2024年信息系统网络安全等级保护测评服务院内比选更正公告

招标

弱口令字典爆破漏洞检测引擎用户名字典反序列化口令猜测时间 WEB漏洞检查 XPATH注入 SQL注入弱口令扫描口令猜测次数水平权限绕过密码字典信息系统网络安全等级保护测评服务信息泄露文件上传 LDAP注入

金额

项目地址

广东省

发布时间

2024/12/12

公告摘要

项目编号xxb-fw-20240034

预算金额-

招标公司惠州市第一人民医院

招标联系人郭先生0752-2883908

标书截止时间-

投标截止时间-

公告正文

一、项目基本情况

原采购项目编号：XXB-FW-20240034

原采购项目名称：2024年信息系统网络安全等级保护测评服务

首次公告日期：2024年12月10日

二、变更信息

变更事项：比选文件

变更内容：

1、新增“采购项目技术要求”内容：

测评工具要求

为确保信息系统安全测评的质量，所使用的漏洞扫描工具至少满足参数要求如下：

序号	具体技术参数要求
1	部署要求，支持采用容器技术进行软件虚拟化部署，实现在不同基础设施中的快速部署，持IPv4和IPv6环境的部署和扫描。
2	▲支持CVE、CNNVD、CNVD等类型的漏洞库数量24万+。其中，支持自研POC漏洞 1000+，（提供由厂商或投标人盖章确认的产品界面截图）。
3	支持按需自定义漏洞POC检测插件，包括漏洞名称、漏洞类型、漏洞危害、CVSS信息、检测脚本等，用于日常突发漏洞应急（提供由厂商或投标人盖章确认的产品界面截图）。
4	支持针对系统漏洞扫描功能，包含但不限于操作系统、数据库、应用软件、网络设备、安全设备、移动设备。
5	支持基于系统扫描的结果，下发Web深度扫描任务，能够针对Web和系统扫描的结果深入的进行风险综合分析。
6	支持JS渲染的Web2.0应用，包括JQuery、Ajax、Flash、Applet等Web2.0应用和Vue、React等单页应用。
7	支持针对弱口令扫描功能，包含不限于MySQL、MongoDB、Redis、MSSQL、PostgreSQL、AMQP、SSH、SNMP、FTP、Telnet 、Sybase、Oracle、RTSP、RDP、IMAP、POP3、SMTP、DB2、SMB、VNC、JBoss、WebLogic、Zabbix、phpMyAdmin 等协议。
8	▲支持全量和部分弱口令字典爆破的能力，可以配置用户名字典、密码字典、口令猜测时间、口令猜测次数等，（提供由厂商或投标人盖章确认的产品界面截图）。
9	支持Web漏洞检查能力，包括但不限于Sql注入、XSS、CSRF、反序列化、LDAP注入、XPath注入、文件上传、水平权限绕过、信息泄露等。
10	▲产品具备《计算机信息系统安全专有产品销售许可证》Web应用安全检测类（增强级）（提供由厂商或投标人盖章确认的产品界面截图）。
11	▲产品具备《CNNVD兼容性证书》（提供由厂商或投标人盖章确认的产品界面截图）。
12	▲漏洞检测引擎xray，拥有活跃白帽子5000+，github社区star近万数量级，工具日活量破十万（提供由厂商或投标人盖章确认的产品界面截图）。

2、非实质性技术（参数）条款响应表：

一般技术参数条款和含“▲”的主要技术参数响应表
序号	名称	比选技术参数指标/要求	响应技术参数（填写响应货物的具体参数）	是否响应	偏离情况（正/负/无）	偏离说明	需注明对应证明材料条款所在位置，尤其是含“▲”条款

		无

变更为：

一般技术参数条款和含“▲”的主要技术参数响应表
序号	名称	比选技术参数指标/要求	响应技术参数（填写响应货物的具体参数）	是否响应	偏离情况（正/负/无）	偏离说明	需注明对应证明材料条款所在位置，尤其是含“▲”条款
序号	名称	比选技术参数指标/要求	响应技术参数（填写响应货物的具体参数）	是否响应	偏离情况（正/负/无）	偏离说明	需注明对应证明材料条款所在位置，尤其是含“▲”条款
1		部署要求，支持采用容器技术进行软件虚拟化部署，实现在不同基础设施中的快速部署，持IPv4和IPv6环境的部署和扫描。
2		▲支持CVE、CNNVD、CNVD等类型的漏洞库数量24万+。其中，支持自研POC漏洞 1000+，（提供由厂商或投标人盖章确认的产品界面截图）。
3		支持按需自定义漏洞POC检测插件，包括漏洞名称、漏洞类型、漏洞危害、CVSS信息、检测脚本等，用于日常突发漏洞应急（提供由厂商或投标人盖章确认的产品界面截图）。
4		支持针对系统漏洞扫描功能，包含但不限于操作系统、数据库、应用软件、网络设备、安全设备、移动设备。
5		支持基于系统扫描的结果，下发Web深度扫描任务，能够针对Web和系统扫描的结果深入的进行风险综合分析。
6		支持JS渲染的Web2.0应用，包括JQuery、Ajax、Flash、Applet等Web2.0应用和Vue、React等单页应用。
7		支持针对弱口令扫描功能，包含不限于MySQL、MongoDB、Redis、MSSQL、PostgreSQL、AMQP、SSH、SNMP、FTP、Telnet 、Sybase、Oracle、RTSP、RDP、IMAP、POP3、SMTP、DB2、SMB、VNC、JBoss、WebLogic、Zabbix、phpMyAdmin 等协议。
8		▲支持全量和部分弱口令字典爆破的能力，可以配置用户名字典、密码字典、口令猜测时间、口令猜测次数等，（提供由厂商或投标人盖章确认的产品界面截图）。
9		支持Web漏洞检查能力，包括但不限于Sql注入、XSS、CSRF、反序列化、LDAP注入、XPath注入、文件上传、水平权限绕过、信息泄露等。
10		▲产品具备《计算机信息系统安全专有产品销售许可证》Web应用安全检测类（增强级）（提供由厂商或投标人盖章确认的产品界面截图）。
11		▲产品具备《CNNVD兼容性证书》（提供由厂商或投标人盖章确认的产品界面截图）。
12		▲漏洞检测引擎xray，拥有活跃白帽子5000+，github社区star近万数量级，工具日活量破十万（提供由厂商或投标人盖章确认的产品界面截图）。