公告信息

公告信息 公告标题: 网络安全检查竞争性磋商公告 有效期: 2021-06-08 至 2021-06-16 撰写单位: 辽宁汇诚工程管理咨询有限公司    （网络安全检查）竞争性磋商公告 项目概况 网络安全检查采购项目的潜在供应商应在辽宁政府采购网获取采购文件，并于2021年06月19日 09时30分（北京时间）前提交响应文件。 一、项目基本情况 项目编号：JH21-210100-02925 项目名称：网络安全检查 采购方式：竞争性磋商 包组编号：001 预算金额（元）：980,000.00 最高限价（元）：980,000.00 采购需求：查看   一、服务内容 1、对35个关键信息基础设施进行现场网络安全检查，其中包括3个以上工业控制系统。每个系统检查内容包含管理制度检查、设备安全配置核查、安全漏洞检测、web渗透测试，四个大项181个子项。每个系统检测均独立形成测评报告； 2、针对全市70个重点网站开展网络安全渗透测试工作。每个系统形成测试报告； 3、检查期间对被检单位进行网络安全态势感知服务，并做好网络安全应急支撑服务。    二、成果要求 1、将安全检查结果与2015-2020年沈阳市关键信息基础设施网络安全检查结果进行数据对比分析，形成《关键信息基础设施网络安全检查数据对比分析报告》； 2、将安全检查结果与2016-2020年辽宁省关键信息基础设施网络安全检查结果进行数据对比分析，形成《关键信息基础设施网络安全检查数据对比差异分析报告》；  3、监控并出具《网络安全监控报告》。    三、具体技术实施参数如下： （一）管理制度检查内容 序号 管理制度检查项目 1  一、信息安全组织管理 信息安全组织领导 2  信息安全管理机构 3  信息安全员 4  二、日常信息安全管理 人员管理 岗位信息安全责任制度 5  人员离岗离职信息安全管理 6  外部人员访问机房等重要区域审批制度 7  信息安全责任事故查处制度 8  资产管理 资产管理制度 9  专人负责资产管理 10  资产台账（清单），统一编号、统一标识、统一发放 11  资产状态和使用记录 12  设备维修维护和报废管理制度 13  采购管理 信息技术产品和服务及安全性评估 14  办公用计算机、服务器等设备采购管理 15  公文处理软件、信息安全产品经过国家认证 16  信息系统数据中心、灾备中心 17  外包管理 信息技术外包服务安全管理制度 18  服务合同和保密协议 19  信息技术现场服务过程管理 20  外包开发的系统、软件上线应用前安全测评， 21  信息系统运维外包不得采用远程在线运维服务方式 22  信息技术外包服务安全管理纳入年度信息安全检查范围 23  经费保障 部门信息安全年度预算 24  信息安全经费预算落实 25  三、信息安全防护管理 信息系统防护管理 定期安全评估 26  国家信息安全等级保护相关政策和技术标准规范落实 27  系统等级测评 28  门户网站防护管理 网站信息发布审核制度 29  存储介质防护管理 移动存储介质集中统一管理 30  配备电子信息消除和销毁设备 31  四、信息安全应急管理 信息安全应急工作机制 32  制定信息安全事件应急预案 33  开展应急预案的宣贯培训 34  信息安全应急演练 35  信息安全事件报告和通报机制 36  应急技术支援队伍 37  信息安全应急物资保障 38  重要数据和业务系统备份 39  五、信息安全教育培训 信息安全宣传和教育培训 40  信息安全教育培训制度 41  定期开展信息安全管理人员和技术人员专业技能培训 42  信息安全教育培训、考核和结果记录 （二）信息安全配置检查内容 序号 安全配置检查项目 1 网络边界防护 网络隔离 2 访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范等措施 3 分区分域管理 4 网络日志审计 5 门户网站防护 网站防篡改、防攻击、敏感信息保护 6 电子邮件防护 反垃圾邮件 7 电子邮件注册 8 邮箱账户及口令管理 9 终端计算机防护 终端计算机集中管理、系统补丁及病毒库升级、病毒查杀、漏洞扫描 10 终端计算机使用行为管理 11 接入互联网终端控制 12 存储介质防护管理 存储阵列、磁带库外联防范 （三）安全漏洞检测内容 序号 测试项目 一 Web漏洞测试 1  SSL加密检测 2  会话授权 3  Session认证检测 4  Session Token检测 5  Non-Random Session Token检测 6  Insufficient Authorization 7  失效链接检测 8  Insufficient Session 检测 9  Session Fixation检测 10  Failure Session ID检测 11  未授权管理会话检测 12  Session 弱点检测 13  URL-Session Token 安全性检测 14  会话cookie设置HttpOnly属性检测 15  随机会话cookie检测 16  会话cookie设置安全属性检测 17  SSL Connection加密检测 18  SSL 对象引用检测 19  弱SSL加密算法检测 20  Client-side Attacks检测 21  Content Spoofing检测 22  Cross-Site Scripting检测 23  Reflected Cross-Site Scripting检测 24  Persistent Cross-Site Scripting检测 25  DOM-Based Cross-Site Scripting检测 26  Cross-Frame Scripting检测 27  HTML Injection检测 28  Cross-Site Request Forgery检测 29  Flash-Related Attacks检测 30  Cross-Site Flashing检测 31  Cross-Site Scripting Through Flash检测 32  Phishing/URL Redirection Through Flash检测 33  Open Cross-Domain Policy检测 34  Command Execution检测 35  Format String Attack 36  LDAP 注入 37  操作系统命令注入 38  SQL注入 39  Blind SQL注入 40  SSI注入 41  Xpath注入 42  HTTP头注入/快速响应 43  恶意文件上传 44  目录索引检测 45  内容泄漏检测 46  代码备注的敏感信息检测 47  错误信息检测 48  备份文件检测 49  源代码泄漏 50  路径泄露 51  启用不安全的HTTP请求方法检测 52  WebDAV启用检测 53  支持搜索测试和调试文件(test.php) 54  FrontPage扩展启用检测 二 数据库漏洞测试 55  安全设置 56  角色 57  权限 58  弱口令 59  审计设置 60  文件权限 61  需定制参数的安全设置 62  需定制参数的审计设置 63  用户行为 64  安全设置 65  口令攻击 66  用户行为 67  SQL注入 68  缓冲区溢出 69  系统 70  安全设置 71  备份 72  角色 73  权限 74  审计设置 75  文件权限 76  用户权限提升 三 主机操作系统漏洞扫描 77  windows netbios类漏洞测试 78  web类漏洞测试 79  CGI类漏洞测试 80  信息搜集类漏洞测试 81  强力攻击类漏洞测试 82  守护进程类漏洞测试 83  mail类漏洞测试 84  FTP类漏洞测试 85  DNS类漏洞测试 86  snmp类漏洞测试 87  proxy类漏洞测试 88  协议欺骗类漏洞测试 89  RPC类漏洞测试 90  NFS类漏洞测试 91  NIS类漏洞测试 92  后门类漏洞测试 93  蠕虫病毒类漏洞测试 94  Samba服务类漏洞测试 95  缓冲区溢出类漏洞测试 96  主机账号安全性漏洞测试 97  端口服务漏洞测试 98  远程代码执行类漏洞测试 99  拒绝服务类漏洞测试 100  内存损坏类漏洞测试 101  有限内存覆盖类漏洞测试 102  安全限制绕过漏洞测试 （四）Web渗透测试内容 序号 测试大项 子项 描述 1 注入 SQL注入漏洞 SQL注入攻击包括通过输入数据从客户端插入或“注入”SQL查询到应用程序。一个成功的SQL注入攻击可以从数据库中获取敏感数据、修改数据库数据（插入/更新/删除）、执行数据库管理操作（如关闭数据库管理系统）、恢复存在于数据库文件系统中的指定文件内容，在某些情况下能对操作系统发布命令。SQL注入攻击是一种注入攻击。它将SQL命令注入到数据层输入，从而影响执行预定义的SQL命令。 2 失效的身份认证和会话管理 用户认证数据明文传输 用户名、密码等敏感信息未经加密进行了传递，恶意攻击者可能会窃取诸如用户名和密码等未经加密即发送了的用户登录信息。 3 用户枚举 通常情况下，当用户名在系统中存在时，由于错误配置或设计本身的原因导致应用程序泄露相关信息。例如，有时，当我们提交错误证书时，我们收到一条说明用户名存在或密码错误的信息。如果攻击者得到这种信息就可以利用他获得一系列系统用户名。这种信息还可以用来攻击web应用程序。例如，使用暴力破解或默认用户名/密码攻击。 4 弱口令漏洞 当系统中存在弱口令漏洞时，可能导致恶意攻击者访问机密资料/数据、管理面板，或者进行进一步攻击。 5 登录功能验证码漏洞 当验证码失效或有时效性时，攻击者可能对系统进行暴力破解等攻击。 6 用户认证数据易被暴力破解 登录页面没有验证码及账户锁定等人机识别验证措施，从而导致登录页面容易受到暴力猜解攻击。 7 认证模式绕过 系统认证模式存在漏洞，可通过特殊手法绕过用户验证措施，从而造成恶意攻击者的非授权访问。 8 密码字段允许自动填充 应用程序为了为用户提供方便常常在本地浏览器（在用户端机器上）缓存密码，并在随后的所有入口都已经预先输入了密码。可能会使未授权用户（具有授权客户机的本地访问权）能够自动填写用户名和密码字段，并因此登录站点。 9 不安全的cookies 当cookies中包含了一些明文的敏感信息（如用户名、密码等）时，攻击者盗取用户cookies后造成更严重的危害。 10 跨站脚本（XSS） 反射型跨站脚本漏洞 反射型跨站脚本攻击是最常见的跨站脚本攻击类型，当Web 应用程序存在易受到这种攻击的漏洞时，它会将未经验证的数据通过请求发送给客户端。常见的攻击手法包括一个攻击者创建并测试恶意URI 的设计步骤、确信受害者在浏览器中加载了该URI 的社交工程步骤、和使用受害人的凭据最终执行恶意代码。 11 存储型跨站脚本漏洞 储存型跨站脚本（ XSS ）是一种最危险的跨站脚本。如果Web 应用程序从恶意用户处收集了输入数据并将这些数据存储在数据库中以供以后使用，就会发生储存式跨站点脚本。存储的输入数据没有经过正确过滤，因此恶意数据将显示为网站的一部分并在web 应用程序授权下在用户浏览器中运行。储存型跨站脚本（ XSS ）是一种最危险的跨站脚本。如果Web 应用程序从恶意用户处收集了输入数据并将这些数据存储在数据库中以供以后使用，就会发生储存式跨站点脚本。存储的输入数据没有经过正确过滤，因此恶意数据将显示为网站的一部分并在web 应用程序授权下在用户浏览器中运行。 12 越权访问漏洞 越权访问漏洞 越权一般应用于对其他用户数据的修改访问，通常web程序会提取用户提交的参数或者HTTP Headers中的特定数据，加入数据库查询，从而进行用户数据的更新，如果存在越权漏洞，攻击者可能对他人数据进行查看或修改。 13 后台地址泄露 后台地址泄露 管理后台的地址设计过去简单，容易被猜测到，导致攻击者可以访问管理后台从而进行更深入的攻击。 14 安全配置错误 不安全的http请求方法 除标准的GET和POST方法外，HTTP请求还使用其他各种方法。许多这类方法主要用于完成不常见与特殊的任务。如果低权限用户可以访问这些方法，他们就能够以此向应用程序实施有效攻击。 15 存在风险的无关服务和端口 除去应用本身的端口如80、443等，系统若开放了其他无关服务与端口，则该信息可能被黑客利用。 16 Web容器漏洞 当运行在操作系统上的应用程序、中间件（例如IIS、Apache）出现安全漏洞时，可能对web、数据库造成严重危害。 17 命令执行漏洞 命令执行漏洞 由于开发人员编写源码，没有针对代码中可执行的特殊函数入口做过滤，导致客户端可以提交恶意构造语句提交，并交由服务器端执行。命令注入攻击中WEB服务器没有过滤类似system(),eval()，exec()等函数是该漏洞攻击成功的最主要原因。 18 跨站请求伪造（CSRF） 跨站请求伪造（CSRF） 一个跨站请求伪造攻击迫使登录用户的浏览器将伪造的HTTP请求，包括该用户的会话cookie和其他认证信息，发送到一个存在漏洞的web应用程序。这就允许了攻击者迫使用户浏览器向存在漏洞的应用程序发送请求，而这些请求会被应用程序认为是用户的合法请求。 19 任意文件下载 任意文件下载 代码在处理包含文件的时候没有严格控制，导致用户可以构造 \ 含远程代码在服务器上执行，若服务器文件权限设置不严，可导致下载到任意文件。 20 未验证的重定向和转发 未验证的重定向和转发 Web应用程序经常将用户重定向和转发到其他网页和网站，并且利用不可信的数据去判定目的页面。如果没有得到适当验证，攻击者可以重定向受害用户到钓鱼软件或恶意网站，或者使用转发去访问未授权的页面。 21 设计缺陷/逻辑错误 设计缺陷/逻辑错误 逻辑错误漏洞是指由于程序逻辑不严或逻辑太复杂，导致一些逻辑分支不能够正常处理或处理错误。 22 服务器端请求伪造（SSRF） 服务器端请求伪造（SSRF） SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统），SSRF 形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。比如从指定URL地址获取网页文本内容，加载指定地址的图片，下载等等。 23 敏感信息泄露 敏感信息泄露 许多Web应用程序没有正确保护敏感数据，如信用卡，税务ID和身份验证凭据。攻击者可能会窃取或篡改这些弱保护的数据以进行信用卡诈骗、身份窃取，或其他犯罪。敏感数据值需额外的保护，比如在存放或在传输过程中的加密，以及在与浏览器交换时进行特殊的预防措施。 24 目录遍历漏洞 目录遍历漏洞 目录遍历指的是应用程序对文件路径没有检查导致服务器上的敏感文件/代码泄漏。 25 文件上传漏洞 文件上传漏洞 Web应用程序的上传功能模块未对上传文件的类型合法性进行过滤校验，或者过滤校验不足导致绕过。从而使恶意攻击者可以利用文件上传漏洞上传木马后门文件   二、商务要求 1、合同履行期限：2021年6月30日前完成。 2、履约地点：沈阳市行政区域内采购人指定地点。 3、付款方式：合同签订生效后，支付合同价款70%；提交成果文件，项目验收合格后，支付合同价款30%。 4、验收标准：执行相关规定。 验收程序：由采购人进行验收。 验收报告：由采购人出具。 组织验收主体：本项目的履约验收工作由采购人依法组织实施。 5、人员要求：结合项目需求成立项目组，成员不得少于6人。 6、安全及保密需求：成交供应商需与采购人签订保密协议，必须同意并遵守采购人的安全保密规章，服务人员在提供服务期间保证对可能直接或间接的接触到的所有机密材料、文件及工作程序予以严格保密，不得擅自直接或间接使用或向任何第三方泄漏保密信息。违约责任：如果成交供应商无法完成服务内容或无法提交成果文件，将视为恶意终止合同，采购人有权单方解除合同。给采购人造成损失的，成交供应商承担相应的履约赔偿责任。 7、违约责任：如果成交供应商无法完成服务内容或无法提交成果文件，将视为恶意终止合同，采购人有权单方解除合同。给采购人造成损失的，成交供应商承担相应的履约赔偿责任。 8、投标有效期: 90日历天 　 　 　 　 合同履行期限：2021年6月30日前完成。 需落实的政府采购政策内容：落实中小微企业（含监狱企业）、残疾人就业政府采购政策。 本项目（是/否）接受联合体投标：否 二、供应商的资格要求 1.满足《中华人民共和国政府采购法》第二十二条规定。 2.落实政府采购政策需满足的资格要求：无 3.本项目的特定资格要求：无 三、政府采购供应商入库须知 参加辽宁省政府采购活动的供应商未进入辽宁省政府采购供应商库的，请详阅辽宁政府采购网 “首页—政策法规”中公布的“政府采购供应商入库”的相关规定，及时办理入库登记手续。填写单位名称、统一社会信用代码和联系人等简要信息，由系统自动开通账号后，即可参与政府采购活动。具体规定详见《关于进一步优化辽宁省政府采购供应商入库程序的通知》（辽财采函〔2020〕198号）。 四、获取采购文件 时间：2021年06月08日至2021年06月16日，每天上午8时30分至11时00分，下午13时00分至17时00分（北京时间，法定节假日除外） 地点：辽宁政府采购网 方式：线上 售价：免费 五、响应文件提交 截止时间：2021年06月19日 09时30分（北京时间） 地点：辽宁汇诚工程管理咨询有限公司会议室(沈阳市铁西区云峰南街20-1号) 六、开启 时间：2021年06月19日 09时30分（北京时间） 地点：辽宁汇诚工程管理咨询有限公司会议室(沈阳市铁西区云峰南街20-1号) 七、公告期限 自本公告发布之日起3个工作日。 八、质疑与投诉 供应商认为自己的权益受到损害的，可以在知道或者应知其权益受到损害之日起七个工作日内，向采购代理机构或采购人提出质疑。 1、接收质疑函方式：书面纸质质疑函 2、质疑函内容、格式：应符合《政府采购质疑和投诉办法》相关规定和财政部制定的《政府采购质疑函范本》格式，详见辽宁政府采购网。 质疑供应商对采购人、采购代理机构的答复不满意，或者采购人、采购代理机构未在规定时间内作出答复的，可以在答复期满后15个工作日内向本级财政部门提起投诉。 九、其他补充事宜 1、请供应商报名时，在报名界面填写本项目授权委托人的联系方式、邮箱，以确保采购文件变更时代理机构能及时以书面形式通知。 2、开评标过程中对响应文件解密及二次报价环节，需供应商自备笔记本电脑解密及二次报价。 十、对本次招标提出询问，请按以下方式联系 1.采购人信息 名  称： 中共沈阳市委网络安全和信息化委员会办公室 地  址： 沈阳市浑南区沈中大街206号 联系方式： 024-22821200 2.采购代理机构信息 名  称： 辽宁汇诚工程管理咨询有限公司 地  址： 沈阳市铁西区云峰南街20-1号 联系方式： 024-25158333 邮箱地址： huicheng_zb@163.com 开户行： 中信银行沈阳沈新路支行 账户名称： 辽宁汇诚工程管理咨询有限公司 账号： 8112 9010 1250 0706 511 3.项目联系方式 项目联系人： 郑巍、邵静 电  话： 024-25158333转8130、8131 评分办法:综合评分法 关联计划 附件：