序号

项目名称

数量

单位

1

原厂设备维保

负载均衡TopAPP（原厂一年软硬件质保）

1

台

NGFW4000-UF（原厂一年软硬件质保）

2

台

堡垒机TopSAG（原厂一年软硬件质保）

1

台

VPN-2150（原厂一年软硬件质保）

1

台

数据库审计（原厂一年软硬件质保）

1

台

web应用防火墙（原厂一年软硬件质保）

2

台

2

专业网络安全服务

原厂定制安全培训

2

次

专业网络安全驻场运维

3

人/年

3

安全服务（基础安全评估、应用安全评估、渗透测试、安全加固、基线检查、网站监测等）

6

项

招标项 

招标要求 

基础安全评估

资产评估威胁评估

通过人工调研、访谈的形式依据相关标准进行资产赋值和威胁分析，每一年执行一次。

主机操作系统检查

人工对软件收集的基础数据进行安全分析，每一年执行一次。 检查内容需包括漏洞扫描和配置参数核查，由于漏洞扫描存在意外使服务器宕机、停止响应的风险，技术方案中应明确风险规避措施和扫描计划。安全配置核算应覆盖帐号管理、认证授权、日志配置、IP协议安全等方面的内容。

应用软件检查

收集并分析数据库、中间件等应用软件配置，每一年执行一次，检查内容需包括漏洞扫描和配置参数核查，由于漏洞扫描存在意外使服务器宕机、停止响应的风险，技术方案中应明确风险规避措施和扫描计划。安全配置核算应覆盖帐号管理、认证授权、日志配置、IP协议安全等方面的内容。

网络架构评估

*分析网络拓扑结构和采集的网络设备配置，每一年执行一次，对重要系统域间防火墙，尤其是互联网防火墙策略进行审核，对开放端口、开放地址、规则有效性等，并结合互联安全管理办法，对远程接入、组网结构、安全域划分等提出综合评估结论和改进建议。

应用安全评估

(外网网站系统)

业务流程逻辑安全测试

梳理、实际操作体验业务流程，发现逻辑安全问题，每一年执行一次，业务安全评估是传统安全评估的延伸和发展，侧重于评估业务层面的安全风险，即关注于业务流程、业务处理活动，关注于业务恶用、滥用、盗用、欺诈威胁和风险等。业务安全评估以业务为中心，遵循业务风险导向的安全评估，其评估对象和内容也有别于传统安全评估。此次服务针对重点业务系统，使用成熟的业务安全工具，结合安全专家的审核，对业务系统业务流程、路由组织、组网结构、系统应用漏洞等内容进行全面安全评估，并提交系统弱点报告和综合解决建议。业务安全评估关注业务风险，其评估范围：1）业务的生命周期，包括业务设计与实现、业务运行与管理及业务间的接口和关联关系；2）信息系统的生命周期，包括需求、设计、开发、测试、部署、运维、废弃等各个环节；3）业务与信息系统依赖关系，即业务在信息系统层面的数据流、数据处理活动及其关联关系；4）业务安全保障的各个层面，包括监控、保护、响应、审计等。信息数据是中心工作活动的重要核心，须在技术方案中详细提出《敏感信息流转风险评估指标体系表》至少包括信息输入、信息处理、信息使用、信息输出、信息传输、信息保存、监督管理等方面。

渗透测试

互联网渗透测试

*从互联网针对业务系统进行渗透测试，每一年执行二次，渗透测试是指由安全专家利用安全工具并结合个人实战经验使用各种攻击技术对买方指定的目标进行非破坏性质的模拟黑客攻击和深入的安全测试，发现信息系统隐藏的安全弱点，并根据系统的实际情况，测试安全弱点被一般攻击者利用的可能性和被利用的影响，使用户深入了解当前系统的安全状况，了解攻击者可能利用的攻击方法和进入组织信息系统的途径，让管理人员非常直观地了解当前系统所面临的问题，明确信息系统当前面临的风险，以采取更强有力的保护措施。渗透测试主要技术手段包括：缓冲区溢出测试、账号密码测试、ARP欺骗测试、WEB及应用测试、SQL注入攻击测试以及其它攻击测试技术等。生成报告：在渗透测试的后期，需要整理渗透测试的过程文档，制作渗透测试报告。渗透测试报告包含渗透过程中采用的方法、手段、测试项目、发现的问题、以及相关漏洞的加固建议和系统的安全建议。报告将包括：渗透测试概述(原理、目标、范围、人员、方法，局限性)渗透测试结论（系统优势、系统弱点汇总，造成的影响以及结论）严重漏洞分析和解决建议（方案）渗透测试流程（采取的重要步骤、外部输入、系统的响应、破解方法等）风险控制措施（时间选择、策略选择、系统备份与恢复，协调沟通）

内网渗透测试

*从内网针对业务系统进行渗透测试，每一年执行二次，内网渗透测试除覆盖互联网渗透测试的方法外，重点加强在网络访问控制保护相对较弱的背景下，各应用系统全面、深入的网络层、操作系统层、应用软件层和应用代码层的安全风险。

安全加固

基础安全加固

针对操作系统、中间件、数据库、网络设备进行安全配置参数调整和补丁加载的安全加固的实施建议。

应用安全加固

针对需要修改源代码才能加固的安全风险，提供详细的安全加固建议和技术支持。技术方案中须针对常见应用安全漏洞提出java、asp.net、php等常见编程语言对应的详细漏洞修补建议，建议要细化到示例代码级别。

基线检查

新业务上线安全检查

新业务上线之前对新业务系统进行基础安全评估及应用安全评估，技术方案中须详细说明为申请上线的新业务系统准备基本信息表模板、安全域检查表模板、物理安全检查表模板、帐号安全检查表模板、服务端口检查表模板、防火墙策略检查表模板、防病毒软件检查表模板，并提出执行上线检查的系统日志安全检查表模板、漏洞扫描检查表模板、安全配置检查表模板、弱口令检查表模板、渗透测试检查表模板。

应急响应

应急响应

*在发生安全事件时提供远程和现场的应急响应分析与处置服务，不限次数。重要保障期加强保障力量。发生或可能发生安全事件时，安全服务提供商应快速响应并到达现场，协助进行安全事件的定位、分析及处理，直到安全事件排除。对于影响业务的安全设备故障，在进行故障处理时，应先考虑业务恢复，然后再彻底解决故障。事件处理结束后，应出具《安全事件处理总结报告》，如安全服务提供商应工程师不能在时限内解决问题，则应调动安全专家协助解决。

网站监测

网站可用性监测

对指定的网站进行实时监测，要求监测频率不低于1次/5分钟，当发现网站不可用后，要求在10分钟内向用户进行预警，告知详细的事件信息。

网站首页篡改监测服务

对指定的网站首页面进行实时监测，要求监测频率不低于1次/15分钟，对网站首页面的大小、页面元素等进行比对，当发现网页篡改事件后，要求在10分钟内向用户进行预警，告知详细的事件信息，并提供页面恢复方案建议。

网页挂马监测

对指定的网站进行实时监测，要求监测频率不低于1次/24小时，检测至少包含一级和二级页面，当发现网页挂马事件后，要求在10分钟内向用户进行预警，告知详细的事件信息。

网站安全检测服务

要求每半年对指定的网站系统进行全面的安全检查，及时发现用户网站存在的各类安全漏洞、网页木马及暗链等安全事件，在每次网站安全检测服务结束后，向用户提供网站安全检测报告，详细描述安全事件信息，并提供修复方案。