网络安全运维服务（JJ2022000085）采购公告

项目名称	网络安全运维服务	项目编号	JJ2022000085
公告开始日期	2022-08-01 00:10:09	公告截止日期	2022-08-04 02:00:00
采购单位	福州大学	付款方式	合同签订后，甲方向乙方支付50%预付款，全部服务完成并最终验收合格后，乙方向甲方提供全额的正式发票，甲方凭验收合格材料，且验收合格一年后向乙方支付剩余50%的合同款。
联系人	中标后在我参与的项目中查看	联系电话	中标后在我参与的项目中查看
签约时间要求	成交后30个工作日内	到货时间要求
预算总价	￥ 450000.00 + NaN + NaN
发票要求	增值税普通发票 增值税专用发票
含税要求
送货要求
安装要求
收货地址
供应商资质要求	符合《政府采购法》第二十二条规定的供应商基本条件
公告说明

采购清单1

采购商品	采购数量	计量单位	所属分类
网络安全运维服务	1	项	信息系统运维保障 无 无

品牌 品牌1
型号
品牌2
型号
品牌3
型号
预算单价	￥450000.00
技术参数及配置要求	一、等保咨询测评服务 （一）网络安全等级保护咨询 依照GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》和《行业网络安全等级保护基本要求》，投标人应在服务期内对招标方要求的目标系统进行1次等级保护咨询服务，确定不同等级业务系统当前安全防护现状，以及与国家和行业等级保护要求间的差距，为增加等级保护咨询工作的效率与准确率，等级保护咨询服务过程中投标人需使用公安部认可的等级保护工具箱对目标系统进行等保合规检查，以保障合规检查的专业性。服务期限内，投标人需提供≥3个三级系统，≥6个二级系统的网络安全等级保护咨询服务，服务包括但不限于以下内容： 1、资产分析： 对参与安全等级保护的系统进行资产信息调查、网络结构调查、安全系统调查等，形成最终的资产报告。 （1）资产调查：调查和统计服务范围内的信息资产，其中必须包括但不限于物理环境、网络设备、主机、应用软件、业务系统等。 （2）网络调查：包括对所有网络的拓扑结构进行调查，提供拓扑图。 （3）安全系统调查：包括但不限于明确现有安全设备的部署情况和使用情况，提供安全区域图。 提交成果：《信息系统资产调查表》 2、定级咨询： 在学校信息系统自行定级的基础上，投标人需参照国家和地方对信息系统安全等级保护定级的有关要求，掌握信息系统的基本情况，撰写信息系统定级报告，明确信息系统的边界和安全保护等级。 提交成果：《信息系统安全等级保护定级报告》 3、协助备案： 根据《信息安全等级保护管理办法》，投标人需要协助招标方填写《信息系统安全等级保护备案表》，同时协助到公安机关完成备案工作。 提交成果：《信息系统安全等级保护备案表》 4、风险评估： （1）根据《信息系统安全等级保护定级报告》和信息系统安全等级保护要求，采用的技术手段、人工方法和使用的工具，明确评估的具体内容，制订方案，方案须经过招标方批准后方可实施。 （2）根据信息系统安全等级保护基本要求，开展安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心安全现状评估。 （3）通过现场评估、脆弱性评估以及渗透测试等技术手段进行信息系统安全风险评估分析，编制风险评估报告。 投标人在风险评估过程中所使用的等级保护工具箱应满足以下要求： 1、支持多种网站认证方式：支持包括Basic、Digest、NTLM在内的认证方式，支持HTTP和SOCKS代理，并支持各种代理的认证方式。 2、支持多种扫描策略，包括常规完全扫描、高强度完全扫描、高强度扫描、中强度扫描、低强度扫描、Windows主机扫描、类Unix主机扫描等扫描策略，方便用户快速选择。 提交成果：《安全评估方案》、《信息系统安全等级保护风险分析报告》 5、差距分析： 在安全评估和信息系统定级的基础上，根据《信息安全技术网络安全保护等级基本要求》将定级信息系统安全等级保护的各项基本要求与信息安全现状进行比较分析。包含但不限于以下方面： （1）安全差距分析：从安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心以及安全管理深入识别现状与指标库之间的差距情况。 （2）网络安全域分析：将运维管理、开发测试、办公网络以及生产区域进行逻辑划分和访问控制策略。 （3）安全管理制度分析：从信息安全方针、管理体系、安全管理机构的设立、人员管理、重要区域访问控制等深入识别安全管理制度与指标库的差距情况。 （4）安全建设规划：根据上述风险评估结果，结合信息系统安全等级保护要求，等保规划方案和整改方案。 提交成果：《信息系统安全等级保护差距分析报告》 6、安全整改： （1）安全整改规划：根据上述风险评估结果，结合信息系统安全等级保护要求，等保规划方案和整改方案。 a)确立保护对象b)保护计算环境c)保护区域边界d)保护通信网络e)建设安全管理体系。 提交成果：《信息安全等级保护整改方案》 7、管理制度修订： 安全管理制度修订。管理制度包括但不限于：《信息系统安全策略管理》、《安全制度制订流程规定》、《操作系统维护规程》、《数据库系统维护规程》、《机安全管理员岗位职责》、《信息系统安全培训管理》、《安全管理日常维护细则》、《安全审计管理制度》、《第三方人员管理制度》、《防病毒紧急响应流程》、《机房监控与管理流程》、《机房运行管理规范》、《服务器运维管理规范》、《软件开发环境使用管理要求》、《系统交付管理规范》、《资产安全管理规范》、《安全事件报告和处置管理规范》、《信息系统安全应急处理体系》、《人员安全管理规范》、《信息系统安全运维管理规范》等。 8、策略复查： （1）投标人需派遣专业工程师到现场针对加固前后的系统脆弱性进行复查，复查手段包括但不限于协议分析、漏洞扫描、漏洞验证以及配置核查等方法。 （2）复查范围包括：a）技术层面：安全物理环境等；b）管理层面：安全管理制度、安全管理机构等。 （3）复查结束后，形成加固前后对比复查报告。 9、等保测评现场辅助： 在服务期限内，学校如有申请测评，投标人需则必须协助测评方完成测评数据采集等工作，直至备案系统通过等级测评。 （二）网络安全等级保护测评 服务期限内，投标人需协助福州大学系统通过等保二、三级测评。 ▲测评服务对象：≥6个二级系统、≥3个三级系统。 服务内容： 1、根据《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）展开测评； 2、根据单位定级备案的信息系统进行安全等级测评、并为招标方被测系统提供福建省内具有测评资质的等 3、对测评单位安全物理物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理机构、安全人员管理、安全建设管理、安全运维管理进行评估并辅助整改等。 4、投标人需协助招标方完成信息系统等级保护安全测评工作，并取得公安部门颁发的信息系统安全等级保护备案证明。 二、网络安全运营服务 1、漏洞扫描 服务期限内，每季度≥1次人工现场设备检查的方式对指定系统和设备等进行全面的漏洞扫描工作，发现系统及设备的漏洞情况，并结合提供漏洞修复建议及在修复漏洞时提供相应协助。 应根据检查结果出具相应的扫描报告，报告内容包含漏洞列表、漏洞详细描述、风险级别、漏洞加固建议及步骤等内容，结合应用系统实际运行情况对每条漏洞的危害性以及修复方法说明。 提出准确有效的扫描报告，并针对漏洞扫描中出现的问题，提供解决方案，协助用户进行解决。 提交成果：《漏洞扫描报告》 2、定期巡检服务 服务期限内，每季度≥1次人工现场检查的方式对指定系统和设备等进行全面的安全配置核查和分析，发现配置的不合规项，并结合行业实际需求提出系统整改建议，输出报告。 ▲投标人应投标文件中提供不同类型的检查脚本确保项目可根据需求实施提供针对各个类型的检查方法。 检测内容包括但不限于以下内容： （1）支持以下操作系统类型配置检查：WINDOWS、LINUX、AIX、HP-UNIX、SOLARIS； （2）支持以下数据库安全检查：MSSQL、ORACLE、SYBASE等； （3）支持以下中间件安全检查：IIS、APACHE、WEBLOGIC、JBOSS等； （4）支持以下网络/安全设备检查：防火墙、路由器、交换机等。 提交成果：《基线核查报告》 3、后门木马检查 服务期限内，每季度≥1次人工现场检查的方式对招标方指定重要Web业务系统进行定期木马后门检查，对目标信息系统开展webshell木马查杀，分析查杀结果，输出查杀报告，对存在木马的网站开展溯源分析，汇总检查结果，并协助招标方进行安全加固，输出报告。 投标人应提供必要的木马检测脚本和工具，能够完成当前主流网站木马的检测并定期更新；要求对检测发现木马开展跟踪溯源分析。 提交成果：《木马后门入侵检查报告》 4、渗透测试 服务期限内，每半年≥1次人工现场检查的方式对招标方指定的重要信息系统开展全面的渗透测试检测服务。由渗透测试专家进行深入的手工测试和分析，识别工具弱点扫描无法发现的问题。 ▲为保障渗透测试的全面性，在渗透测试过程中投标人应根据测试用例对应用系统进行渗透测试并在渗透测试报告中体现测试用例的测试结果，测试用例类型应包含信息收集、文件/目录测试、认证测试、会话管理测试、权限管理测试、文件上传下载测试、信息泄露测试、输入数据测试、逻辑测试等（不少于50种测试用例），每种测试用例内容应包含测试用例名称、测试目的、用例级别、测试条件、执行步骤、预期结果等。 针对渗透测试过程中发现的安全问题，投标人应组织渗透测试专家提供详细的修复建议协助对安全问题进行整改，整改后应提供渗透测试复测服务，直至安全问题全部修复。 提交成果：《渗透测试报告》、《渗透测试复测报告》。 5、新应用上线检测 服务期限内，投标人需提供新应用上线检测服务，服务包括但不限于以下内容： （1）评估目标系统的基本特征信息是否可以被远程探测和获取； （2）评估目标系统是否存在注入攻击漏洞，评估攻击者是否可以非法读取、篡改、添加、删除未授权数据； （3）评估目标系统是否存在跨站脚本攻击（XSS）漏洞； （4）评估目标系统的相关安全认证及会话管理是否存在漏洞，（5）评估目标系统是否存在对不安全对象的直接引用，评估攻击者是否可以利用引用对象访问未授权的数据； （6）评估目标系统是否存在安全配置错误威胁； （7）评估目标系统加密存储方面是否存在不安全因素，评估攻击者是否可以窃取或者非法修改这些受保护的敏感数据； （8）评估目标系统是否限制访问者的URL，评估攻击者是否可以通过伪造URL的方式随意访问隐藏页面； （9）评估目标系统是否存在缓冲区溢出漏洞，评估攻击者是否可以利用缓冲区溢出漏洞进行非法授权访问、获取权限、破坏可用性 （10）评估目标系统是否存在业务逻辑层面缺陷； （11）评估目标系统是对未经验证的访问请求重新指向或转发至其它页面是否有正确的验证机制。 6、协助安全加固 在服务期内，投标人应针对发现的安全隐患提供详细的修复方案以协助招标方工作人员进行安全加固。通过打补丁、增强安全配置、调整系统架构和安全策略等方式及时进行安全加固和优化，持续提高系统的安全性和抗攻击能力，将整个系统的安全状况维持在较高的水平，减少安全事件发生的可能性。 三、网络安全保障服务 1、安全事件应急响应 服务期限内，投标人需建立安全应急小组，安全应急小组人员拥有在信息安全领域以及项目管理领域具有相关资质的机构颁发的证书，在出现安全事件时提供技术支撑。学校信息网络中发生黑客入侵、网页篡改、病毒传播以及其它网络安全事件时，提供远程支持及现场支撑，现场支撑要求1小时内到达现场，实施最有效的紧急救援，进行事件还原和入侵追踪，并提出恢复补救方案。▲应急响应成果应包含对木马程序、Rootkit、间谍程序、检查流氓软件、蠕虫病毒、其它恶意程序，根据不同的应急情况开展快速扫描、全盘扫描、自定义目录扫描确保应急效率，应急人员必须具备对centos、ubuntu等非Windows操作系统开展应急的能力。 提交成果：《应急响应报告》 2、重要时期安全保障 服务期限内，投标人需在具有重大政治时期加强网络安全保障力度，加强重要网站监测，防范重大网络安全事件的发生，保证学校外网信息系统的安全稳定运行，包括二十大、国庆等重要时期的安全保障服务。投标人提供项目人员为专业团队，且需参与现场保障支持，对威胁告警事件进行分析处置，投标人需定期输出安全值守保障报告并向安全保障指挥领导小组汇报。▲包括但不限于专家现场安全保障服务、高级攻击诱捕服务、高级威胁情报研判获取服务、攻击预警阻断服务、应急响应处置服务及攻击追溯溯源服务。 通过专业的网站安全监控中心以及专业的安全研究团队人工监控和分析相结合的方式，对事件进行实时监控、预警： 事件安全监测工具应满足： 1、支持通过syslog、kafka、api、FTP、Http接口调用、本地文件上传方式对网络流量、操作系统日志、网络安全设备日志、web中间件日志、威胁情报等数据进行采集。 2、支持通过ATT&CK技战术手法结合原始日志等数据，对攻击事件进行分析溯源。 3、支持对网络、主机等常见漏洞、攻击行为和异常行为进行实时监测。 4、支持对系统资产、威胁、攻击、漏洞等信息进行态势分析及安全运营。 5、支持通过资产、安全知识库、弱点库三个维度分析事件是否存在威胁，并形成关联事件。 提交成果：《重大活动安全保障日报》、《重大活动安全保障总结报告》 3、网络安全演习（护网）时期网络安全保障 服务期内，投标人需在网络安全演习时期对招标方进行网络安全保障服务，服务内容包含但不限于： （1）保障团队建设 协助学校组织安全保障团队建设，建立分工合理、责任明确、内外结合的安全保障团队。组织学校相关网络管理人员进行重要敏感时期的安全意识培训和测试。 （2）安全能力补充 针对网络安全演习（护网）时期的防护要求，投标人需提供对应的安全能力，构筑安全防护体系。能够及时发现网络攻击并进行响应。安全能力包括但不限于：1）网络安全演习（护网）时期的攻击手段发现能力，包括已知攻击和未知攻击；2）网络安全演习（护网）时期的安全事件一键处置能力，针对恶意攻击IP进行快速处置措施；3）网络安全演习（护网）时期的攻击溯源能力，针对攻击源进行溯源反制，描绘攻击人员画像；4）网络安全演习（护网）时期的防御密码暴力破解能力，针对重要的业务系统、堡垒机、远程办公系统、单点登录认证系统等提供双因素认证措施。 （3）安全专家值守 ▲投标人需提供网络安全演习（护网）时期2名安全专家≥5*24小时值守，对监测到的各种告警信息实时分析，出现异常事件及时决策和处置。值守专家将针对防火墙、IPS、WAF、威胁分析系统、主机综合防护系统、蜜罐等安全设备的告警信息进行实时分析。针对告警的攻击方IP地址，值守专家将深入分析web访问日志，检查访问行为，一旦发现有异常访问请求、异常注册账号请求、异常登录等行为，对IP进行封堵，并对攻击进行溯源。 提交成果：《网络安全演习值守日报》、《网络安全演习总结报告》 四、网络安全能力服务 1、网络安全应急演练 服务期限内，投标人应协助学校制定应急演练方案，至少开展1次网络安全应急演练活动，以模拟演练或者桌面推演的方式熟悉应急处置流程，并检验应急预案的完整性、可行性。 ▲为保障应急演练安全概括展示的完整性,投标人需在演练中准备2D、3D的安全应急攻防地图展示（包含地图台、攻击成果大屏、防御成果大屏、远程可视大屏、沙盘推演大屏等），招标方将根据每一次演练的需求挑选展示屏幕，大屏应展示信息分布、资产系统类型统计、攻击漏洞类型统计、攻击日志统计等演练关键数据。 提交成果：《网络安全应急演练方案》、《网络安全应急演练报告》 2、网络安全培训 为协助提高招标方工作人员的安全意识、安全技能及安全管理能力，服务期限内，投标人需在服务期间内提供以下服务： ▲1）每年≥2名人员的CISP安全认证培训； 2）每年≥1次安全培训，培训包括但不限于信息安全技术人员及管理人员，培训讲师须具备国家信息安全相关机构颁发的信息安全讲师证书，培训主题由双方根据培训需求来协定。 同时，考虑疫情因素与培训受众分布影响，投标人应提供线上/线下双渠道的培训方式。 提交成果：《网络安全培训课件》 3、安全通告 服期限内，投标人应实时向招标方提交国内外威胁情报及信息安全通告。定期向招标方提供实时安全动态，帮助招标方了解最新的安全技术和安全理念，提供安全通告服务（包括但不限于系统漏洞信息、病毒信息、安全预警、信息安全事件、安全技术研究），▲为保障网络安全威胁情报信息的及时性及有效性，投标人应组织专项团队开展此工作。 提交成果：《安全威胁情报》 4、驻场人员运维 ▲服务期限内，投标人应派驻不少于1名人员固定常驻福州大学进行网络安全运维服务，驻派人员要求如下： （1）派驻人员必须服从校方的管理和工作安排，遵守校方相关的规章制度。 （2）驻场人员需具备较强的专业技术能力，具备三年及以上网络及信息安全领域从业经验、本科及以上学历，计算机相关专业。 （3）协助完成内部信息化资产进行梳理汇总，调研和统计全部网络所包含的信息资产，包括网络设备、主机、应用软件、业务系统、数据、人员、标准流程等，明确现有状况、配置情况和管理情况 （4）要求针对重要的业务系统、网络设备、安全设备等制定扫描计划（包含扫描时间、扫描设备信息、负责人等）进行漏洞扫描，在服务周期内对系统执行指定范围内资产不定时的漏洞扫描、提供漏洞修复建议及汇总报告，并提供相应协助。 （5）日常安全运维服务，提供现场评估基础网络设备、安全设备与安全软件、服务器等有效性，优化安全策略和安全配置，并定期分析设备告警情况，以及时发现安全隐患，并形成《安全巡检报告》。 （6）对重要业务系统、网络设备、安全设备等进行安全检测，查找主机设备、网络设备、重要应用、数据库存在的安全配置隐患，汇总报告。 五、配套工具与人员要求 （1）投标人所提供的项目经理同时具备信息安全等级测评师、注册信息安全管理人员(CISO)、信息系统项目管理师。 （2）项目实施团队人员需全部为投标人原厂员工，且项目实施团队人员拥有在信息安全领域以及项目管理领域具有相关资质的机构颁发的证书。 （3）服务所使用配套软硬件工具需具备信息安全产品销售许可证，符合网络安全等级保护相关制度要求。 （4）服务工具撤离时，需清空我校相关运行数据，保证数据安全。 六、技术要求项 等级保护工具 在等保咨询服务过程中，为保证等级保护服务专业性，所投产品厂商应为公安部认可的网络安全等级保护检查工具箱研发单位，提供资质证明文件复印件；同时该检查工具箱的研发单位需具备中国信息安全测评中心信息安全服务资质-安全工程类（三级）证书（需提供相关证明材料复印件并加盖投标方公章）。 在等保咨询服务过程中，投标人需使用专业的等级保护检查工具辅助进行合规检查，投标人所提供等级保护工具箱支持多种网站认证方式：支持包括Basic、Digest、NTLM在内的认证方式，支持HTTP和SOCKS代理，并支持各种代理的认证方式。（提供功能截图，并加盖投标人公章） 在等保咨询服务过程中，投标人需使用专业的等级保护检查工具辅助进行合规检查，投标人所提供等级保护工具箱支持多种扫描策略，包括常规完全扫描、高强度完全扫描、高强度扫描、中强度扫描、低强度扫描、Windows主机扫描、类Unix主机扫描等扫描策略，方便用户快速选择。（提供功能截图，并加盖投标人公章）。 事件监测工具 在重要活动保障服务过程中，投标人需使用专业的安全事件监测工具对安全事件日志进行分析及对威胁情报数据进行采集，投标人所提供的事件监测工具支持通过syslog、kafka、api、FTP、Http接口调用、本地文件上传方式对网络流量、操作系统日志、网络安全设备日志、web中间件日志、威胁情报等数据进行采集（提供第三方权威机构出具的具有“CNAS”或“CMA”标志的检测报告复印件或国际认证，并加盖投标人公章）。 在重要活动保障服务过程中，投标人需使用专业的安全事件监测工具对威胁事件进行分析溯源，投标人所提供的事件监测工具支持通过ATT&CK技战术手法结合原始日志等数据，对攻击事件进行分析溯源（提供第三方权威机构出具的具有“CNAS”或“CMA”标志的检测报告复印件或国际认证，并加盖投标人公章）。 在重要活动保障服务过程中，投标人需使用专业的安全事件监测工具对异常行为进行监测，投标人所提供的事件监测工具支持对网络、主机等常见漏洞、攻击行为和异常行为进行实时监测（提供第三方权威机构出具的具有“CNAS”或“CMA”标志的检测报告复印件或国际认证，并加盖投标人公章）。 在重要活动保障服务过程中，投标人需使用专业的安全事件监测工具对我校网络安全状况进行安全运营分析，投标人所提供的事件监测工具支持对系统资产、威胁、攻击、漏洞等信息进行态势分析及安全运营（提供第三方权威机构出具的具有“CNAS”或“CMA”标志的检测报告复印件或国际认证，并加盖投标人公章）。 在重要活动保障服务过程中，投标人需使用专业的安全事件监测工具对威胁事件进行关联分析，投标人所提供的事件监测工具支持通过资产、安全知识库、弱点库三个维度分析事件是否存在威胁，并形成关联事件（提供第三方权威机构出具的具有“CNAS”或“CMA”标志的检测报告复印件或国际认证，并加盖投标人公章）。
参考链接
售后服务	质量保证期:验收合格之日起算一年;服务网点:当地;维修响应时限:报修后24小时内响应;电话支持:7×24小时;备用机:48小时内无法排除故障，免费提供同档次备用机;质保期外:质保期外承担终身维修服务，维修过程只收取配件费，且以最优惠价格提供;

福州大学

2022-08-01 00:10:09







注册报名地址：http://www.yuncaitong.cn/publish/2022/08/01/20L69K02FFJYCUKI.shtml