项目概况
宿迁学院2022-2025年度网络信息安全服务项目的潜在投标人应在宿迁市中港雅典城南门西商铺14号获取招标文件,并于2022年10月08日 15:00(北京时间)前递交投标文件。
一、项目基本情况
(一)项目编号:JSZC-321300-HZJS-G2022-0036
(二)项目名称:宿迁学院2022-2025年度网络信息安全服务项目
(三)预算金额:90万元
(四)最高限价:90万元
(五)采购需求:宿迁学院2022-2025年度网络信息安全服务项目,详见采购需求
(六)合同履行期限:3年
(七)本项目采购的标的对应的中小企业划分标准所属行业为软件和信息技术服务业。
落实的政府采购政策:
本项目专门面向中小企业(含监狱企业、残疾人福利企业)采购。
投标人提供的货物、工程或者服务符合规定情形的,对小微企业报价给予扣除(扣除比例详见“投标人须知”-“评标程序“条款),用扣除后的价格参加评审。
(八)本项目不接受联合体投标。
二、申请人的资格要求
(一)具备《中华人民共和国政府采购法》第二十二条第一款规定的6项条件(按要求提供投标声明及承诺函)。
(二)落实政府采购政策需满足的资格要求:无。
(三)本项目的特定资格要求:无。
(四)未被列入失信被执行人、重大税收违法案件当事人名单、政府采购严重违法失信行为记录名单(以本公告“投标人信用信息”查询结果为准)。
单位负责人为同一人或者存在直接控股、管理关系的不同供应商,不得参加同一合同项下的政府采购活动。否则,相关投标均无效。
三、评标办法
本项目采用综合评分法。具体细则详见招标文件“资格审查及评标办法”内容。
四、获取招标文件
(一)采购文件提供时间:2022年09月15日 09:00至2022年09月22日 17:30,节假日除外。
(二)投标人应在招标文件提供的时间内,现场报名或微信报名(微信号:15950608601)。投标人报名所需材料:营业执照、法定代表人身份证明(或法人授权委托书)及其居民身份证复印件或扫描件。
联系人:康宇 联系方式:15950608601
联系地址:宿迁市中港雅典城南门向西200米商铺14号。
(三)本项目共分一个包。供应商未按要求获取招标文件导致无法投标的,后果自负(其投标文件不予接受)。
五、提交投标文件截止时间、开标时间和地点
(一)投标文件提交截止时间及开标时间:2022年10月8日 15:00:00
(二)开标地点:宿迁市中港雅典城南门向西200米商铺14号。
(三)投标人应在投标文件提交截止时间前将纸质投标文件递交至开标地点。逾期递交的投标文件,采购人不予受理。
六、采购公告(采购文件公告)期限
本采购公告(采购文件公告)期限,为采购公告(采购文件)发布之日起五个工作日。采购公告发布媒体:宿迁市政府采购网。
七、其他补充事宜
(一)投标人信用信息
1. 信用信息查询渠道为:“信用中国”网(www.creditchina.gov.cn)、“中国政府采购”网(www.ccgp.gov.cn)、江苏政府采购网(www.ccgp-jiangsu.gov.cn)。
2. 信用信息查询截止时点:资格审查结束前。
3. 信用信息查询记录和证据留存的方式:由采购人在资格审查现场查询信用信息,网页截屏打印,与其他采购文件一并保存。网页截屏应当留有(或注明)查询时点的网页地址和网络时间标记。信用查询记录(网页截屏和《政府采购信用信息查询使用情况说明》)由采购人授权的经办人签字确认。
4. 信用信息的使用规则:采购人对供应商信用记录进行甄别,对列入失信被执行人、重大税收违法案件当事人名单、政府采购严重违法失信行为记录名单,拒绝其参与政府采购活动。
(二)财政部门监督电话:0527-84363063
八、对本次招标提出询问,请按以下方式联系。
1.采购人信息
名称:宿迁学院
地址:宿迁市宿城区黄河路 399 号
联系方式:胡老师 18662770526
2.采购代理机构信息
名称:江苏宏壮工程项目管理有限公司
地址:宿迁市中港雅典城南门向西200米商铺14号
联系方式:0527-84227585
3.项目联系方式
项目联系人:许益(组织本项目采购活动的具体工作人员姓名)
电话:0527-84227585
附件2采购代理机构信用承诺书9.15.pdf 附件2采购代理机构信用承诺书9.15.pdf
附件1采购人信用承诺书.pdf 附件1采购人信用承诺书.pdf
宿迁学院2022-2025年度网络信息安全服务项目采购文件.doc 宿迁学院2022-2025年度网络信息安全服务项目采购文件.doc
项目名称: | 宿迁学院2022-2025年度网络信息安全服务项目 |
项目编号: | JSZC-321300-HZJS-G2022-0036 |
采购人: | 宿迁学院 |
采购代理机构: | 江苏宏壮工程项目管理有限公司 |
日 期: | 2022年09月14日 |
序号 | 内容 | 说明及要求 |
1 | 项目类别 | 本项目为 □ 货物 ☑ 服务 □ 工程 采购。 |
2 | 投标保证金 | 本项目不收取投标保证金。 |
3 | 投标有效期 | 60日(从提交投标文件截止之日起算) |
4 | 投标文件份数 | 正本1份,副本4份。 |
5 | 现场踏勘 | 招标人不集中组织投标踏勘现场,投标人踏勘现场可直接与招标人联系。 |
6 | 评标办法 | □ 最低评标价法; ☑ 综合评分法具体评标办法详见招标文件第三部分。评标委员会按照招标文件规定评标办法和标准推荐1-3名中标候选人。 |
7 | 分包要求 | □ 允许分包,允许大中型企业向一家或者多家小微企业分包,分包具体内容、金额或比例: ☑ 不允许分包。 |
8 | 开标时携带资料 | 供应商在规定的时间和地点准时参加开标,并在投标文件接收截止时间前提供以下资料:(1)投标文件;(2)法人代表身份证或被授权人身份证原件;(3)供应商认为有必要提供的其它材料。 |
9 | 其他 | 不管投标结果如何,投标人均应承担自己投标所需一切费用。 |
资格审查因素 | 审查标准 |
投标声明及承诺函 | 符合招标文件要求 |
信用信息 | 符合招标文件要求 |
联合体投标 | 不接受联合体投标 |
符合性审查因素 | 审查标准 |
法定代表人身份证明或授权委托书 | 符合招标文件要求 |
开标一览表及投标报价 | 格式、填写要求符合招标文件规定 |
技术标准和要求 | 符合招标文件要求 |
投标保证金 | 符合招标文件要求 |
其他 | 符合招标文件要求 |
评审因素 | 分数 | 评审标准 | |
报价分 | 投标报价 | 20.00分 | 采用低价优先法计算,即满足招标文件要求且投标价格最低的投标报价为评标基准价,其价格分为满分。其他供应商投标报价得分=(评标基准价/投标报价)*20。供应商提供的服务符合规定情形的,对小微企业报价给予10%的扣除,用扣除后的价格参加评审。 |
技术响应 | 技术参数响应 | 20.00分 | 投标人所投产品的技术参数要求完全满足招标文件中采购需求的得20分。▲号条款为重要参数,每有一项不满足扣2分;其余项,每有一项不满足的扣1分,扣完为止。本项最低得0分,本项最多得20分。 |
技术能力 | 流量安全分析能力 | 15.00分 | (1)支持对威胁事件的攻击过程、攻击详情等证据信息展示。提供截图证明,满足得3分;(2)支持失陷资产追溯,以失陷资产视角分析,展示资产的失陷状态,并自动关联失陷资产的信息(如主机属性、部署系统、开放端口对应协议及版本等信息)。提供截图证明,满足得3分;(3)支持利用EBA(用户和实体行为分析技术)技术进行资产的行为分析,对这些对象进行持续的学习和行为画像构建,以基线画像的形式检测异于基线的异常行为作为入口点,结合以降维、聚类、决策树为主的计算处理模型发现异常用户/资产行为,并支持对EBA基线进行自定义调整,优化模型。提供截图证明,满足得3分;(4)支持对终端远控木马或者病毒等恶意软件进行检测,并且能够进行深入的分析,展示和外部命令控制服务器的交互行为和其他可疑行为。提供截图证明,满足得3分;(5)支持通过主动发送微量包的扫描方式探测潜在的服务器(影子资产)以及服务器的基础信息,资产指纹信息含资产类型、端口、操作系统、MAC地址、主机名等。提供截图证明,满足得3分; |
企业业绩及信誉 | 企业业绩 | 10.00分 | 2019年 1 月 1 日(以合同签订时间为准)以来供应商承担过省级及更高安全服务项目(合同内容至少包含风险评估、渗透测试、漏洞扫描、基线核查、应急响应、重保值守、安全加固、攻防演练服务中的任意一项服务内容)业绩的,每提供一个得0.5分,最高得10分。注:响应文件中提供合同复印件加盖单位公章,否则不得分。 |
企业业绩及信誉 | 第三方信用报告 | 2.00分 | 信用得分=2*综合得分(即综合性信用评价报告分数)/100,以提供的经宿迁市信用报告服务行业协会审核备案的第三方信用服务机构出具的政府采购信用评价报告为准。经备案的第三方信用服务机构请到信用宿迁网“宿迁市信用服务机构备案管理专栏”查询。(信用宿迁网址 http://cxsq.suqian.gov.cn)。 |
企业业绩及信誉 | 企业资质 | 10.00分 | 1、投标人具有国家计算机网络应急技术处理协调中心网络安全应急服务支撑单位名单的得5分,其余不得分。2、投标人具有中国信息安全认证中心/中国网络安全审查技术与认证中心颁发的信息安全服务资质认证证书,信息安全风险评估服务资质为一级得3分;二级得2分,三级得1分,无得0分。3、投标人满足CNVD国家信息安全漏洞共享平台技术组和用户组成员单位,完全满足得2分;满足其中一项得1分;不满足得0分。以上提供证书复印件或官网截图加盖公章。 |
项目实施方案 | 项目实施方案 | 15.00分 | 投标人能针对宿迁学院网络、服务器、信息资产等实际状况、详细勘探、并能制定完善的实施方案,并根据网络信息安全保障进度安排、在项目质量保证体系、调测验收方案(测试、试运行、验收等),制定详细的进度、质量措施、验收方案完整的,得 15-10(含)分;针对本项目制定进度、质量措施、验收方案基本完整的,得10-5(含)分;有进度、质量方案、验收方案,但方案内容笼统,没有针对本项目细化制定,但通过后期优化能够实施的,得 5-0(含)分,没有内容不得分。 |
项目实施方案 | 售后服务方案 | 8.00分 | 根据供应商的服务承诺、售后服务人员、服务响应时间、服务内容等进行评分,方案详细、服务范围广泛、响应及时、服务体系完整,得8-6(含)分;方案详细、服务范围广泛、响应虽有滞后性,服务体系完整,得6-3(含)分;方案略笼统、服务范围狭窄、响应滞后、服务体系不完整,得3-0(含)分。没有内容的不得分。 |
序号 | 服务项目 | 服务频率 | 交付成果 |
1 | 漏洞扫描 | 每季度一次 | 漏扫报告 |
2 | 渗透测试 | 每年2次 | 渗透测试报告 |
3 | 安全基线检查 | 每季度一次 | 安全基线检查报告 |
4 | 新系统入网评估 | 根据实际情况,实时 | 新系统入网评估报告 |
5 | 等级保护咨询 | 实时 | 等级保护解决方案 |
6 | 安全设备日志分析 | 实时 | 安全设备日志报告 |
7 | 安全设备策略调优 | 实时 | 安全设备策略调优报告 |
8 | 应急响应 | 每年4次上门服务 | 应急响应报告 |
9 | 资产梳理 | 每季度一次 | 资产梳理报告 |
10 | 安全预警 | 每个月一次综合安全预警,重大安全事件发生后及时预警 | 安全预警公告 |
11 | 安全威胁专项检查 | 每月一次 | 安全威胁专项检查报表 |
12 | 安全培训 | 每年共10天 | 安全培训手册 |
13 | 驻场服务 | 1人现场驻场服务 | 安全问题,实时处理 |
14 | 上级考核 | 根据江苏省高校网络安全责任制考核点,提供相应服务 | 考核结果不低于80分 |
服务项目 | 服务类型 | 内容及要求 |
漏洞扫描 | 漏洞管理 | 漏洞扫描与验证:投标方需针对服务范围内的资产的系统漏洞和Web漏洞进行全量扫描,并针对发现的漏洞进行验证,验证漏洞在已有的安全体系发生的风险及分析发生后可造成的危害。 |
漏洞扫描 | 漏洞管理 | 漏洞优先级排序:投标方需提供客观的漏洞修复优先级指导,不能以漏洞危害等级作为唯一的修复优先级排序依据。排序依据包含但不限于资产重要性、漏洞等级以及威胁情报。(漏洞被利用的可能性)三个维度(提供漏洞优先级排序截图,展示优先级排序情况) |
漏洞扫描 | 漏洞管理 | 漏洞验证功能:▲提供漏洞验证服务,针对发现的漏洞进行验证,验证漏洞在已有的安全体系发生的风险及分析发生后可造成的危害。针对已经验证的漏洞,自动生成漏洞工单,安全专家跟进漏洞状态,各个处理进度透明,方便招标方清晰了解当前漏洞的处置状态,将漏洞处理工作可视化。(提供服务工具漏洞工单截图,需展示当前漏洞的处置状态) |
漏洞扫描 | 漏洞管理 | 漏洞修复建议功能:▲针对存在的漏洞提供修复建议,能够提供精准、易懂、可落地的漏洞修复方案。(提供功能截图) |
漏洞扫描 | 漏洞管理 | 漏洞复测功能:▲需提供漏洞复测措施,及时检验漏洞真实修复情况。复测措施可按需针对指定漏洞,指定资产等小范围进行,降低漏洞复测时的潜在影响范围。(提供服务工具复测功能截图) |
漏洞扫描 | 漏洞管理 | 漏洞状态追踪:▲对发现的漏洞建立状态追踪机制,自动化持续跟踪漏洞情况,清晰直观地展示漏洞的修复情况,遗留情况以及漏洞对比情况,使得招标方可做到漏洞的可视、可管、可控(提供漏洞管理功能平台截图,直观展示漏洞管理情况) |
漏洞扫描 | 威胁管理 | 结合大数据分析、人工智能、云端专家提供安全事件发现服务:依托于安全防护组件、检测响应组件和安全平台,将海量安全数据脱敏,包括漏洞信息、共享威胁情报、异常流量、攻击日志、病毒日志等数据,经由大数据处理平台结合人工智能和云端安全专家使用多种数据分析算法模型进行数据归因关联分析,实时监测网络安全状态,发现各类安全事件,并自动生成工单。 |
漏洞扫描 | 威胁管理 | ▲实时监测网络安全状态,对攻击事件自动化生成工单,及时进行分析与预警。攻击事件包含境外黑客攻击事件、暴力破解攻击事件、持续攻击事件。(提供安全事件(如暴力破解)的工单截图,需展示当前安全事件的处置状态)(提供功能截图) |
漏洞扫描 | 威胁管理 | 实时监测网络安全状态,对病毒事件自动化生成工单,及时进行分析与预警。病毒类型包含勒索型、流行病毒、挖矿型、蠕虫型、外发DOS型、C&C访问型、文件感染型、木马型。 |
漏洞扫描 | 威胁管理 | 投标方需针对每一类威胁,进行深度分析验证,分析判断是否存在其他可疑主机,将深度关联分析的结果通过邮件、微信等方式告知用户。 |
漏洞扫描 | 威胁管理 | 结合威胁情报,投标方需排查是否对用户资产造成威胁并通知用户,协助及时进行安全加固。 |
漏洞扫描 | 威胁管理 | 投标方需每月主动分析病毒类的安全事件:提供病毒处置工具,并针对服务范围内的业务资产使用病毒处置工具进行病毒查杀,对于服务范围外的业务资产,安全专家协助用户查杀病毒。 |
漏洞扫描 | 威胁管理 | 投标方需每月主动分析攻击类的安全事件:通过攻击日志分析,发现持续性攻击,立即采取行动实时对抗,当用户无防御措施时,提供攻击类安全事件的处置建议。 |
漏洞扫描 | 威胁管理 | 投标方需每月主动分析漏洞利用类的安全事件并验证该漏洞是否利用成功,提供工具协助处置。 |
漏洞扫描 | 威胁管理 | 投标方需每月主动分析失陷类的安全事件并协助用户处置,并提供溯源服务。 |
漏洞扫描 | 威胁管理 | 策略调配:新增资产、业务变更策略调优服务,业务变更时策略随业务变化而同步更新。 |
漏洞扫描 | 威胁管理 | 策略定期管理:投标方需每月对安全组件上的安全策略进行统一管理工作,确保安全组件上的安全策略始终处于最优水平,针对威胁能起到最好的防护效果。 |
漏洞扫描 | 威胁管理 | ▲策略调整:安全专家根据安全事件分析的结果以及处置方式,根据用户授权情况按需对安全组件上的安全策略进行调整工作。(提供功能截图) |
漏洞扫描 | 威胁管理 | 通过攻击日志分析,发现持续性攻击,立即采取行动实时对抗。 |
漏洞扫描 | 威胁管理 | 通过全网大数据分析,发现有境外黑客或高级黑客正在攻击,立即采取行动封锁黑客行为。 |
漏洞扫描 | 事件管理 | ▲基于主动响应和被动响应流程,对页面篡改、通报、断网、webshell、黑链等各类严重安全事件进行紧急响应和处置的解决方案。(提供功能截图) |
漏洞扫描 | 事件管理 | 实时针对异常流量分析、攻击日志和病毒日志分析,经过海量数据脱敏、聚合发现安全事件。 |
漏洞扫描 | 事件管理 | 针对分析得到的勒索病毒、挖矿病毒、篡改事件、webshell、僵尸网络等安全事件,通过工具和方法对恶意文件、代码进行根除,帮助客户快速恢复业务,消除或减轻影响。 |
漏洞扫描 | 事件管理 | 入侵影响抑制:通过事件检测分析,提供抑制手段,降低入侵影响,协助快速恢复业务。 |
漏洞扫描 | 事件管理 | 入侵威胁清除:排查攻击路径,恶意文件清除。 |
漏洞扫描 | 事件管理 | 入侵原因分析:还原攻击路径,分析入侵事件原因。 |
漏洞扫描 | 事件管理 | 加固建议指导:结合现有安全防御体系,指导用户进行安全加固、提供整改建议、防止再次入侵。 |
漏洞扫描 | 首次威胁分析和处置 | 安全威胁分析:安全服务平台被动发现配合安全专家主动日志分析,识别服务范围内资产发现的病毒类事件、漏洞类事件、攻击类事件,并建立安全事件的进度监控机制 |
漏洞扫描 | 首次威胁分析和处置 | 对外服务威胁检查:针对对外的服务器,着重对webshell、病毒进行重点排查,主动发现服务器风险隐患 |
漏洞扫描 | 首次威胁分析和处置 | 首次威胁处置:投标方输出首次威胁分析报告,提供处置方法和工具,并上门提供首次处置服务 |
漏洞扫描 | 首次威胁分析和处置 | 首次威胁汇报:处置完毕后,进行本次处置汇报,并进行报告解读 |
漏洞扫描 | 威胁分析和预警 | 结合大数据分析、人工智能、安全专家提供安全事件发现服务:依托于安全防护组件、检测响应组件和安全平台,将海量安全数据脱敏,包括漏洞信息、共享威胁情报、异常流量、攻击日志、病毒日志等数据,经由大数据处理平台结合人工智能和安全专家使用多种数据分析算法模型进行数据归因关联分析,实时监测网络安全状态,发现各类安全事件,并自动生成工单。 |
漏洞扫描 | 威胁分析和预警 | ▲实时监测网络安全状态,对攻击事件自动化生成工单,及时进行分析与预警。攻击事件包含境外黑客攻击事件、暴力破解攻击事件、持续攻击事件。(提供服务工具复测功能截图) |
漏洞扫描 | 威胁分析和预警 | 实时监测网络安全状态,对病毒事件自动化生成工单,及时进行分析与预警。病毒类型包含勒索型、流行病毒、挖矿型、蠕虫型、外发DOS型、C&C访问型、文件感染型、木马型。 |
漏洞扫描 | 威胁分析和预警 | 安全专家针对每一类威胁,进行深度分析验证,分析判断是否存在其他可疑主机,将深度关联分析的结果通过邮件、微信等方式告知用户。 |
漏洞扫描 | 流行威胁通告与排查 | ▲结合最新威胁情报,及时对流行威胁进行评估、风险通告预警。(提供威胁情报预警实际案例截图) |
漏洞扫描 | 流行威胁通告与排查 | 安全专家排查是否对用户资产造成威胁,通知用户协助及时修复或调整安全策略。 |
漏洞扫描 | 主动响应服务 | 策略调配:新增资产、业务变更策略调优服务,业务变更时策略随业务变化而同步更新。 |
漏洞扫描 | 主动响应服务 | 策略定期管理:安全专家每月对安全组件上的安全策略进行统一管理工作,确保安全组件上的安全策略始终处于最优水平,针对威胁能起到最好的防护效果。 |
漏洞扫描 | 主动响应服务 | ▲策略调整功能:安全专家根据安全事件分析的结果以及处置方式,根据用户授权情况按需对安全组件上的安全策略进行调整工作。(提供功能截图) |
漏洞扫描 | 主动响应服务 | 针对病毒类的安全事件:安全专家提供病毒处置工具,并针对服务范围内的业务资产使用病毒处置工具进行病毒查杀,对于服务范围外的业务资产,安全专家提供病毒查杀方法和工具。 |
漏洞扫描 | 主动响应服务 | 针对攻击类的安全事件:通过攻击日志分析,发现持续性攻击,获取用户授权后采取行动实时对抗,当用户无防御措施时,投标方需提供攻击类安全事件的处置建议。 |
漏洞扫描 | 主动响应服务 | 针对漏洞利用类的安全事件:安全专家验证该漏洞是否利用成功,提供工具协助处置。 |
漏洞扫描 | 主动响应服务 | 针对失陷类的安全事件:安全专家协助用户处置,并提供溯源服务。 |
漏洞扫描 | 主动响应服务 | ▲基于主动响应和被动响应流程功能,对页面篡改、通报、断网、webshell、黑链等各类严重安全事件进行紧急响应和处置的解决方案。(提供在服务平台申请主动响应的实际界面截图证明) |
漏洞扫描 | 主动响应服务 | 根据事件发生的根因、影响范围,针对性给出安全加固方案。 |
漏洞扫描 | 主动响应服务 | 安全专家通过现象深入分析安全事件的成因,发现用户网络中存在的薄弱点,通过技术手段和方法溯源攻击路径。 |
漏洞扫描 | 主动响应服务 | 针对勒索病毒、挖矿病毒、篡改事件、webshell、僵尸网络等安全事件,通过工具和方法对恶意文件、代码进行根除,快速恢复业务,消除或减轻影响。 |
漏洞扫描 | 主动响应服务 | 通过结合主动发现、主动处置、被动响应流程,对僵尸网络、病毒、后门、黑链等各类安全事件的处置服务。 |
漏洞扫描 | 主动响应服务 | 在国家重要活动、节假日时期提供网络安全事件处置的人员现场应急服务。 |
渗透测试 | 服务要求 | 投标方应保证招标方信息系统正常运行前提下,模拟黑客攻击行为通过远程或本地方式对信息系统进行非破坏性的入侵测试,查找针对应用程序的各种漏洞,帮助招标方理解应用系统当前的安全状况,发现在系统复杂结构中的最脆弱链路并针对安全隐患提出解决办法,切实保证信息系统安全。 |
渗透测试 | 服务要求 | 投标方应在得到客户授权后方可开始实施渗透工作。 |
渗透测试 | 服务方案 | 投标方应根据招标方安全需求及重要业务系统结构,设计针对性的渗透测试方案,并提交至招标方进行评审。 |
渗透测试 | 服务方案 | 投标方应在投标文件技术部分详细说明渗透测试的实施流程、渗透测试方法、实施过程中用到的工具、实施过程中可供考量的具体工作指标及各阶段输出成果。 |
渗透测试 | 服务方案 | ▲投标方提供的渗透测试方案必须包括但不限于: |
渗透测试 | 服务方案 | 渗透方法和流程。 |
渗透测试 | 服务方案 | 渗透测试风险评估和控制方案。 |
渗透测试 | 服务方案 | 渗透测试须采用国内外商业检测工具或自有检测工具。 |
渗透测试 | 服务方案 | 提供渗透测试所面临的主要风险及相应的风险规避措施。 |
渗透测试 | 服务内容 | 招标方授权后,投标方应通过模拟黑客攻击行为通过本地或远程方式对目标对象进行非破坏性的入侵测试。 |
渗透测试 | 服务内容 | 渗透测试应至少包括但不限于以下范围的漏洞: |
渗透测试 | 服务内容 | WEB应用系统渗透。 |
渗透测试 | 服务内容 | 主机操作系统渗透。 |
渗透测试 | 服务内容 | 数据库系统渗透。 |
渗透测试 | 服务内容 | 渗透测试内容包括但不限于: |
渗透测试 | 服务内容 | 身份验证类。 |
渗透测试 | 服务内容 | 会话管理类。 |
渗透测试 | 服务内容 | 访问控制类。 |
渗透测试 | 服务内容 | 输入处理类。 |
渗透测试 | 服务内容 | 信息泄露类。 |
渗透测试 | 服务内容 | 第三方应用类。 |
渗透测试 | 服务内容 | ▲投标方渗透测试人员应针对使用不同技术手段发现不同纬度的漏洞,并进行验证,形成记录和报告。(提供截图) |
渗透测试 | 服务内容 | ▲投标方渗透测试人员应在招标方授权许可的情况下以目标业务系统为跳板进行横向渗透,发掘更深层次的漏洞并展现漏洞被利用后的危害。(提供截图) |
渗透测试 | 服务内容 | ▲投标方应编写渗透测试报告并提交给招标方,报告应该阐明招标方业务系统中存在的安全隐患以及专业的漏洞风险处置建议。(提供截图) |
渗透测试 | APP检测 | 通信安全:检查后台是否使用安全的加密传输协议,进行抓包测试,发现未进行加密数据传输,关键数据加密及校验 |
渗透测试 | APP检测 | 业务安全:检查后端通信请求是否存在sql注入漏洞,对相关传参值进行测试,均返回正常。暴力破解登录接口的口令,检查是否存在弱口令等密码。检查是否存在短信重放漏洞。检查短信接口是否会被滥用,检查后端通信请求是否存在CSRF漏洞,检查头像修改等接口是否存在任意文件上传漏洞 |
安全基线检查 | 服务内容 | 基线配置核查:检查支撑信息化业务的主机操作系统、数据库、中间件的基线配置情况,确保达到相应的安全防护要求。检查项包含但不限于帐号和口令管理、认证、授权策略、网络与服务、进程和启动、文件系统权限、访问控制等配置情况;检查对象包括以下操作系统、中间件及数据库:操作系统包括:Windows(32位Windows XP/7 8/10/ Server、64位Windows XP/7/8/10/ Server)、Linux(Centos、Debian、Fedora、Redhat、Suse、Ubuntu等)、Unix(Aix、HP-UX、Solaris等)、国产操作系统(中标麒麟、红旗、深度、凝思等)等。中间件包括:IIS、Apache、Tomcat、Weblogic、Websphere、Nginx、Jboss、Resin等。数据库包括:Oracle、Mysql、DB2、Informix、Mssql、Sybase、达梦等。3、操作系统安全基线核查包括:操作系统基本信息、硬件基本信息、应用软件、进程、活动端口开放情况、开机自启动项、用户列表、主机日志信息、补丁信息、安全审计信息和安全策略配置情况,能够采集浏览器上网记录、USB使用记录等。4、数据库安全检查包括:账号、角色和口令设置、权限设置、数据库日志信息、通信协议、存储过程、版本信息、补丁信息等。5、中间件安全检查包括:账号、角色和口令设置、权限设置、中间件日志信息、通信协议、存储过程、版本信息、补丁信息、默认端口、登录时常、错误重定向等。 |
新系统入网评估 | 服务内容 | 对新系统将进行以下方面的全面评估:(1)漏洞扫描采用安全评估系统进行网络扫描,通过在互联网上或者网络内部对承载新系统的操作系统及应用本身进行自动化的扫描。扫描结束后人工分析和去除误报并生成《漏洞扫描报告》。报告对各种扫描过程中发现的系统脆弱性问题做出详细的说明,以及从脆弱性问题可能引发的安全隐患或者安全事件,并提供基本的修补建议。(2)渗透测试高级服务专家通过真实模拟黑客使用的工具、分析方法来对应用进行模拟攻击,对新系统进行深入的手工测试和分析,识别工具弱点扫描无法发现的问题。主要分析内容包括逻辑缺陷、上传绕过、输入输出校验绕过、数据篡改、功能绕过、异常错误等以及其他专项内容测试与分析,渗透结束后生成相关报告并提供加固建议。(3)安全基线检查根据安全配置检查标准,采用人工检查用表(checklist)及商用安全评估工具对新系统的主机操作系统安全、中间件安全、数据库安全等进行系统的安全规则配置、安全策略配置、日志报警信息以及系统和软件升级、更新情况,是否存在后门等内容进行检查。 |
等级保护咨询 | 服务内容 | 1、结合用户现有基础设施,按照等级保护三级系统,S3A3G3的等级保护要求进行整体安全改造建议。确保的整体信息化建设符合相关要求并迈向新的台阶。2、建立安全管理组织机构。成立信息安全工作组,信息科负责人为安全责任人,拟定实施网络信息系统安全等级保护的具体方案,并制定相应的岗位责任制,确保信息安全等级保护工作顺利实施。3、建立健全信息系统安全管理制度。根据信息安全等级保护三级的要求,制定各项信息系统安全管理制度,对安全管理人员或操作人员执行的重要管理操作建立操作规程和执行记录文档。4、制定保障业务系统不中断的应急预案。应急预案是安全等级保护的重要组成部分,按可能出现问题的不同情形制定相应的应急措施。 |
安全设备日志分析 | 服务内容 | 1、为用户信息系统内安全设备产生的海量日志进行一次深度挖掘和分析,从IP分布、时间分布、事件分布,行为分布、告警趋势这五个维度对用户信息系统内安全设备产生的日志进行梳理,发现潜在的风险点,得出安全现状结论,并提供极具参考价值的分析报告。2、信息安全产品提供日志分析服务包括设备范围:(1)WAF系统(2)上网行为管理/监测系统(3)流量监测系统(4)防火墙系统(5)防病毒网关系统(6)用户其他相关安全设备 |
安全设备策略调优 | 服务内容 | 协助制定客户网络安全相关标准、制度,提供专业化安全建议,使之符合上级部门以及相关法律法规的要求。 |
应急响应 | 服务内容 | 在出现重要安全事件时(信息系统遭受攻击、网络病毒爆发等),派遣高级安全服务专家,通过远程或现场支持的形式协助客户对遇到的突发性安全事件进行紧急分析和处理。主要服务内容包括:突发事件相关信息的收集、事件的分析、报告提交、问题解决建议等,协助用户解决突发安全事件,并提供应急响应报告。 |
资产梳理 | 服务内容 | 1、需借助安全工具对用户资产进行全面发现和深度识别,并在后续服务过程中触发资产变更等相关服务流程,确保资产信息的准确性和全面性。2、需结合安全工具发现的资产信息,首次进行服务范围内资产的全面梳理(梳理的信息包含支撑业务系统运转的操作系统、数据库、中间件、应用系统的版本,类型,IP地址;应用开放协议和端口;应用系统管理方式、资产的重要性以及网络拓扑),并将信息录入到安全运营平台中进行管理;当资产发生变更时,安全专家对变更信息进行确认与更新。3、需对梳理出的资产进行安全现状评估,进行如下工作:(1)系统与Web漏洞扫描:对操作系统、数据库、常见应用/协议、Web通用漏洞与常规漏洞进行漏洞扫描;(2)弱口令扫描:实现信息化资产不同应用弱口令猜解检测,如:SMB、Mssql、Mysql、Oracle、smtp、VNC、ftp、telnet、ssh、mysql、tomcat等;(3)勒索病毒事件分析:投标方需分析判断主机是否感染了勒索病毒;是否已感染勒索病毒文件;根据已发生的漏洞攻击行为分析判断否存在勒索病毒攻击等;(4)挖矿病毒事件分析:投标方需分析是否感染了挖矿病毒/木马;是否处于挖矿状态;根据已发生的漏洞攻击行为分析判断是否存在以植入挖矿木马为目的的漏洞攻击等;(5)蠕虫病毒事件:投标方需确认文件是否被感染,定位失陷的代码并进行修复;(6)针对漏洞利用攻击行为、Webshell上传行为、Web系统目录遍历攻击行为、SQL注入攻击行为、信息泄露攻击行为、口令暴力破解攻击行为、僵尸网络攻击行为、系统命令注入攻击行为及僵尸网络攻击行为进行分析评估,判断攻击行为是否成功以及业务风险点;(7)失陷主机分析:投标方需对失陷主机进行分析研判(如后门脚本类事件),并给出修复建议;(8)潜伏威胁分析:投标方需分析内网主机的非法外联威胁行为,判断是否存在潜伏威胁,并给出解决建议。含:对外攻击、APT C&C通道、隐藏外联通道等外联威胁行为。 |
安全预警 | 服务内容 | 1、安全通告服务以邮件、文件、电话等方式,将安全技术和安全信息及时传递给客户。2、安全通告内容包括:目前主流操作系统的安全漏洞补丁;信息安全业界最新动态与技术;国内外最新信息安全趋势;紧急安全事件通告;最新的国内、外行业安全政策及法律法规。3、在威胁信息传递后,结合资产梳理服务梳理出的资产清单,进行风险匹配操作,确认现有资产清单内有受影响的安全威胁之后,立即对安全威胁进行处置,避免因威胁事件暴露造成重大损失。 |
定期安全威胁专项检查 | 服务内容 | 每月定期进行安全威胁检查,包括个人敏感身份信息泄露、各种CNVD、CNNVD、各大SRC为主的互联网漏洞等,出具安全月报并提供解决方案。 |
安全培训 | 服务内容 | 安全意识类:信息安全意识培训、社会工程学与网络诈骗、网络安全趋势培训;信息安全技术类:WEB应用安全培训、Windows系统安全培训、Linux系统安全培训、攻击与防范培训、SDL培训、CTF培训;安全运维类:安全防护培训、安全开发培训、安全演练培训、安全事件处理培训;安全管理类:安全标准课程培训、体系建设课程培训 |
驻场服务 | 服务内容和要求 | 1、提供驻场安全运维人员1人。2、配合完成学校日常网络安全工作。3、协助处理省教育厅及网信、网安部门通告安全的问题。4、协助完成安全服务过程中所发现问题的修复,如:安全策略调整、补丁更新等。5、遵守学校工作规定及特殊时间段的值班安排。6、投标人必须提供近半年为驻场人员缴纳的社会保险缴费证明。 |
序号 | 分项名称 | 分项价格 |
总价 |
条款号 | 约定内容 |
投标人名称 | |||
法定代表人 | 注册地区 | ||
地址 | 邮政编码 | ||
成立时间 | 单位性质 | ||
注册号或社会信用代码 | 注册资本(万元) | ||
供应商类别 | |||
开户银行 | 账号 | ||
联系人 | 联系电话 | ||
经营范围 | |||
备注 |
序号 | 证书编号 | 资质等级 | 证书有效截止时间 | 查看 |
序号 | 有效截止日期 | 信用得分 | 信用等级 |
项目编号及名称 | (项目编号)宿迁学院2022-2025年度网络信息安全服务项目 |
投标总价 | ¥: 人民币(大写): 拾 万 仟 佰 拾 圆 角 分 |
服务期 | |
备 注 |
序号 | 服务费用简述 | 单价(元) | 数量 | 合价(元) | 备注 | |
1 | ||||||
2 | ||||||
3 | ||||||
4 | ||||||
5 | ||||||
… | ||||||
报价总计 | ¥ 人民币(大写): 佰 拾 万 仟 佰 拾 元 角 分 |
招标文件内容 | 投标文件内容 | 偏离内容及说明 |
姓 名 | 年 龄 | 学历 | ||||||||
毕业学校 | 年毕业于 学校 专业 | |||||||||
专业技术职称 | 执业资格证书及注册编号 | |||||||||
主要主持的类似项目 | ||||||||||
序号 | 项目名称 | 合同甲方 | 获得的奖项 | 备注 | ||||||
1 | ||||||||||
2 | ||||||||||
3 |
序号 | 项目名称 | 采购单位 | 合同金额 |
联系我们
邮 箱:bd@datauseful.com
给力助理小程序
给力讯息APP
给力商讯公众号