-
2015年网络安全加固设备采购需求公示
招标文件下载 - 信息发布日期：2015.09.09 标签： 广东省招标 深圳市招标
-
招标编号： 201500210762 加入日期： 2015.09.09 地 区： 深圳市 -
招标公告正文
-
( 2015年网络安全加固设备采购 )需求公示 项目名称
2015年网络安全加固设备采购 是否预选项目
否 采购人名称
深圳市规划和国土资源委员会 采购方式
公开招标 财政预算限额（元）
1460000 项目背景
近年来，政府信息化对信息公开工作提出了越来越多的要求，国家部委、省市各级政府单位在外网的信息共享需求越来越多，外网承担的信息系统和数据越集中，面临的互联网攻击和被攻破的后果也更为严重。面对频繁曝出的安全漏洞和不断更新的攻击入侵技术，我们的网络安全防护需要不断更新加固。
根据网络安全总体规划，结合我委网络安全现状，需要根据轻重缓急原则对规划国土委目前比较紧迫的安全设备先行采购和更换。2015年计划采购一台WEB应用防护设备、一台应用层漏洞扫描设备、一套网页防篡改系统、一台核心数据库审计设备和300个SSL VPN接入授权、1000个CA数字认证系统key。通过安全设备的安装部署和策略配置，加固外网网络信息安全防护体系。投标人资质要求
1）具有独立法人资格； 2）本项目不接受联合体投标，不允许分包，（不接受投标人选用进口产品参与投标）。 3）近三年内（即从2012年 5 月至本项目招标公告发布之日）无行贿犯罪记录，投标人须提供由供应商营业执照住所地的检察机关出具的《行贿犯罪档案查询告知函》扫描件，原件备查。
2）本项目不接受联合体投标，不允许分包，不接受投标人选用进口产品参与投标；
4）（1.只能将国家或地方法律法规规定的资质要求作为投标人资质要求； 2.不得提出投标人须提交任何形式的产品授权书或代理证的要求； 3.不得违反《深圳经济特区政府采购条例实施细则》第三十四条的规定。）
货物清单
序号 采购计划编号 货物名称 数量 单位 备注 财政预算限额(元) 1 201500210762 设备 1.0 批 序号 采购计划编号 货物名称 数量 单位 备注 财政预算限额（元） 1 WEB应用防护设备 1 台 拒绝进口 2 应用层漏洞扫描设备 1 台 拒绝进口 3 SSL VPN接入授权 300 个 拒绝进口 4 CA数字认证系统KEY及两年证书服务 1000 个 拒绝进口 5 网页防篡改系统 1 套 拒绝进口 6 核心数据库审计设备 1 台 拒绝进口 1460000.0 具体技术要求
序号
采购计划编号
货物名称
数量
单位
备注
财政预算限额（元）
1
WEB应用防护设备
1
台
拒绝进口
2
应用层漏洞扫描设备
1
台
拒绝进口
3
SSL VPN接入授权
300
个
拒绝进口
4
CA数字认证系统KEY及两年证书服务
1000
个
拒绝进口
5
网页防篡改系统
1
套
拒绝进口
6
核心数据库审计设备
1
台
拒绝进口
注：1.备注栏注明“拒绝进口”的产品（产品名称）不接受投标人选用进口产品参与投标；注明“接受进口”的产品（产品名称）允许投标人选用进口产品参与投标，但不排斥国内产品。
1、
1. WEB应用防护设备(1台)
序号
规格
参数指标
1
产品架构
专用机架式硬件设备，系统硬件为全内置封闭式结构，稳定可靠，用户界面、配置和管理等，均为中文，易于理解，并有详尽的中文技术文档。
2
网络接口
2U，含交流冗余电源模块，1*RJ45管理口，1*RJ45串口，6*GE电口 (BYPASS) 。1个接口扩展槽位,可购买千兆链路扩展板卡扩展。最大支持10路防护。
3
性能
产品应用层吞吐量不能小于2G；网络吞吐量不能小于10G；
最大并发连接数不能低于30万，每秒新建事务数不可小于100000tps。
可支持无限个用户授权使用
4
协议支持
支持HTTP 0.9/1.0/1.1，完全解析HTTP事务。
支持对SSL（HTTPS）加密会话进行分析。
5
安全防护功能
★支持对HTTP协议的异常元素、异常参数、非法编码和解码的灵活控制与处理，提供配置界面截图证明并加盖原厂商公章。
支持针对主流Web服务器及插件的已知漏洞防护。Web服务器应覆盖主流服务器：apache、tomcat、lightpd、NGINX、IIS等；插件应覆盖：dedecms、phpmuadmin、PHPWind、shopex、discuz、echsop、vbulletin、wordpress等。
★支持对注入、XSS、SSI指令、Webshell防护、路径穿越及远程文件包含的攻击防护。，提供配置界面截图证明并加盖原厂商公章。
★ 支持CSRF（跨站请求伪造）防护。，提供配置界面截图证明并加盖原厂商公章。
支持爬虫防护，实现对100种以上的爬虫特征进行识别和阻断，防止页面因爬虫而引起信息泄露等问题。
★支持盗链防护，有效识别网页盗链行为，避免用户网页资源被滥用，提供配置界面截图证明并加盖原厂商公章。
支持扫描防护。
★支持Cookie安全机制，提供配置界面截图证明并加盖原厂商公章。
★支持对服务器状态码进行过滤和伪装的安全策略，提供配置界面截图证明并加盖原厂商公章。
支持敏感关键字自定义功能。
支持URL ACL。对多种HTTP方法执行访问控制，包括：GET、POST、HEAD、PUT、DELETE等。
★支持TCP Flood防护和HTTP Flood防护，并说明HTTP Flood防护的检测算法，提供配置界面截图证明并加盖原厂商公章。
★支持与抗拒绝服务攻击的流量清洗设备联动，对DDoS进行防护，提供配置界面截图证明并加盖原厂商公章。
★支持云托管服务，能够连接私有云，远程对设备进行代维代管，出现问题时实时汇报，提供配置界面截图证明并加盖原厂商公章。
★支持基于五元组（源IP地址、目的IP地址、源端口、目的源口、协议类型）及接口的网络防火墙功能，提供配置界面截图证明并加盖原厂商公章。
6
日志粒度要求
支持不同安全事件类型以不同的颜色区分。
支持基于时间、IP、端口、动作、事件类型、URI、方法等条件的日志查询。
支持在安全日志中带有客户端真实IP地址，便于IP溯源。提供配置界面截图证明。
7
日志管理功能
支持日志分时段导出、全部导出或者清空。
8
设备管理
支持与时间服务器同步。
★能支持与网站漏洞扫描器联动，获得深度分析漏洞扫描报告，将分析结果自动转化成WAF上的安全策略，实现从发现漏洞到生成防护的闭环，提供配置界面截图证明并加盖原厂商公章。
能对账户进行安全策略配置，包括口令复杂度和口令生存期。
9
安全管理
★厂商应能够提供自主研发的云安全中心的移动终端APP（支持android和iphone客户端），帮助用户随时随地掌握网络安全环境的态势。提供APP下载网页和相关链接以及APP使用界面的厂商盖章截图证明
★可提供配套的远程网站安全监测服务，对站点进行远程网站漏洞扫描、网站挂马监测、网页篡改监测、网页敏感内容监测、网站域名解析监测、网站平稳度监测、钓鱼网站监测、网页测速监测等监测服务。（提供监测服务报告样例复印件并加盖厂商公章）
10
协同防护功能
★为保障业务系统的全面连贯安全性并保证各业务系统稳定运行，更好的实现网络层到应用层的一体化策略规则安全防护，同时为了便于安全资产统一管理，要求与现有的入侵防护系统、远程安全评估系统为同一品牌,另为了实现安全资产日志报告使用统一管理平台进行日志收集、分析，要求与安全统一管理平台联动协同防护。
11
厂商技术实力保障
厂商应具备足够的信息安全服务技术实力及安全服务保障能力，获得中国信息安全测评中心颁发的信息安全服务安全工程类二级及以上资质证书。提供证书复印件并加盖厂商公章。
厂商应具备针对安全事件的远程和现场的紧急响应能力，获得中国信息安全认证中心颁发的二级及以上应急处理服务资质证书。提供证书复印件并加盖厂商公章。
厂商应具备足够的安全集成能力，获得中国信息安全认证中心颁发的信息系统安全集成二级及以上服务资质证书。提供证书复印件并加盖厂商公章。
厂商须具备安全漏洞研究团队，能够独立发现Microsoft、HP、CISCO、SUN、Juniper等国际著名厂商的重大安全漏洞，具备自主挖掘漏洞的能力（提供证明材料并加盖厂商公章）
厂商为微软MAPP项目合作伙伴，提供网页截图证明并加盖厂商公章。
12
产品稳定性、安全性、可靠性证明
《计算机信息系统安全专用产品销售许可证》，提供证书复印件证明并加盖厂商公章。
《计算机软件著作权登记证》，提供证书复印件证明并加盖厂商公章。
《涉密信息系统产品检测证书》，提供证书复印件证明并加盖厂商公章。
《军用信息安全产品认证证书》，提供证书复印件证明并加盖厂商公章。
《国家信息安全测评信息技术产品安全测评证书》，级别至少为EAL3，提供证书复印件证明并加盖厂商公章。
★投标产品应该是经过市场考验的成熟产品，产品上市时间不少于6年。须提供销售许可证或软件著作权证书等有效证明材料。
★产品需多年入选国际知名第三方咨询机构Gartner IPS魔力象限，提供Gartner引用证明文件并加盖厂商公章。
«投标产品应该是被广泛应用的成熟产品，在国内市场具有较高的市场份额，连续4年市场占有率排名不应低于前3名。须提供权威咨询机构Frost&Sullivan市场占有率排名有效证明材料并加盖厂商公章。
2. 应用层漏洞扫描设备（1台）
4、 CA数字认证系统KEY及两年证书服务（1000个）
序号
规格
指标参数
1
KEY数量
1000个
2
品牌要求
与现有CA数字认证系统兼容（现有系统为广东CA数字认证系统）
3
硬件要求
国产32位CPU；ROM程序空间：208K字节；
RAM：5052字节；EEPROM：64K字节；
时钟频率：1-7.5MHZ可选；数据保存时间：10年；APDU长度：255；硬件随机数发生器：32位
4
证书运营认证服务
为该1000个key及证书提供两年有效的法律运营认证服务
5
厂商资质要求
CA数字认证系统厂家具有《电子认证服务许可证》、《商用密码产品销售许可证》
5、 网页防篡改系统（1套）
序号
规格
指标参数
1
产品形态
软件形态
2
★管理模式
采用B/S方式管理
（即支持用户通过浏览器对产品各子系统进行远程管理）
3
★支持网站OS类型
支持所有主流的操作系统类型：
Windows系列：Win2000、Win2003、Win2008、WIN7等；
Linux系列：RedFlag、RedHat、Turbo等；
Unix系列： AIX、HPUX、Solaris等；
4
支持Web类型
支持所有主流的Web/应用服务器软件：
IIS、Apache、IBM http server等；WebSphere、WebLogic、Tomcat等；
5
★监控与恢复功能
同时具备实时保护、事件触发、核心内嵌等多种防护方式；
支持事件触发，不依赖http请求实时监控、实时恢复受保护内容的非法更改；
支持核心内嵌，网页文件发送时进行数字指纹验证和文件恢复，确保内容的正确性；
支持多虚拟主机和多虚拟目录；
支持所有类型文件的监控；
具备完善的监控保护策略和恢复策略定制机制；
支持断线状态下的自动监控与保护；
6
同步与备份功能
支持与内容管理系统及各类发布工具的无缝集成；
具备完善的发布同步功能，支持自动/手动精确同步，支持自动/手动增量同步；
支持备份文件变更的触发式同步，保证同步实时性和自动化；
同步服务支持双/多机冗余部署；
同步服务支持Windows、Linux、Unix等操作系统；
具备网站备份功能，无须借助其他介质或方式进行；
支持网页发布的同时进行增量备份，网站备份过程自动化；
7
★报警功能
报警方式灵活，包括手机短信报警、邮件报警、声音报警等；
报警内容全面，包括篡改状况、通讯故障、系统故障、操作错误、文件/数据错误；
支持多样化、多层次的故障视图定制；
具备完善的报警策略，支持报警级别、报警模式的自定义；
8
审计功能
提供全面的信息审计功能，可查看、查询、统计、打印各类信息资源；
信息全面，包括操作信息、维护信息、篡改信息、系统信息等；
支持多种条件查询和复合查询，便于用户快速准确的定位信息；
支持图表、报表方式存放各类信息资源，且报表格式支持自定义；
支持各类信息图表、报表的定期或自定义时间的邮寄功能；
9
网站攻击防护功能
能够防止SQL数据库注入式攻击；
能够防止跨站脚本漏洞；
规则库采用正则表达式描述，规则扩展性高；
允许自定义规则，全面支持网站防护能力的扩展；
10
监控延迟
毫秒级，具体分为两种情况：
Windows平台：文件篡改前发现并阻断，或者篡改发生后<5ms；
Linux/Unix平台：访问被篡改文件之后<5ms；
11
恢复延迟
毫秒级，与网络状况及文件大小直接相关
12
报警延迟
秒级
13
同步延迟
毫秒级，与网络状况及文件大小直接相关
14
网站访问延迟
使用产品前后，网站访问延迟偏差<5%
15
★产品资质
产品必须无不良纪录且具备如下资质，所有资质证书必须提供复印件加盖生产厂商工章：
软件著作权证书；公安部颁发的销售许可证；
国家信息安全产品测评认证证书；涉密信息系统产品检测证书；厂商具备国家武器装备生产许可证书。
6、 核心数据库审计设备（1台）序号
指标项
指标要求
1
★硬件指标
审计产品采用专用工控机硬件架构，系统启动采用CF卡加硬盘方式，保证稳定可靠不可篡改。
电源模块：具备冗余双电源；
硬盘容量：≥2TB，支持RAID0，RAID1，RAID5阵列，最大支持扩展到16T。。
网络端口：标配6个以上千兆电口、4个以上千兆光口。支持最大扩展到26个千兆电口，或者24个千兆光口，或者6个万兆光口。
审计性能：能够稳定、流畅地同时支持8个数据库实例审计能力，不会产生漏审；
2
部署方式
旁路部署模式下无须在被审计数据库系统上安装任何代理即可实现数据库审计；
支持agent方式部署解决云环境、虚拟化环境流量无法镜像的部署。
支持旁路部署方式，不影响数据库性能和网络架构，无需安装任何agent
支持分布式部署，管理中心可实现统一配置、统一报表生成、统一查询；
管理中心和探测器都可存储审计数据，实现大数据环境下磁盘空间的有效利用和扩展；
管理中心和探测器直接的数据传输速率、时间、端口都可自定义；(提供功能截图证明)；
3
★处理能力
吞吐能力：≥4000M
峰值处理能力：≥36000条/秒
日处理业务操作数：≥4亿条
审计日志检索能力：≥1000万条/秒；
4
协议支持
支持Oracle、SQL-Server、DB2、Informix、Sybase、MySQL等六种主流数据库审计；
支持对SQLserver 2005以上版本加密用户名的审计(提供功能截图证明)；
支持PostgreSQL、Teradata、Cache、人大金仓、达梦、南大通用等数据库审计；
支持主流业务协议 HTTP、Telnet、FTP、SMTP、POP3、DCOM；
支持对各种协议自动识别编码及在web界面手工配置特定编码 (提供功能截图证明)
5
★审计功能
支持数据库操作类、表、视图、索引、存储过程等各种对象的所有SQL操作审计；
支持对操作时间、SQL语句、执行结果、返回结果集、影响行数、执行时长、数据库用户名、实例名、源/目的IP、源/目的端口、源/目的MAC、客户端主机名、客户端程序名称、客户端操作系统用户名、业务主机群、SQL模板、会话ID、事件唯一ID等至少21个条件进行审计；
支持HTTP请求审计，提取URL、POST/GET值、cookie、操作系统类型、浏览器类型、原始客户端IP、MAC地址、提交参数等，支持对返回页面数据进行审计，支持最大64K返回结果集。
支持数据库响应信息的双向审计，特别是返回字段和结果、执行状态、返回行数、执行时长等内容；
支持返回结果集审计，支持通过返回行数和内容大小进行控制 (提供功能截图证明)；
支持跨语句、跨多包的绑定变量名及绑定变量值的审计
支持对超长SQL操作语句审计，可以正常记录单条长度<=64K个字节的SQL语句内容；
支持在IPV6环境中部署，且支持所有数据库IPV6协议的审计（提供功能截图证明）
支持数据库防火墙功能，支持对根据IP、账号、客户端工具名、时间等定制规则进行阻断
6
智能发现
自动识别流量中存在的数据库，也可通过扫描发现网络中的数据库(提供功能截图证明)；
支持定期自动扫描数据库漏洞和不安全配置，提供漏洞扫描报告(提供功能截图证明)；
7
应用关联 (三层关联)
支持应用三层关联，支持C/S、B/S三层架构下的真实用户名、IP追踪；
支持通过部署agent实现java web环境100%准确关联（提供功能截图证明）
支持旁路自动学习建立web访问和SQL访问之间的对应关系，生成访问行为模型库(提供功能截图证明)；
8
安全审计
支持审计记录中敏感数据的模糊化处理，防止信息泄露（提供功能截图证明）
内置常见敏感数据掩码规则，且支持自定义创建敏感数据模糊化处理规则。
内置安全规则库，对数据库安全进行检查，如SQL注入，缓冲区溢出，数据库漏洞，口令猜测以及最高权限滥用、误操作、恶意操作等违规行为实时监测、预警；内置的特征库不少于300条（提供功能截图证明）
9
审计策略
自带包含多种审计策略的规则库，内置审计规则库不少于200条。支持事件类型和策略分组，同时支持黑白名单方式策略
可自定义审计策略。支持对数据库用户名、源/目的IP、客户端主机名、客户端程序名称、客户端操作系统用户名、mac、对象组、操作类型、执行时长、影响行数、报文关键字、关联表数、SQL执行结果、白名单、时间、规则等级、告警数量限制、业务主机群等至少18个条件进行审计；（提供截图证明）；
规则各条件之间支持与或非逻辑关系，对象组支持与和或的逻辑关系;数据库账号、来源IP、客户端工具、操作系统用户、主机名、来源MAC地址等支持等于和不等于的处理逻辑; 报文关键字支持正则表达式和非正则表达式方式; （提供截图证明）；
告警数量需支持最大告警数量限制，超过告警阈值之后便不告警。
告警分析应支持根据SQL模板排行分析，便于告警处理。
告警查询应支持根据登陆用户、客户端工具名、客户端IP、规则进行归并分析，能详细展示每类告警占总告警数量百分比，便于告警分析处理（提供截图证明）；
10
审计查询
具有高效的查询性能，具备大数据量的快速检索能力，后台支持SPHINX全文检索引擎检索，每秒查询检索速度最高可达1000万条/秒。（提供产品功能截图证明）；
查询条件易于使用，具备丰富、友好，能够通过多条件组合查询精确定位目标，审计查询条件均为非正则表达式形式进行，检索条件不小于11个，直接输入检索条件就可以检索，无需设定正则表达式(提供功能截图证明)；
系统web管理端支持模糊查询，模糊查询应支持影响行数（大于、等于、小于）、客户端IP段（支持等于和不等于某一个IP地址段）、参数（支持等于不等于）、客户端工具、mac地址（支持范围匹配）、关键字（支持部分匹配）等的检索。
支持基于数据库访问日期、时间、源/目的IP、来源、数据库名、数据库表名、字段值、数据库登陆账号、SQL关键词、数据库返回码、SQL响应时间、数据库操作类型、影响行数等条件的审计查询；
查询返回结果必须包括以下内容： 1.事件开始时间； 2.源IP地址； 3.源主机名；4、源主机系统用户名5.目的IP地址； 6.数据库用户名； 7.源客户端程序名；8.数据库用户名；9.源端口；10.目的端口；11.源MAC 12.目的MAC 13.协议名称； 14.S数据库执行返回码；15、select返回数据结果集16.事件响应时间(ms)；
11
统计报表
系统提供内置多种报表模板库，内置的报表不少于35种不同维度, （提供功能截图证明）
可以根据单个库、数据库组生成报表
支持按照源IP地址、客户端工具、帐号、告警数等源信息生成报表；
支持按照数据库访问行为生成报表，智能识别帐号的增删、权限变更、密码修改、特权操作等行为；
支持按照时间曲线统计流量、在线用户数、并发会话、DDL操作数、DML操作数、执行量最多的SQL语句等报表；（提供功能截图证明）
支持性能分析，准确提炼出SQL语句执行频率和执行时间异常的报表；
支持多维度报表内容在同一张报表中展现；
支持Word、PDF、ppt等格式的报表导出；
支持系统自动以日、周、月为周期定期自动生成审计统计报表；
支持报表以电子邮件***
*** 12
★模型分析
可智能学习数据库的访问行为建立模型；（提供功能截图证明）
可通过行为轨迹图方式展示数据库访问行为（提供功能截图证明）
可基于账号、IP地址、访问权限、客户端工具等维度对行为模型做钻取分析、变更分析，对学习的安全基线以外的行为自动智能的进行告警（提供功能截图证明）
可以自动对比不同时期的行为模型，以区分其审计日志数趋势、用户、IP地址、工具、访问权限的差异情况；（提供功能截图证明）
13
数据管理
磁盘空间达到一定的阀值，支持自动清理最早的数据，清理策略应至少保留天数和百分比两个控制参数，支持web界面可配置，恢复数据不影响正常的审计功能；（提供功能截图证明）
支持审计数据自动备份审计日志，备份完后通过FTP方式外送到外部设备；
备份文件需要进行加密，且必须导入设备才能够进行恢复查看；
提供审计策略和系统配置信息的单独导入、导出功能；（提供功能截图证明）
14
实时监视
提供磁盘存储容量不足、磁盘Raid故障等自动邮件报警；
提供用户界面告警、Syslog告警、SNMP告警、邮件告警、短信告警、ftp告警等六种方式；
提供CPU、内存、磁盘、网口、运行时间、运行状态等信息的监视功能
15
系统管理
采用B/S架构，提供Web图形界面管理，具有良好的交互性和用户体验。
支持对连续失败登陆进行自动锁定，锁定时间可设置，具有用户超时自动退出功能；
支持手工锁定当前web会话，避免恶意操作。
管理员登陆支持登录IP地址访问访问限制，支持静态口令认证，支持密码的复杂性、验证码登陆管理
支持三权分立，系统默认设定系统管理员、规则配置员、审计查看员、操作日志查看员等角色
具有自身安全审计功能，可以对审计系统的所有用户操作进行审计记录
支持英文管理界面，支持一键中英文切换
16
★故障排错
系统内置独立的故障排错系统，可以支持一键排错对服务异常、许可证异常、流量异常等大部分常见故障的检测，并可提供快速的解决办法；（提供功能截图证明）
支持流量分析功能，包括抓包、包内容查看、自动探测sql语句等；（提供功能截图证明）
支持日志分析，可一键加密打包系统调试日志导出；
17
★产品资质
所有资质必须为数据库审计产品专有的资质，非网络审计或者综合审计产品资质。
具备公安部颁发的《计算机信息系统安全专用产品销售许可证》
通过数据库审计国家强制性认证（3C认证），级别增强级以上，提供证书复印件；
具有自主知识产权，提供证明文件（计算机软件著作权登记证书、软件产品登记）；
具备国家保密局涉密信息系统安全保密测评中心颁发的《涉密信息系统产品检测证书》
序号
规格
参数
1
★硬件架构
使用专门的硬件，基于嵌入式安全操作系统，保证系统的工作效率和自身安全性。
产品提供多个网络接口，可以将产品管理网口与检测口进行分开。以做外网检测和内网管理相分离。
2
基本要求
1U，含交流单电源，1*RJ45串口，1*GE管理口，4个10M/100M/1000M自适应以太网电口扫描口，4个千兆SFP插槽（不含SFP模块），默认支持1个授权扫描端口
对Web应用提供专业的漏洞、挂马检测和分析
所投产品没有用户数许可限制
3
★性能要求
Web应用漏洞扫描页面数20万//天
最大扫描链路数6路扫描部署
最大授权扫描无限个IP/域名数
最大可存储任务数1500
4
软件系统
系统稳定可靠，无需额外存储设备即可运行，系统采用B/S设计架构，并采用SSL加密通信方式，用户可以通过浏览器远程方便的对产品进行管理
★产品软件形态，支持直接部署于虚拟化环境中，无需安装第三方操作系统，请具体描述硬件配置要求,提供配置界面截图证明并加盖原厂商公章。
产品无需安装任何控制台和第三方数据库。
支持多路扫描，满足在复杂环境中部署的要求，支持不同网段网站同时检测的需求。
支持Ipv6网络环境部署
5
分布式部署
分布式部署，不需要额外采购第三方管理平台，直接通过角色指定即可实现多台设备的集中管理和报表汇总
分布式集群支持最大节点数≥32个
分布式部署，支持多任务/单任务URL级别的负载均衡扫描方式
支持分布式拓扑图全景查看，提供配置界面截图证明并加盖原厂商公章。
支持对正在执行的扫描任务查看进度情况，包括整体扫描进度、每个引擎的进度等，提供配置界面截图证明并加盖原厂商公章。
上级节点支持查看下级节点设备系统状态（cpu,mem.disk、网口流量）
★支持对正在执行的扫描任务进行多视角实时查看，如网站结构、分类展示已发现网站漏洞及其详细信息、起始时间、扫描时长、剩余时长、网站URL个数等，提供配置界面截图证明并加盖原厂商公章。
支持下级节点批量从上级节点自动系统升级
6
检测范围
1. 支持HTTP 1.0和1.1标准的Web应用系统。
2. 支持Web 2.0（Ajax、Flash、JS） 应用。提供配置界面截图证明并加盖原厂商公章。
3. 支持基于HTTPS应用系统的检测。提供配置界面截图证明并加盖原厂商公章。
4. 支持所有类型的动态及静态页面。
5. 漏洞知识库大于1500条，提供详细的漏洞描述和对应的解决方案描述；漏洞知识库与CVE、CNCVE、CNNVD、CNVD、CVSS等主流标准兼容。
6. 支持SQL注入检测。
7. 支持跨站脚本攻击检测。
8. 支持伪造跨站点请求检测。
9. 支持网页挂马检测。
10. 支持隐藏字段检测。
11. 支持Cookie安全问题检测。
12. 支持网站无效链接发现。
13. 支持Web路径下敏感文件检测。提供配置界面截图证明并加盖原厂商公章。
14. 支持网站外部链接发现。
15. 支持Web服务（如IIS、Tomcat、Apache等）漏洞的检查。
16. 分析器支持常见的字符编码标准，如简体中文（GB18030）、BIG5、UTF-8
7
★检测能力
1. 支持基于basic、NTLM、Cookie等认证方式的Web应用系统安全扫描。
2. 支持预设Cookie和登录预录制检测。
3. 支持HTTP和SOCKS代理扫描。提供配置界面截图证明并加盖原厂商公章。
4. 支持自定义User-Agent设置。支持软证书登录站点的扫描，提供配置界面截图证明并加盖原厂商公章。
5. 同时提供支持深度优先及广度优先爬行顺序的能力。
6. 支持大小写敏感或不敏感（case-sensitive/insensitive）的网页爬行方式。
7. 支持爬取范围的自定义连接扫描（如起始URL，主机名/IP地址，请求延迟，请求失败重试次数，最大爬取深度，文件个数，链接总数等）
8.支持爬取范围的自定义排除链接设置（如指定的主机名/IP地址，URL正则表达式，文件类型等）
9. 支持通过解析flash来获得Web应用的链接。
10. 支持通过JavaScript执行获取链接。
11. 支持自动过滤重复页面。
12. 支持表单类型的发现并相应漏洞的检测。
13. 支持Web路径下的目录扫描，并支持自动学习扩展敏感目录的名称和类型，同时支持自定义设置。
14. 支持重定向的爬虫机制
15.支持自定义扫描速度，来最大程度减少对目标系统的影响，并叙述实现原理
16.支持扫描速度随扫描环境的变化而自动调节，真正实现业务闲忙时的智能扫描，提高扫描效率。请说明实现原理
17.支持自定义最大扫描占用带宽设置，来最大程度减少对目标网络的影响
8
任务管理
1. 支持即时任务、定时任务和周期任务。
2. 支持“一键式”快速下达扫描任务功能，简化操作流程。提供配置界面截图证明并加盖原厂商公章。
3. 支持任务暂停、继续扫描、停止、重新扫描、断点续扫、删除等操作。提供配置界面截图证明并加盖原厂商公章。
4. 支持多个任务同时暂停、继续扫描、停止、重新扫描、断点续扫、删除等操作。提供配置界面截图证明并加盖原厂商公章。
5. 产品支持任务的保存，加载，复制、修改、导入和导出，以将不同设备的任务在多台设备上共享。
支持如上任务管理动作的批量操作
9
报表审计
1. 仪表盘功能，直观展示最近10天整体风险等级、最近10天扫描站点列表、最近30天危险站点TOP10等内容。提供配置界面截图证明并加盖原厂商公章。
2. 支持在线报表和离线报表两种报表形式。离线报表提供针对不同角色的默认模板，允许用户定制报告的内容、报告的格式等。同时支持扫描过程生成中途报表，提供配置界面截图证明并加盖原厂商公章。
支持在线报表的批量修正功能，如自动验证，误报修正等
3. 报表中至少需要提供详细的漏洞描述，CVE ID，风险级别，安全加固建议。
4. 可在界面中列出被检测网站的目录结构，点击相应的结构可以直接呈现当前页面的扫描结果。提供配置界面截图证明并加盖原厂商公章。
5.支持自定义报告，如logo、页眉、页脚、报表模板标题、模板名称描述等
5. 报表输出支持WORD、HTML、PDF、XML、EXCEL等格式。
6. 支持按照国际安全组织OWASP TOP 10-2010、OWASP TOP 10-2013、WASC分类输出报表
7. 支持对多个站点进行横向对比分析并输出报表
8. 支持对单个站点进行时间纵向分析，输出趋势增量统计报表
★9. 产品支持提供漏洞验证功能，直观展示漏洞验证过程信息，验证漏洞真实存在。
支持自定义报表模板，及模板的导入导出。请阐述自定义模板内容
★10. 支持与WAF产品联动，生成报表可供WAF生成安全防护策略，通过漏洞检测和威胁防护的循环式管理，无缝保护站点安全。
11. 提供标准的Web Service接口支持，方便与第三方安全产品或管理平台进行数据采集和调用
10
设备安全性要求
根据三权分立的原则和要求进行职、权分离，对系统本身进行分角色定义，如管理员只负责完成设备的初始配置，规则配置员只负责审计规则的建立，审计员只负责查看相关的审计结果及告警内容；日志员只负责完成对系统本身的用户操作日志管理。
★厂商应能够提供自主研发的云安全中心的移动终端APP（支持android和iphone客户端），帮助用户随时随地掌握网络安全环境的态势。提供APP下载网页和相关链接以及APP使用界面的厂商盖章截图证明
★可提供配套的远程网站安全扫描服务，对站点进行远程网站漏洞扫描、网站挂马监测、网页篡改监测、网页敏感内容监测、网站域名解析监测、网站平稳度监测、钓鱼网站监测、网页测速监测等监测服务。（提供监测服务报告样例复印件并加盖厂商公章）
★为保障业务系统的全面连贯安全性并保证各业务系统稳定运行，更好的实现网络层到应用层的一体化策略规则安全防护，同时为了便于安全资产统一管理，要求与现有的入侵防护系统、远程安全评估系统、WEB应用防护系统为同一品牌,另为了实现安全资产日志报告使用统一管理平台进行日志收集、分析，要求与安全统一管理平台联动协同防护。
11
产品稳定性、安全性、可靠性证明
1. 产品应为国内自主研发，国家版权局颁发的计算机软件著作权登记证书。提供证书复印件证明并加盖厂商公章。
2. 产品具备软件产品登记证书；提供证书复印件证明并加盖厂商公章。
3. 产品具有中华人民共和国公安部颁发的《计算机信息系统安全专用产品销售许可证》提供证书复印件证明并加盖厂商公章。
★4. 产品获得《涉密信息系统产品检测证书》；提供证书复印件证明并加盖厂商公章。
★5. 产品获得《国家信息安全测评信息技术产品安全测评证书》EAL3+级别证书；提供证书复印件证明并加盖厂商公章。
★6. 产品获得《军用信息安全产品认证证书》；提供证书复印件证明并加盖厂商公章。
★7.为保证产品安全可靠性，要求投标产品规则库通过NSS Labs 高级别认证。提供有效证明并加盖原厂商公章。
★8.产品需入选国际知名第三方咨询机构Gartner魔力象限，提供Gartner引用证明文件并加盖厂商公章。
12
★厂商技术实力
厂商应具备足够的信息安全服务技术实力及安全服务保障能力，获得中国信息安全测评中心颁发的信息安全服务安全开发类二级及以上资质证书。提供有效证书的复印件并加盖厂商公章。
厂商应具备针对安全事件的远程和现场的紧急响应能力，获得中国信息安全认证中心颁发的信息安全应急处理服务二级及以上资质证书。提供有效证书的复印件并加盖厂商公章。
厂商应具备针足够的风险评估服务能力，获得中国信息安全认证中心颁发的信息安全风险评估服务二级及以上资质证书。提供有效证书的复印件并加盖厂商公章。
厂商应具备中国通信企业协会通信网络安全专业委员会颁发的通信网络安全服务能力风险评估类证书
厂商应具备中国通信企业协会通信网络安全专业委员会颁发的通信网络安全服务能力安全设计与集成类证书
厂商须具备安全漏洞研究团队，能够独立发现Microsoft、HP、CISCO、SUN、Juniper等国际著名厂商的重大安全漏洞，具备自主挖掘漏洞的能力（提供证明材料并加盖厂商公章）
厂商须是微软MAPP（Microsoft Active Protections Program）项目合作伙伴，可以在微软每月发布安全更新之前获得漏洞信息，为客户提供更及时有效的保护。满足上述条件需提供MAPP官方网站截图证明并加盖厂商公章。
售后服务保障
★三年原厂免费现场服务，提供三年免费软件升级服务，深圳地区有备件。为保证厂家能够提供快速本地化现场技术支持（2小时内到达用户现场），提供7×24小时技术服务支持，要求提供原厂关于本次投标的授权函及原厂售后服务承诺函。
3、 SSL VPN接入授权（300个）
序号
规格
参数指标
1
设备数量
300个
2
★品牌型号
VPN型号为SANGFOR VPN-3150
3
功能
SSL VPN接入授权
商务需求
序号
目录
招标商务需求
（一）免费保修期内售后服务要求
1
免费保修期
货物免费保修期 年，时间自最终验收合格并交付使用之日起计算。
2
维修响应及故障解决时间
在保修期内，一旦发生质量问题，投标人保证在接到通知24小时内赶到现场进行修理或更换。
……
其他
投标人应按其投标文件中的承诺，进行其他售后服务工作。
（二）免费保修期外售后服务要求（可选）
1
2
……
（三）其他商务要求
1
关于交货
1.1签订合同后 天（日历日）内。
1.2投标人必须承担的设备运输、安装调试、验收检测和提供设备操作说明书、图纸等其他类似的义务。
2
关于验收
1.1投标人货物经过双方检验认可后，签署验收报告，产品保修期自验收合格之日起算，由投标人提供产品保修文件。
1.2当满足以下条件时，采购人才向中标人签发货物验收报告：
a、中标人已按照合同规定提供了全部产品及完整的技术资料。
b、货物符合招标文件技术规格书的要求，性能满足要求。
c、货物具备产品合格
……
……
……
1. 交货要求
1.1交货期的要求：签订合同后 45 天（日历日）内。
1.2投标人必须承担的设备运输、安装调试、验收检测和提供设备操作说明书、图纸等其他类似的义务。
2. 售后服务的要求
2.1. CA数字认证系统证书服务期为两年,其他货物要求原厂免费保修期为三年；
时间自验收合格并交付使用之日起计算。在保修期内，一旦发生质量问题，投标人保证在接到通知2小时内赶到现场，并及时联系设备厂商进行修理或更换。
2.2本次采购，对项目具体服务要求如下：
（1）提供每周7天，每天24小时的电话支持服务，发生故障时,中标方需在2小时之内派技术专家到故障现场，协助招标单位定位故障，在导致业务中断的故障确定后需2小时内提供应急使用的备件。
（2）在货物免费保修期内提供季度巡检，中标方负责提供到达设备现场的交通工具, 派工程师与招标单位人员一同到设备现场进行巡检，了解设备运行健康状况，对设备灰尘进行清扫，提前排除故障隐患。
（3）投标人须按照招标单位要求提供系统日常维护、检测等相关操作及简单故障处理培训.
2.3投标人应按其投标文件中的承诺，进行其他售后服务工作。
3. 关于验收
3.1投标人货物经过双方检验认可后，签署到货验收报告，由投标人提供产品保修文件。
3.2当满足以下条件时，采购人才向中标人签发到货验收报告：
a、中标人已按照合同规定提供了全部产品及完整的技术资料。
b、货物符合招标文件技术规格书的要求，性能满足要求。
c、货物具备产品合格证。
4. 关于付款
付款方式如下：
1) 签订合同后，乙方向甲方提供发票后，甲方向乙方支付合同价款的30%
2) 乙方提供货物全部到齐，且双方签订《到货验收报告》和《项目实施方案》得到甲方确认后，甲方向乙方支付合同款的35%
3) 系统全部完成正式投入运行并通过验收后, 乙方向甲方提供发票后，甲方向乙方支付合同价款的30%。
项目验收并正常运行2年后，乙方向甲方提供发票后，甲方向乙方支付合同价款的5%。（实际付款方式以市财委关于项目相关支付规定要求为准）
技术规格偏离表
序号
货物名称
招标技术要求
投标技术响应
偏离情况
说明
商务规格偏离表
序号
目录
招标商务条款
投标商务条款
偏离情况
说明
（一）免费保修期内售后服务条款偏离表
1
2
……
（一）免费保修期外售后服务条款偏离表
1
2
……
（三）其他商务条款偏离表
1
2
……
评标信息
序号
评分项
权重
1
价格
30
2
技术部分
57
序号
评分因素
权重
评分方式
评分准则
1
技术保障措施
3
专家打分
考察内容：
在投标文件中详细说明针对本项目的设计、实施方案和保障措施，评标委员会根据响应情况进行横向比较，按优81-100分，良61-80分，中31-60分，差0分打分。
2
交货期（完工期）
2
专家打分
在投标文件中详细说明交货期（完工期），评标委员会根据响应情况进行横向比较，按优81-100分，良61-80分，中31-60分，差0分打分。
3
售后服务承诺
12
专家打分
1、评标委员会根据投标人提供的生产厂商针对本项目的配置及售后服务承诺函情况进行打分，对要求原厂保修的4类设备（WEB应用防护设备、应用层漏洞扫描设备、网页防篡改系统、核心数据库审计设备），每提供一类原厂商针对本项目的配置及售后服务承诺函得10分，满分40分；
2、投标人为本项目配备的项目经理具备PRINCE2（受控环境下的项目管理）和CISA（国际信息系统审计师）认证的，得30分；
3、投标人为本项目配备的项目组成员至少有两人具备CISP、CISO、CCIE资质中的2项，得30分。
投标人须提供售后承诺函和计分人员的认证证书扫描件，原件备查。评分中出现无证明资料或专家无法凭所提供资料判断是否得分的情况，一律作不得分处理。
4
技术响应情况
40
专家评分
投标人须如实填写《技术规格偏离表》，评标委员会根据技术需求参数响应情况进行评判，各项技术参数指标及要求全部满足的得100分；带“★”号的参数为重要参数，每项负偏离扣10分，其他参数为一般参数，每项负偏离扣5分，扣完为止。
投标人需按招标文件要求提供相关证明资料，提供的资料包括生产厂商证明函或产品彩页或网站截图及网址等（均需原厂加盖公章），未提供加盖生产厂商公章的证明资料或专家无法凭所提供资料判断是否得分的情况，评标委员会有权认定为负偏离。
3
综合实力部分
5
序号
评分因素
权重
评分方式
评分准则
1
投标人近三年同类业绩
2
专家评分
投标人的近三年同类业绩情况：
拥有政府部门专业信息安全集成项目且涉及本项目部分采购设备的合同案例，每提供1个同类业绩即得10分，满分100分；
投标人必须在投标文件中提供每一个完工项目的合同和验收报告，否则不得分。评分中出现无证明资料或专家无法凭所提供资料判断是否得分的情况，一律作不得分处理。
2
社保情况
1
专家评分
请投标人提供本项目实施人员近三个月社保证明书（以社保缴纳清单为准）扫描件，原件备查。根据总人数评分：优81-100分，良61-80分，中31-60分，差0分打分。评分中出现无证明资料或专家无法凭所提供资料判断是否得分的情况，一律作不得分处理。
3
纳税情况
1
专家评分
请投标人提供由税务部门出具的近一年度纳税证明扫描件，原件备查。根据纳税总金额评分：优81-100分；良61-80分；中31-60；差0分。评分中出现无证明资料或专家无法凭所提供资料判断是否得分的情况，一律作不得分处理。
4
奖励、奖项、资质、资格
1
专家评分
根据投标人具备以下资质证书评分：
（1）国家级应急响应资质（有效时限必须至2017年以后）；
（2）涉及国家秘密的计算机信息系统集成资质证书，级别甲级；
（3）通信网络安全服务能力评定证书-安全设计与集成 级别一级；
（4）CISSP及CISP 国方认证培训机构；
（5）TL9000资质；
（6）信息安全管理体系27001资质。
投标人以上6项资质证书全具备的得满分100分，具备3项证书或以上得50分，具备2项证书得20分。
4
供应商社会责任
8
序号
评分因素
权重
评分方式
评分准则
1
公益慈善
1
专家评分
提供近3年社会公益慈善和见义勇为情况证明材料，未提供的不得分。
2
不良行为记录
1
专家评分
深圳企业信用网和政府采购行政处罚记录查询企业不良记录，有不良记录的不得分，没有不良记录的得满分。
3
履约评价
3
专家评分
根据投标人提交的履约评价资料打分。优得100分，良得80分，中的60分，差的0分。未提供履约评价表的不得分。
4
环保执行情况
3
专家评分
近三年有一次受到环境主管部门处罚的得0分，无处罚的得满分。投标人提交承诺函，未提供承诺的不得分。若虚假应标将被废标并报主管部门处理。
其它
附件
货物采购部：0755-83938651
工程采购部：0755-83938656
服务采购部：0755-82890251
预选采购部：0755-82893020
网址：http://www.cgzx.sz.gov.cn/
地址：***
邮编：518034
-
北京智诚风信网络科技有限公司 北京中招国联科技有限公司 北京中招国联咨询有限公司 北京国建伟业咨询有限公司 哈尔滨中招国联科技有限公司 石家庄易投网络科技有限公司
Copyright © 2005-2024 版权所有 招标网 京ICP证050708号-1 证书
京公网安备 11010802028602号