20） 法律法规、资格预审文件限定的其他情形。
$ 申请人是代理商的，本条所指的申请人也包括其所代理的制造商。$ 联合体投标的，联合体成员均不得存在上述任一情形。 3.3投标产品资格要求
3.3.1投标产品应是来自中华人民共和国$或是与中华人民共和国有正常贸易与往来的国家或地区的成熟稳定的产品。
$ 3.3.2 投标产品 。$ 3.3.3 $ 3.3.4 3.3.5 投标产品应符合中国电信相关技术要求，并满足以下关键技术指标：
| 序号 | 功能 类别 | 关键功能项 | 具体要求 | 是否 测试 |
| 1 | 网络功能要求 | 部署模式要求 | 1 路由模式 本终端设备应支持路由工作模式。在此模式下的接口工作在三层状态，不同接口设置不同的IP地址段，划分为不同的安全域。采用路由方式转发网络流量，支持静态路由、动态路由、策略路由等功能。 2 透明模式 本终端设备应支持透明工作模式。在此模式下，接口工作在二层状态，并支持透明转发网络流量。 3 混合模式 本终端设备应支持混合模式。在此模式下，部分接口工作在三层状态，部分接口工作在二层状态。二层接口上收到的流量可以通过二层方式转发，也可以通过三层逻辑接口进行三层转发。三层接口上收到的流量可以通过三层路由转发，也可以通过三层逻辑接口向二层接口转发。 | 否 |
| 2 | 路由功能要求 | 商密型终端设备应支持静态路由功能。静态路由是手工定义的路由条目，根据目的地址指定下一跳，因此也称作目的路由。对外连接较少或者内网连接相对比较稳定的网络通常使用静态路由。管理员可以根据需要确定是否添加默认路由条目。 | 否 | |
| 3 | NAT要求 | 设备应支持NAT，包括SNAT（即源网络地址转换）、DNAT（即目的网络地址转换）、PAT（即端口地址转换）等，实现IPv4网络地址转换； 设备应支持NAT66，包括源NAT66、目的NAT66和双向NAT66，保护内网IPv6用户的隐私安全； 设备应支持针对特殊协议，如FTP协议的ALG功能，提供对报文载荷数据进行地址转换的能力； 设备应支持常用ALG功能，包括FTP、TFTP、SIP、H.323、PPTP等，使常用应用能在安全网关和NAT环境中正常工作。 | 是 | |
| 4 | IPV6要求 | 1、IPv6网络环境 终端设备应支持在 IPv6 网络环境中正常工作，包括： 1）在IPv6组网环境，以及IPv6与IPv4混合组网环境下正常工作，能有效提供安全功能并保障自身的安全性; 2）支持全功能的IPv6协议栈，让防火墙设备能作为全功能的IPv6网元、IPv6网关、接入网络正常组网。 2、IPv4与IPv6混合网络环境 设备应支持在以下一种或多种 IPv6 过渡网络环境下工作，并作为 IPv4 与 IPv6 网络之间的网关，实现下列功能。 1）IPv6/IPv4双协议栈功能：设备在同一网络中同时支持IPv4 和IPv6协议。设备通过维护IPv6和IPv4两套路由协议栈使设备既能与IPv4主机，也能与IPv6主机通信，分别支持独立的IPv6和IPv4路由协议。 | 是 | |
| 5 | SDWAN要求 | SDWAN功能应满足以下技术规要求，并取得以下认证 a)GM/T0022-2014《IPSec VPN技术规范》 b)GM/T0023-2014《IPSec VPN网关产品规范》 商密型终端应支持星型/网状混合拓扑配置，可定义虚拟网络SD-WAN网段。 商密型终端应支持基于地址簿、服务的SD-WAN路由策略下发，提供网络探测/负载均衡 | 否 | |
| 6 | 密码相关技术要求 | 密码算法要求 | IPSec VPN应支持国家密码管理主管部门批准的非对称密码算法、对称密码算法、密码杂凑算法和随机数生成算法，并将国密算法作为默认密码套件使用。各算法及使用要求如下（按国家密码管理主管部门最新要求更新）： 1、非对称密码算法应当支持SM2椭圆曲线密码算法，用于实体鉴别、数字签名和数字信封等。ＳＭ２算法的使用要求见GB/T 32918。 2、对称密码算法应当支持SM4分组密码算法，用于密钥交换数据的加密保护和报文数据的加密 保护，算法的工作模式应当支持CBC模式。SM4算法的使用要求见GB/T 32907。 3、密码杂凑算法应当支持SM3密码杂凑算法,用于完整性校验。SM3 算法的使用要求见GB/T 32905。 | 否 |
| 7 | 加密硬件要求 | 商密型必须采用国家密码管理中心认证的国芯硬件加密卡。 | 否 | |
| 8 | VPN要求 | 接入场景要求 | 1、网关到网关 VPN应支持网关到网关的安全接入场景，应支持点到点，即分支结构安全接入到总部网络（如下图1）；点到多点，即多分支机构安全接入到总部网络（如下图2）。 2、终端到网关 VPN应支持终端到网关的安全接入场景，该场景适用于移动办公用户或者公众用户安全接人到机构内部网络（如图3）。 | 否 |
| 9 | 工作模式要求 | IPSec VPN的工作模式应支持隧道模式和传输模式，其中隧道模式是必备功能，用于主机和网关实现，传输模式是可选功能，仅用于主机实现。 | 否 | |
| 10 | 密钥交换要求 | IPSec VPN应具有密钥交换功能，通过协商产生工作密钥和会话密钥。 IPSec VPN应支持IKEv1和IKEv2密钥交换协议。具体应符合GB/T 36968-2018的要求。 | 否 | |
| 11 | 安全报文封装要求 | 安全报文封装协议分为AH协议和ESP协议。 AH协议应与ESP协议嵌套使用，这种情况下不启用ESP协议中的验证操作。 ESP协议可单独使用，这种情况下应启用ESP协议中的验证操作。 安全报文封装协议应符合GB/T 36968-2018的要求。 | 否 | |
| 12 | NAT穿越要求 | IPSec VPN应具备NAT穿越功能，能双向穿透NAT设备。在UDP报文中封装和解封装ESP报文的方法按RFC3948的要求实现。 | 否 | |
| 13 | 身份鉴别要求 | IPSec VPN应具有身份鉴别的功能，身份鉴别数据应支持数字证书方式。 | 否 | |
| 14 | IP协议版本要求 | IPSec VPN应兼容IPv4协议、IPv6协议。可支持 IPv4/IPv6 双栈、隧道、NAT64、双栈精简技术等IPv6 过渡技术。 IPv6过度环境下应具备 隧道模式 IPSec 6over4 隧道。 其中，IPv6协议按国家IPv6网络改造要求按需迭代提供。 | 否 | |
| 15 | VPN日志要求 | IPSec VPN应提供日志功能，日志可被查看、导出。 日志内容包括： 1、操作行为，包括登录认证、参数配置、策略配置、密钥管理等操作日志。 2、安全事件，安全联盟的协商成功、协商失败、过期等事件日志。 3、异常事件，解密失败、完整性校验失败等异常事件的统计。 以上日志应同时支持上报到安全大脑平台测进行存储、监测及分析。 | 否 | |
| 16 | SSL VPN功能要求 | 商密型终端应支持SSL VPN功能。SSL VPN功能包括服务端和客户端两部分。配置了SSL VPN功能的商密型终端应支持： •使用SSL加密协议完成与客户端的连接； •为客户端分配IP地址； •进行客户端用户的认证与授权； •进行SSL VPN客户端的流量安全检测； •解密来自客户端的加密报文并转发 •支持基于被访问资源的IP地址、端口、服务和URL等方式进行权限控制，针对不同的用户或用户组进行基于角色权限的分配控制； •支持多种国内国际商业加密、验证算法，包括：AES128、AES256、3DES、SHA等。 | 否 | |
| 17 | 安全防护要求 | 安全策略要求 | 商密型终端应支持安全策略功能。安全策略是网络安全设备的基本功能，控制安全域间/不同地址段间的流量转发。 安全策略的匹配规则元素应至少包含源和目的安全域、源和目的IP、服务、应用等。 安全策略的动作包括允许、拒绝、记录日志。 大网网关自身vpn隧道流量应匹配安全策略。 商密型终端应支持安全策略规则开启日志记录功能，记录匹配安全策略的所有日志。 | 是 |
| 18 | 安全防护要求 | 入侵防御要求 | 商密型终端应支持入侵防御IPS功能，对网络间传输的报文进行深层检查，通过制定规则和下发相应的策略，对非法的、不正常的、含攻击行为的报文能实时的告警和拦截。入侵行为包括蠕虫、病毒、木马、拒绝服务、扫描工具等。 5 IPS特征 6 预定义防御配置模板 商密型终端 IPS日志应包含但不限于:网络五元组、源目 Mac、源目安全域、payload或 pcap包等取证信息、规则名称、威胁分类等，且需携带payload或 pcap 包等取证信息。 | 是 |
| 19 | 黑白名单要求 | IP黑名单，拦截方向包括对源IP、目的IP、源和目的IP；拦截时间支持“永久拦截”、“自定义时间”。 IP 黑名单管理支持新建、删除和解封；新建支持手工建立，以及通过云端平台批量下发等方式。 | 是 | |
| 20 | 威胁情报检测要求 | 1、IP类IOC情报： 1）支持IP+端口匹配； 2）支持IP全端口匹配； 3）支持IPv4和IPv6双栈协议匹配； 2、域名类IOC情报： 1）支持精准域名匹配； 2）支持通配符域名匹配： ü针对多级子域名匹配，应支持匹配至于五级子域名，不匹配主域名，如*.ctct.com，需匹配test1.ctct.com，test2.test1.ctct.com，......，test5.test4.test3.test2.test1.ctct.com等，不匹配主域名ctct.com ü通配符仅允许置于域名最左侧，且全局仅能存在一个通配符，禁止中间或多通配符（如a*.ctct.com、*.*.ctct.com均无效） ü严禁使用顶级域 / 根域级通配（如*.com、*.cn），避免过度拦截合法域名 3）域名+端口匹配：支持精确域名+端口的匹配能力，如ctct.com:443； 4、情报检测要求： 1）IP情报需要支持双向流量识别及阻断能力； 2）域名情报需要支持DNS解析阶段、应用访问阶段的识别及阻断能力； 3）情报动作需要支持记录日志、阻断等； 5、自定义情报：审计型终端应支持自定义威胁情报的功能，包括自定义IP和域名情报： 1）IP：自定义IP情报应支持IP及IP+端口配置功能； 2）域名：域名情报应支持明细域名、通配符域名及域名+端口； 3）自定义情报配置应支持IOC值、威胁类别（本地+自定义）、情报类别、执行动作，设备侧展示以上字段信息、情报配置时间、情报来源； 6、例外情报：支持情报维度（IP、域名），例外情报功能需精准定义匹配条件与适用范围，优先级为情报匹配最高优先级； 7、匹配逻辑：整体匹配顺序遵循 “先排除再匹配、精度优先” 原则：首先执行例外排除规则（优先筛除无需匹配的情报），再依次触发匹配类规则（含自定义匹配规则、本地情报库规则）；其中匹配类规则内部优先级为：IP 匹配>域名精细匹配>域名通配符匹配>URL匹配，确保高精准度规则优先命中，避免模糊匹配干扰； 8、情报日志：包含但不限于：网络五元组、源目Mac、源目安全域、情报命中标签、命中的ip或域名、动作、IP账号等； 9、情报升级：支持在线更新，定期从云端同步最新威胁情报特征库，默认支持按天更新，应急事件更新需求应实现小时级响应。 10、云端对接：自定义情报应支持与中国电信安全大脑平台对接，接收来自云端的自定义情报，检测优先级应为高优先级。 11、情报规格：商密型终端威胁情报库规格：不低于 100 万。 | 是 | |
| 21 | 安全防护要求 | 境外地址拦截功能要求 | 商密型终端软件设备的地域簿对象应支持境内、境外IP地址过滤和监控能力、IP地址范围涵盖全球所有国家/地区，支持针对境外或特定区域的IP地址阻断能力，地址簿持续自动更新。 •地域对象：应支持按国家、地市等地区名称分类 •动态更新：应支持每天自动同步更新，更新过程中不影响安全策略执行 •策略联动：支持安全策略应用地域地址簿对象，支持基于国家、地市等地区的访问控制 | 是 |
| 22 | | 管理方式要求 | 商密型终端应支持串口管理、Console控制台、远程telnet或SSH管理、B/S管理或独立控制台软件管理。 商密型终端应支持SSH反向代理功能。 | 否 |
| 23 | 管理功能要求 | 日志管理要求 | 登录类日志：记录管理员执行的登录、退出操作，每条日志字段应包括：账号、登录IP、登录方式、登录时间等信息； 操作类日志：记录管理员执行的各种操作，包括：策略配置、系统参数配置、启用或关闭旗舰版终端等，每条日志字段应包括：账号、登录IP、操作方式、操作记录、操作时间等信息； 运行类日志：设备异常状态告警（如CPU、内存阈值告警等）、设备异常运行状态（如设备重启，设备断电、设备宕机等）、设备升级历史（如版本、特征库升级）等，每条日志字段应包括：日志类型、时间戳、事项描述等信息； 原始日志：IPS、AV、威胁情报等原始日志格式详见7.3章节； 系统日志，包括登录类、操作类、运行类日志在终端本地保存的时长不少于1年。 商密型终端应支持以上各类日志上报到云端。 | 否 |
| 24 | 版本文件及特征库管理要求 | 为了使用新功能或者解决软件BUG，商密型终端应支持能够升级版本文件。升级方式应包括但不限于本地升级、远程升级。 商密型终端的版本文件、特征库文件应跟随原厂商最新版本及时提供。 | 否 | |
| 25 | license授权要求 | 商密型终端支持以下其中一种或多种license授权方式。 1.防护型国际版终端出厂应内置3年以上license授权。 2.防护型国际版终端应支持通过安全大脑平台进行自动授权的能力。 | 否 | |
| 26 | 自身安全要求 | 商密型终端应支持配置限定用户登录的IP地址范围。 商密型终端应支持SSH、HTTPS等加密方式进行远程访问。 商密型终端应支持对管理员口令进行加密保存，应支持管理员首次登录修改密码功能，建议支持满足以下一种或多种双因素认证，包括但不限于管理员登录的短信、证书、验证码等双因素认证功能。 商密型终端应支持用户口令复杂度设置及检查，拒绝设置不符合复杂度要求的口令。 商密型终端应支持最大登录失败重试次数设置，登录失败超过重试次数后处理方法有：锁定账号/IP、自动退出等，支持终端自动解锁和人工解锁。 商密型终端应支持管理员登录超时timeout时间设置，用户登录空闲时间超过配置时间后自动断开连接，并需要再次登录才能进入终端。 商密型终端软件需满足以下安全性要求： 1)病毒扫描 软件包及所有组成文件中不得包含任何形式的病毒、木马或恶意代码。 2)漏洞扫描 经漏洞扫描工具检测后，不得存在中危及以上的安全漏洞。 3)渗透测试 经渗透测试后，不得存在可被利用的常见安全漏洞（包括但不限于身份认证与权限控制缺陷、注入类漏洞、跨站攻击、文件上传风险、敏感信息泄露、逻辑漏洞及后门等），所有典型攻击路径应能被有效拦截或拒绝。 商密型终端设备出厂时需确保无可利用安全漏洞，设备运行周期内若出现风险，需按照中电信安全〔2025〕82 号文要求在规定时限内完成固件更新或安全补丁等有效修复方案，最多不超过 12 小时。 | 否 | |
| 27 | 平台接入能力要求 | 安全大脑管理平台是运营商级集约化全域安全管控平台，依托客户侧安全网关搭建云边协同防护体系，面向全国政企提供标准化、规模化安全运营服务。招标网关设备须适配平台集中管控，满足三级等保要求，平台核心能力对标国家、公安及通信行业相关标准；规范内终端设备需支持与平台标准化对接，实现云边协同统一管控，适配电信多级运营场景，支撑规模化安全运营并兼容技术迭代升级。 1.北向接口协议要求 针对“天翼安全大脑”场景中长连接维持、低功耗运行及实时消息推送的核心需求，本终端设备北向接口协议收敛并聚焦于 MQTT 与 RESTful API 两种国际标准协议。这两种协议作为设备联网与HTTP服务领域广泛认可的事实标准，能够完美覆盖设备实时通信与集中管理的全部诉求。 | 否 | |
| 28 | 轻量化上线要求 | 终端出厂配置要求 | 商密型终端应支持出厂加载终端出厂配置。预配置包含安全策略、网络接口、安全防护、日志管理、设备管理和基础云平台纳管配置等，详见附录B3具体以中国电信安全公司最新要求为准。 | 是 |
| 29 | 高可靠性要求 | 存储可靠性要求 | 商密型终端应提供合理可靠的存储模块（如flash卡、miniSD卡或硬件），满足CTSGW-05004章节中关于系统日志的要求，即登录类、操作类、运行类日志在终端本地保存的时长不少于1年。 商密型终端应提供合理可靠的存储模块（flash卡 或硬件），满足配置文件、系统镜像文件、特征库升级等关键使用场景下的可用性，完整性。 | 否 |
| 30 | 终端纳管要求 | 安全大脑平台纳管要求 | 参考GB/T 22239-2019中对终端集中管理能力要求，结合中国电信安全大脑业务CTG-MBOSS BSS 分册规范，安全大脑终端需具备： •支持配置电信分发的逻辑ID，终端上线时，需携带逻辑ID和终端SN向大脑平台注册，安全大脑平台根据客户受理信息完成终端逻辑ID和终端SN的校验和纳管绑定。 | 是 |
| 31 | 配置可用性检查 | 配置可用性检查信息上报 | 针对“已纳管在线”终端进行上线可用性检查，厂商提供各检查项的原子能力接口，或者接收安全大脑下发的终端可用性检查的任务，将检查结果汇聚完成后上报至安全大脑平台。 网关可用性检查项，至少包括：物理接口状态、接口方向判断、业务转发接口流量、安全策略配置检查、安全策略有效性、日志发送配置、VPN配置及协商状态等。 | 否 |
| 32 | 网关信息采集更新 | 终端状态信息上报 | 安全网关厂商网关需要实时向安全大脑平台上报网关状态信息，包括但不限于： 1、终端在线状态，如在线、离线、注册中等 | 是 |
| 33 | 终端信息采集监控 | 安全网关厂商网关需要定期向安全大脑平台上报网关信息，至少包括： 1、license信息（包含终端系统本身、各类特征库） 2、系统软件版本（当前版本及更新时间）、各类特征库版本信息（版本及更新时间） 3、接口信息，包括接口及接口状态、IP、安全域、流量信息（上下行速率、上下行总流量） 4、会话连接数（新建/并发） 5、终端资源使用情况：CPU、内存 6、终端配置：上报日志配置 7、终端型号、硬件版本 8、云链接IP、公网IP 以上信息支持批量数据上报 | 是 | |
| 34 | 网关下线解绑 | 网关下线解绑 | 安全网关厂商网关需要与安全大脑平台对接，支持由于客户退租、换机、其他等场景下，网关解绑下线处理，保障终端能够按预期下线与回收。 | 是 |
| 35 | 终端数据采集 | 加密信息上报 | 商密型应支持vpn隧道连接对象、连接状态、流量及日志上报，具体包括CTSGW-03009章节所要求的所有相关日志 | 是 |
| 36 | 安全日志上报 | 商密型设备应支持与安全大脑平台对接，将网关的安全日志，通过rsyslog+RELP或kafka的方式上报到安全大脑平台至少包括： 1、ips日志（携带payload或 pcap 包等取证信息） 2、威胁情报检测日志 | 是 | |
| 37 | 配置备份上报 | 商密型设备应支持定期备份本地网关配置的功能，并及时上报到安全大脑平台。 注：包括首次纳管、配置发生变更、以及云端平台下发上报指令时，应立即上报对应的配置文件。 | 是 | |
| 38 | 系统日志上报 | 登录类日志 操作类日志 运行类日志 | 是 | |
| 39 | 安全网关管控 | 反向管理 | 商密型设备需要与安全大脑平台对接，满足电信的集成设计，支持通过安全大脑平台反向管理设备；支持基于HTTPS或SSH的反向管理功能；支持基于免密和自定义密码反向登录到终端。 | 是 |
| 40 | 黑名单下发 | 厂商网关与安全大脑平台对接开放“黑名单下发”能力，支持黑名单处置，至少包括对终端创建、删除黑名单，支持批量处理命令。 商密型支持黑名单处置，至少包括： 支持对终端创建、删除、查询黑名单，接口满足RESTFUL风格，支持批量处理命令。 | 是 | |
| 41 | 威胁情报下发 | 厂家终端设备需要与安全大脑平台对接，支持自定义威胁情报处置，至少包括： 1、支持下发IP、域名、URL自定义情报，至少包括IOC值、威胁类别、情报类别、执行动作。威胁类别以云端下发为先（优先匹配云端下发情报），设备支持展示查询云端下发的自定义情报且包括以上字段、平台下发时间、情报来源（云端大脑下发），满足CTSGW-04005自定义情报要求 2、支持下发例外情报，包括IP、域名、URL的IOC值，满足CTSGW-04005要求 | 否 | |
| 42 | 配置下发 | 商密型设备与安全大脑平台对接开放“配置下发”能力，可通用CLI命令行或文本等方式，接口满足RESTFUL风格，支持批量下发。下发配置至少包括： 1、安全策略 2、路由配置 3、ipsec vpn配置 4、链路加密配置 4、设备账号密码配置 6、其他 | 是 |
| 要求 | 商密型-终端场景规格要求 | ||||
| 终端类别 | 商密型50M | 商密型100M | 商密型300M | 商密型500M | |
| 终端型号 | CTSGW-SM50 | CTSGW-SM100 | CTSGW-SM300 | CTSGW-SM500 | |
| 适用接入带宽（单向） | 50M以内 | 100M以内 | 300M以内 | 500M以内 | |
| 外观/尺寸 | / | / | 1U机架式 | 1U机架式 | |
| 终端硬件（CPU /内存/存储，最低） | 4C/4G/2G | 4C/4G/2G | 8C/8G/4G | 8C/8G/4G | |
| 可扩展硬盘 | 默认存储需满足功能和性能需求 | 默认存储需满足功能和性能需求，建议可扩展1T-6T硬盘 | |||
| | |||||
| | |||||
| Bypass要求 | 支持软件bypass功能 | 支持软件bypass功能 | 支持软件bypass功能 | 支持软件bypass功能 | |
| GE千兆电口 | ≥4个 | ≥4个 | ≥6个 | ≥6个 | |
| SFP千兆光口 | / | / | ≥4个 | ≥4个 | |
| SFP+万兆光口 | / | / | / | ≥2个 | |
| 管理口数量 | ≥1个 | ≥1个 | ≥1个 | ≥1个 | |
| 电源电压 | / | 220V/交流 | 220V/交流 | 220V/交流 | |
| 加密实现形式 | 国芯加密卡 | 国芯加密卡 | 国芯加密卡 | 国芯加密卡 | |
| 加密吞吐（Mbps） | ≥50 | ≥100 | ≥300 | ≥500 | |
| SSL VPN用户数（个） | ≥30 | ≥100 | ≥300 | ≥500 | |
| 黑名单规格（条） | ≥2000 | ≥2000 | ≥4,000 | ≥5,000 | |
| ips规则库数量（条） | ≥5,000 | ≥5,000 | ≥5,000 | ≥10,000 | |
| ips检测率 | ≥80% | ≥80% | ≥80% | ≥80% | |
| 应用层吞吐（Mbps）（安全大脑出厂配置） | ≥100 | ≥200 | ≥600 | ≥1000 | |
| TCP新建连接数（条/秒）（安全大脑出厂配置） | ≥3000 | ≥5,000 | ≥5,000 | ≥30,000 | |
| TCP最大并发连接数（条）（安全大脑出厂配置） | ≥50,000 | ≥50,000 | ≥80,000 | ≥300,000 | |
3.3.3 投标产品业绩要求：投标人须提供签署日期自2023年7月1日至资格预审公告发布之日前一日止的投标产品/投标同类产品（例如SD-WAN、密码产品、防火墙，安全大脑等）在中华人民共和国境内市场上累计的销售额不少于760万元（含）人民币。
注：投标人须附相关合同关键页（须包括合同标的内容、签约时间、合同金额、合同签章页，如果提供的是框架合同，需提供对应框架合同结算的发票或订单或结算单据，框架协议及其项下同一项目所有订单的累计金额均视为同一个合同计取)的扫描件或者其他相关证明材料，业绩时间以合同或框架订单签订时间为准，业绩金额按合同或框架下订单金额计取，证明材料不全无法确定为相关业绩的，不予认可。合同原件备查，如评审时需要核查，接到正式通知后，在规定时间内送达评审现场，否则业绩不予认可。
3.3.4 投标产品资格要求：
1）投标产品须具备列入《承担网络关键设备和网络安全专用产品安全认证和安全检测任务机构名录》的机构出具的安全认证合格证书或安全检测报告，类别为防火墙类。
注：须提供安全认证合格证书扫描件或者安全检测报告扫描件，相关机构目录详见国家认证认可监督管理委员会（www.cnca.gov.cn）发布的《关于发布承担网络关键设备和网络安全专用产品安全认证和安全检测任务机构名录的公告》；或提供有效的证书扫描件。
2）投标产品须具备商用密码产品认证证书（包括但不限于GM/T 0023、GM/T 0025、GM/T 0028），其中GM/T 0028安全等级第二级及以上，需提供证书扫描件。
$ 3.4 投标产品制造商（集成商、软件开发商、软件著作权人等）资格要求 3.4.1 制造商应提供合法有效的登记（或注册）证明文件，应具有良好的银行资信和商业信誉。$ 3.4.2 $ 3.4.2 $ 3.4.3 $ 3.4.4 $ 3.4.5 $ 3.5现场考察 本次资格预审将对文件审查合格的申请人进行现场考察，申请人应接受招标人组织的现场考察。现场考察情况与申请文件不符的，提供虚假资料的不能通过资格审查。 3.4评价检测
本次资格预审将对文件审查合格的申请人进行评价检测，申请人应参加招标人组织的评价检测。评价检测未达到本公告3.3投标产品资格条件要求中3.3.2条款技术关键指标要求的，不能通过资格审查。
3.5法律法规规定的其他要求。
4．资格预审方法
4.1本次资格预审采用合格制，资格审查标准和内容详见资格预审文件。
$ 4.1本次资格预审采用有限数量制，按照审查方法择优选取前0名通过资格审查，资格审查标准和内容详见资格预审文件。 4.2通过资格审查的申请人均可参加本次资格预审范围内本项目或相应标包的投标。
4.3通过资格审查的申请人不足3个时，招标人重新组织资格预审或采用其他采购方式进行采购。
5．资格预审文件的获取
5.1资格预审文件获取时间:2026年07月13日 00时00分00秒至2026年07月17日 23时59分59秒（北京时间，下同）。
5.2资格预审文件获取方式：凡有意参与投标的潜在投标人，请按以下步骤顺序进行操作，获取资格预审文件：
5.2.1登录“中国电信阳光采购网（https://caigou.chinatelecom.com.cn）” 后，通过“招投标-采购文件领取”模块或通过“电子采购入口”跳转中国电信电子采购系统，选择本项目进行资格预审文件登记申领。未在系统注册的潜在投标人须先进行注册，注册方法详见本公告“7申请人注册”。
5.3资格预审文件费用：获取本资格预审文件不收取费用。$每套售价0元人民币，售后不退。支付要求： 。
6．资格预审申请文件的递交
6.1资格预审申请文件递交截止时间：2026年07月23日 09时00分00秒。
6.2电子资格预审申请文件的递交：登录中国电信阳光采购网（https://caigou.chinatelecom.com.cn）后，通过“招投标-我的项目”模块或通过“电子采购入口”跳转中国电信电子采购系统，选择本项目进行资格预审申请文件递交，申请人应在资格预审申请文件递交截止时间之前通过电子采购系统完成加密电子资格预审申请文件的上传。申请人未在电子采购系统进行资格预审文件申领登记或电子资格预审申请文件未按照要求加密的，将无法通过电子采购系统提交电子资格预审申请文件。
7．申请人注册
7.1中国电信阳光采购网注册
未注册过的潜在投标人，须通过中国电信阳光采购网（https://caigou.chinatelecom.com.cn）首页“立即注册”模块完成注册后，方可申领本项目资格预审文件。
7.2 CA证书办理
参与电子采购的潜在投标人须提前办理CA证书进行电子资格预审申请文件编制和资格预审申请，并确保CA证书在使用时有效。CA证书办理流程详见中国电信阳光采购网“操作指引-CA办理”。
7.3技术支撑联系方式
服务热线：4000111884
服务邮箱：zb_support@chinatelecom.cn（电子采购系统技术支撑）
ctsc@chinatelecom.cn（CA证书办理技术支撑）
8．发布公告的媒介
本次资格预审公告同时且仅在中国电信阳光采购网（https://caigou.chinatelecom.com.cn）、中国招标投标公共服务平台（http://www.cebpubservice.com/）上发布，其他媒体转载无效。
9．联系及异议接收方式
9.1联系方式
| 招标人: | 天翼安全科技有限公司 | 招标代理机构: | 中捷通信有限公司 |
| 地 址： | 北京市朝阳区朝外西街3号1幢兆泰国际中心E座 | 地 址： | 北京市西城区复兴门南大街甲2号天银大厦-A西座10层 |
| 邮 编： | | 邮 编： | |
| 联 系 人： | 高琪 | 联 系 人： | 邢雪婷、仇艳茹、陈宇昕、苏京、冯耿星、王少蕊、刘鹏、丁娟 |
| 电 话： | 010-59503293 | 电 话： | 13466612618 |
电子邮件： | gaoq01@chinatelecom.cn | 电子邮件： | xingxueting.gyl@chinaccs.cn |
| 网 址： | / | 网 址： | |
| 开户银行： | / | 开户银行： | / |
| 账 号： | / | 账 号： | / |
登录中国电信阳光采购网（https://caigou.chinatelecom.com.cn）后，通过“招投标-采购异议-提出异议”模块提出。
$10.行政监督部门
招标代理机构：中捷通信有限公司
2026年07月12日