XX厅基于政务云的信息系统网络安全运维服务采购需求.docxVIP

PAGE

PAGE1

XX厅基于政务云的信息系统网络安全运维服务采购需求

一、项目概况

本项目在国家网络安全法律法规、相关政策和标准的指导下，基于现有数字XX政务云提供的基础安全服务，为XX省XX厅部署在省级政务云平台上的信息系统提供网络安全保障服务，切实保障XX省XX厅各业务系统的正常运行，全面提升网络安全保护技术与管理水平。

二、技术要求

（一）安全资产与威胁检测管理服务

1.安全资产管理服务

根据信息安全等级保护等有关标准，对政务云业务系统的IT资产从计划到报废整个生命周期中硬件与软件的资产进行分类调查、分级管理，通过使用资产和漏洞发现平台、安全漏洞挖掘工具和在线检测平台，以基于互联网远程检测和内网探测的方式，来测试和识别当前信息系统物理、软件、应用资产情况，评估当前的安全资产漏洞和存在的安全脆弱性，从而帮忙客户全面了解和安全资产情况，进而加强管理和风险控制。

交付成果：《安全资产报告》

服务频度：4次/年

2.主机入侵检测服务

针对主机进行入侵检测，包括但不限于主机异常行为检测、主机日志收集、应用日志收集、应用漏洞检测、登录检测等，实时监测主机安全状态。

采用措施进行Webshell网页后门监控和及时发现网页后门入侵行为。若利用漏洞入侵应用系统，进行植入网页木马（webshell）等入侵行为，应能及时发现网页木马并生成相关的告警。

交付成果：《主机安全巡检报告》

服务频度：4次/年

3.安全基线核查服务

云主机、中间件、数据库系统安全配置核查：针对系统进行配置核查，覆盖系统管理方面和安全加强方面的问题，用于识别由于系统管理员本身的管理不善而带来的安全性问题。

交付成果：《安全基线报告》

服务频度：4次/年

4.主机漏洞扫描

针对XX厅的云主机（含政务外网互联网区、专用网络区、公用网络区、政务信息网等）、数据库系统进行漏洞扫描，包括端口扫描、弱口令扫描等，覆盖系统的补丁、服务的开放性及安全研究机构发现的系统问题等，发现系统本身的各种问题。

对已经发现的安全问题进行人工验证，以判断网站当前的漏洞是否真实有利用，剔除误报干扰。并提供专业的安全加固措施指导建议，帮助客户解决当前网站存在的安全问题。针对发现的安全漏洞进行修复状态跟踪，通过在线服务提供实时的修复状态信息推送。

交付成果：《漏洞扫描报告》《漏洞修复确认报告》

服务频度：12次/年

5.系统渗透测试

安排安全攻防专家人员针对目标系统开展黑客模拟攻击渗透测试服务，全面检测被测系统安全性。

针对应用系统进行专家级人工的渗透测试服务，全面检测Web应用程序的安全性，深度挖掘程序中存在的各种漏洞和所面临的威胁，漏洞测试覆盖OWASP十大漏洞，如XSS跨站脚本攻击漏洞、SQL注入漏洞、恶意代码上传漏洞、Cookie注入漏洞及其它各种敏感信息的检查等。

交付成果：《渗透测试报告》

服务频度：2次/年

6.漏洞风险跟踪服务

构建安全事故管理、安全问题管理、配置管理、变更管理、应用系统上线管理等管理流程，并且建立资产、脆弱性、威胁为主题的风险管理和漏洞管理体系。通过专业安全服务队伍，构建网络安全运维体系，针对漏洞的产生、通告、修复、复查整个生命周期进行跟踪管理服务；并能通过在线服务对漏洞进行实时跟踪，实现从漏洞排查治理到漏洞消除的闭环管理流程。

针对发现的安全漏洞进行修复状态跟踪，通过在线服务提供实时的修复状态信息推送。

7.监管检查配合服务

提供云上防御类设备、流量审计日志、流量攻击监测等材料，配合采购人各类合规检查。

（二）安全纵深主动防御服务

在应用系统服务器上安装“伪装代理”或沙箱，把攻击者的流量诱导进虚拟业务云端，并通过可视化大屏展示出来当前的威胁态势，实现主动防御的效果。部署方式根据业务场景和管理需要定制化部署，可以部署沙箱也可以部署“伪装代理”，节点自动调节。其中，攻击溯源系统提供人机识别、网络身份识别、指纹持久化种植、攻击ip识别、物理位置识别等功能。通过精确溯源后，可进行攻击反制，减少受攻击强度和震慑作用。

通过纵深主动防御对应用系统实现网络层、应用层、数据层的多层防护，保障应用系统安全稳定地运行。

交付成果：《主动防护报告》

服务频度：4次/年

（三）应用安全监测服务

1.网站安全监控服务

对政务云业务系统的网站或者应用系统采取安全监控措施，包括网站的漏洞监控、网站挂马监控、暗链监控、关键字监控、网页变更监控等，一旦识别到威胁行为，则进行邮件或短信预警,并在第一时间获得监测到的网站安全问题，并获得专业的技术指导协助。

交付成果：《网站安全监控报告》

服务频度：根据实际需要

2.安全大数据分析与监测服务

①日常流量监测

提供系统安全分析，包括可疑访问、恶意访问、安全试探、异常访问数据分析等安全隐患的预警性分析。提供流量分析，结合业务场景，发现应用系