序号

服务项目

服务要求

数量

1

渗透测试服务

合同服务期内，根据用户要求，每年由专业技术人员对平台支撑的网上申报、电子社保卡、智慧眼等对互联网提供服务的业务系统进行一次渗透测试，主要用于发现系统可能存在的口令明文传输、暴力破解、认证绕过、SQL注入、溢出、XSS、目录泄露、敏感文件下载等安全问题。针对渗透测试发现的问题形成《XXX系统渗透测试报告》，并配合开发方进行漏洞修复，漏洞修复后还需要针对主要业务重新进行渗透测试，并出具《XXX系统漏洞修复后验证报告》。

1套

2

安全加固

对现有网络设备、安全设备、操作系统按照三级等级保护的建设要求进行安全加固，加固前需制定详细的加固实施方案，并与采购人及软件开发公司进行核对，确定加固实施方案后再进行加固操作。工作完成后出具安全加固报告。

1套

3

应急响应服务

在采购人网络或业务系统出现不能及时判断解决的紧急问题时，提供技术支持服务，及时协助用户分析、排查、定位、解决各种异常问题。

当发生业务系统被黑客入侵、挂马、篡改等安全性事件之后，提供分析、取证、追踪、恢复、协助加固等全方位的技术支持服务。通过深入技术分析，发现入侵的痕迹，明确黑客入侵的时间线、IP 地址，定位黑客入侵的方式、利用点，梳理黑客入侵进入互联网应用之后的行为和动作，定位事件发生的具体原因并交付具体的应急响应报告及处置建议。针对分析的结果，清理后门和木马程序，删除黑客上传或生成的垃圾文件，协助修补互联网应用相关漏洞。

应急响应工作结束后交付《XXX 事件应急响应报告》

1套

4

技术咨询服务

为采购人提供技术咨询服务，包括但不限于网络、安全、操作系统、数据库、服务器虚拟化、云安全、大数据等全面技术咨询服务，投标人需具备相关资质认证的人员。

1套

5

特征库升级服务

每合同年度：提供一台启明星辰NGIPS5000入侵防护系统1年入侵特征库和1年病毒特征库升级服务；

一台启明星辰WAF6000的web防护特征库1年升级服务；

合同签订后：提供一套卡巴斯基网络版杀毒软件（50用户）3年期特征库升级。

1套

6

版本升级服务

为发挥设备最大防护效果，合同签订后1个月内，需要将现有启明星辰入侵防护系统、WEB防护系统的软件版本升级到厂商最新稳定版本。

1套

7

等级保护测评服务

每合同年度，为采购人现有的一个等保三级系统提供一次等级保护测评服务，投标人选择的测评服务商应入围全国等级保护测评机构推荐目录，要求三级系统通过等保测评（基本合格及以上），并取得公安部门备案证书。并为采购人在当地办理测评报备、变更等手续，配合公安网安部门现场复查。

1套

8

安全整改服务

根据等级保护测评结果，协助采购人对系统进行安全加固和整改，完成各项安全整改工作。

1套

9

安全运维服务

1）服务期内，投标人需为采购人提供1名具备CISP认证资质（证书首次注册时间需五年及以上）的安全工程师进行安全运维服务，对采购人安全设备进行日常巡检、配置优化和配置调整服务，每月出具《滁州市人社局安全运维报告》。服务期内，投标人不得私自更换服务人员，如人员离职，新的服务人员资质经验不得低于招标要求并需经过采购人面试同意才能上岗，否则将在项目履约保证金中进行相应扣罚。

2）服务期内，中标公司需提供一台运维审计系统（堡垒机）供己方人员进行远程运维管理使用，运维堡垒机需满足以下要求：

（1）硬件要求：标准机架式设备，千兆电口≥6，运维对象许可≥50，内置硬盘≥500G；

（2）★部署方式：支持主备式双机热备，支持主主式双机负载均衡，支持端口聚合，避免单点故障，提供功能界面截图；

（3）具备协议：具备SSH、telnet直连模式：无需登录Web页面，可联动本地CRT等客户端实现直连模式的登录，不改变使用习惯，方便快捷；

（4）组织角色管理：堡垒机必须支持部门分组管理，级别至少在三级以上；通过部门分级，实现对各类角色进行分权管理，使得不同部门的管理员/普通用户只能管理/访问自己部门的资源；支持多部门之间设备资源的交叉管理功能；

（5）电子工单功能：用户可创建电子工单，内容包括：用户账号、设备资源、系统账号、协议类型、拟执行命令、时间窗口等；电子工单提交给配置管理员审批，审批通过后，即时生效；支持对未处理工单、已完成工单、延期工单等统计分析；

（6）★具备静态和动态认证功能：具备密码、AD域、LDAP、Radius等静态认证方式，具备动态口令、USBKEY、指纹识别、短信网关验证等动态认证方式，提供功能界面截图；

（7）★具备谷歌动态令牌认证功能，支持在线下载手机动态码生成器客户端，支持手动选择刷新令牌密钥二维码，支持打开客户端扫描二维码绑定，支持扫码下载客户端（苹果、安卓），支持手动输入令牌密钥显示，提供功能界面截图；

（8）★具备传统资产的批量导入、扫描，具备单台设备添加多个协议等功能；具备云资产管理功能，具备在线导入云主机，包括阿里云、腾讯云、华为云等，具备监控云主机的CPU、网络使用状态等功能，具备云主机启动、关机、重启等控制功能，提供功能界面截图；

（9）具备密码管理功能，具备根据设备、系统帐号、时间、频率、改密方式生成详细的改密计划，到期自动执行改密；支持随机生成不同密码、手动指定密码、根据密码规则生成等；改密结果可以支持邮件、密码信封、FTP、ZIP、Excel加密文件等形式外发或下载；

（10）可实现基于用户（用户组）、目标设备（设备组、应用程序）、系统帐号、协议类型、登录规则来灵活设置访问控制策略，支持命令黑白名单；对于高危指令，未经相关人员复核审批，命令无法执行；

（11）操作行为记录功能：针对SSH、Telnet、Rlogin、RDP、VNC、X11、FTP/SFTP、数据库等操作进行记录及审计；记录发生时间、发生地址、服务端IP、客户端IP、操作指令、返回信息、运维用户帐号、运维用户姓名、审批用户帐号、审批用户姓名、服务器用户名等信息；

（12）会话过程回放功能：审计日志具备根据操作指令和键盘、鼠标记录的关键字定位回放功能；具备下载回放文件到本地保存，并通过专用播放器查看，防止会话视频记录泄密；

（13）★报表功能：具备用户自定义报表模板，可以通过制定动态模板、静态模板，对各种数据进行组合查询，查询结果可以以TXT、CSV、WORD、HTML、EXCEL、PDF等多种方式输出（提供功能界面截图）；

（14）资质要求：产品需具有计算机信息系统安全专用产品销售许可证。

（15）本次服务提供的堡垒机需配备10个堡垒机专用USBKEY或动态令牌，以满足等保三级系统的双因素认证要求。

1套

10

运维主机

1） 投标人需在中标后提供2台国产服务器作为数据库同步备件，配置不低于如下要求：2U机架式服务器，2颗Intel Xeon 5117 (14C,105W,2.0GHz)处理器，512GB DDR4内存,3*240G  SSD,双千双万（含光模块）,独立RAID卡,冗余电源,导轨；2块16GB单口HBA卡；

2） 为金保工程内网安全和保密要求，避免病毒交叉传播，降低敏感数据外泄风险，中标人在合同期内，需向招标人提供一台终端，供己方维护人员现场维护专用。配置不低于如下要求：cpu性能≥于i7-10750HQ，内存≥32G，硬盘≥512G固态+2T，显卡不低于6G.

1套

11

安全应急预案与演练

每个合同年度，为滁州市人社局信息系统提供1次应急预案与演练服务，具体服务要求参见《服务内容要求》

1套

12

巡检服务

每周一次远程巡检服务、每半年一次现场巡检服务。中标方需要有巡检记录和排查记录，并提交记录做为验收及付款凭据之一。

1套

13

培训服务

中标人负责为招标人提供2人次×5天/合同年度ORACLE数据库厂家、华为存储网络、VMware虚拟化技术等网络与安全厂家在国内的技术中心培训学习，培训费用及食宿交通费考试等，每合同年度的费用不得少于3万元。