服务类

服务类型

内容及要求

服务内容

服务资产

提供一年10资产的MSS安全托管服务。

服务内容要求

资产识别与梳理

投标方需借助安全工具对招标方资产进行识别和梳理，并在后续服务过程中根据识别的资产变化情况触发资产变更等相关服务流程，确保资产信息的准确性和全面性；

投标方需结合安全工具发现的资产信息，首次进行服务范围内资产的全面梳理（梳理的信息包含支撑业务系统运转的操作系统、数据库、中间件、应用系统的版本，类型，IP地址；应用开放协议和端口；应用系统管理方式、资产的重要性以及网络拓扑），并将信息录入到安全运营平台中进行管理；当资产发生变更时，安全专家对变更信息进行确认与更新；

安全现状评估

系统与Web漏洞扫描：对操作系统、数据库、常见应用/协议、Web通用漏洞与常规漏洞进行漏洞扫描；

弱口令扫描：实现信息化资产不同应用弱口令猜解检测，如：SMB、Mssql、Mysql、Oracle、smtp、VNC、ftp、telnet、ssh、mysql、tomcat等；

基线配置核查：检查支撑信息化业务的主机操作系统、数据库、中间件的基线配置情况，确保达到相应的安全防护要求。检查项包含但不限于帐号和口令管理、认证、授权策略、网络与服务、进程和启动、文件系统权限、访问控制等配置情况；

针对漏洞利用攻击行为、Webshell上传行为、Web系统目录遍历攻击行为、SQL注入攻击行为、信息泄露攻击行为、口令暴力破解攻击行为、僵尸网络攻击行为、系统命令注入攻击行为及僵尸网络攻击行为进行分析评估，判断攻击行为是否成功以及业务风险点；

问题处置

投标方需对发现的问题进行处置，包含内网脆弱性问题，病毒类事件，入侵行为，勒索、挖矿类事件等；

脆弱性管理

脆弱性扫描与验证：投标方需提供不少于每月一次针对服务范围内的资产的系统脆弱性和Web漏洞进行全量扫描，并针对发现的脆弱性进行验证，验证脆弱性在已有的安全体系发生的风险及分析发生后可造成的危害；

优先级排序：投标方需提供客观的修复优先级指导，不能以脆弱性危害等级作为唯一的修复优先级排序依据。排序依据包含但不限于资产重要性、漏洞等级以及威胁情报（漏洞被利用的可能性）三个维度；（提供脆弱性优先级排序截图，展示优先级排序情况）

脆弱性验证：提供脆弱性验证服务，针对发现的脆弱性问题进行验证，验证脆弱性在已有的安全体系发生的风险及分析发生后可造成的危害。针对已经验证的脆弱性，自动生成工单，安全专家跟进修复状态，各个处理进度透明，方便招标方清晰了解当前脆弱性的处置状态，将脆弱性处理工作可视化；

服务催单：针对服务平台生成的工单，招标方可按需催单，用户可在服务平台上采用邮件等方式提醒安全专家加快协助处置，督促投标方第一时间处理；

脆弱性复测：需提供脆弱性复测措施，及时检验脆弱性真实修复情况。投标方要支持招标方可按需针对指定脆弱性问题，指定资产等小范围进行，降低脆弱性复测时的潜在影响范围；

脆弱性状态总览：对发现的脆弱性建立状态总览机制，自动化持续跟踪脆弱性情况，清晰直观地展示脆弱性的修复情况，遗留情况以及脆弱性对比情况，使得招标方可做到脆弱性的可视、可管、可控；（提供脆弱性管理功能平台截图，直观展示脆弱性管理情况）

威胁管理

结合大数据分析、人工智能、云端专家提供安全事件发现服务：依托于安全防护组件、检测响应组件和安全平台，将海量安全数据脱敏，包括脆弱性信息、共享威胁情报、异常流量、攻击日志、病毒日志等数据，经由大数据处理平台结合人工智能和云端安全专家使用多种数据分析算法模型进行数据归因关联分析，实时监测网络安全状态,发现各类安全事件，并自动生成工单；

实时监测网络安全状态，对攻击事件自动化生成工单，及时进行分析与预警。攻击事件包含境外黑客攻击事件、暴力破解攻击事件、持续攻击事件；（提供安全事件（如暴力破解）的工单举证截图，需展示当前安全事件的处置状态）

实时监测网络安全状态，对病毒事件自动化生成工单,及时进行分析与预警。病毒类型包含勒索型、流行病毒、挖矿型、蠕虫型、外发DOS型、C&C访问型、文件感染型、木马型；

事件管理

基于主动响应和被动响应流程，对页面篡改、通报、断网、webshell、黑链等各类严重安全事件客户可以在平台上直接发起服务咨询，云端进行紧急响应和处置；

服务平台和用户Portal

支持面向招标方的安全态势展示，展示出当前招标方遭受的威胁事件信息以及脆弱性信息统计，并支持服务专家按照资产类别、威胁类型进行定制化筛选查看，能直观感受到招标方当前的风险态势情况；（提供服务平台漏洞表、事件表统计信息截图，并证明支持按照资产类别、威胁类型进行定制化筛选查看）

服务平台支持面向招标方的安全报告与交付物管理，可生成、导出、下载各类安全报告，包括但不限于《安全服务值守日报》、《特殊时期值守报告》、《安全运营周报》、《安全运营月报》；

所有可导出报告支持按照自定义模块进行导出，可自定义模块必须包括但不限于事件管理、攻击威胁、脆弱性管理；

工单类型

平台支持的工单类型应包含内部威胁工单、外部威胁工单、脆弱性工单、应急工单、策略工单、其他工单。

告警工单管理

支持安全告警管理：根据大数据分析平台生成的威胁告警，展示出当前招标方所有的威胁告警信息。

事件工单管理

支持安全事件管理：如果判断为有效威胁，专家将该威胁转化为威胁事件，威胁事件将转给更高级的专家处理。

日志检索

平台应通过大数据平台的搜索引擎，支持快速搜索和搜索语句搜索所有安全日志数据。快速搜索能够通过搜索页面上预先配置好的按钮，实现只需点击不同的搜索条件，即可直接获取到搜索结果。查询语句搜索需要在搜索框内输入查询语句，实现更灵活的自定义搜索，满足高级搜索和复杂搜索场景。

日志接收和处理

平台支持接收多种安全设备同步的安全日志等数据，目前支持防火墙，终端检测与响应，流量分析设备、态势感知平台等设备。

Use case（安全规则）管理

支持自定义配置安全规则，包括配置源算子、解析规则算子、关联规则算子、Flinksql算子、union算子、标签算子、kafka算子、搜索引擎目的算子、自定义算子。通过组合不同算子，形成安全规则。

投标方服务平台已支持的安全检测规则应超过1000个，且覆盖内网脆弱性问题，病毒类事件，入侵行为，勒索、挖矿类事件等；

报告中心

支持根据不同场景，灵活选择不同的组件组合形成新的报告模板，以便于招标方查看不同场景和维度的服务报告。可从时间范围，开始时间，结束时间、漏洞攻击，网络流量，恶意攻击，脆弱性等维度组合新的报告模板。下载报告时，选择相应场景的模板进行下载即可。

平台管理

投标方在本项目使用服务工具应当支持将收集的安全日志上传到安全运营服务平台上，并支持在该平台上对服务工具进行管理；

平台支持使用finebi平台，自定义配置统计数据，包括告警数据，工单数据，工单平均处置时长等数据，来统计当前平台的运营效率，直观体现出当前运营能力，同时可对服务专家处置效率进行考核；

服务质量监督

业务安全状态监控：投标方需为招标方提供服务监控门户（或用户Portal，区别于安全感知大屏），在门户中招标方可查看业务和资产安全状态信息，使得招标方能直观感受到当前的业务和资产安全状态，展示纬度至少包括服务资产安全评级、服务运营状态及成果、安全风险概览、最新情报。

服务质量监控：投标方提供的服务监控门户（或用户portal）应具备服务质量可视化展示，投标方能通过可视化的数据，清晰的了解安全专家的服务水平，至少包括脆弱性闭环率、脆弱性平均响应时长、脆弱性平均闭环时长、威胁闭环率、威胁平均响应时长、威胁平均闭环时长、事件闭环率、事件平均闭环时长，已验证投标方所承诺的服务SLA。（提供监控门户中服务质量监控相关的截图证明）

服务水平协议SLA

通过SLA对安全事件服务水平作出承诺：

（1）从安全日志产生到事件通告给招标方的时间方面，按照国家标准对安全事件的分类分级指南，重大安全事件通告时间小于30分钟，一般事件的通告时间少于1小时。（2）在未配备投标方的边界防护服务组件和终端防护服务组件的情况下，运营服务对于重大安全事件的遏制影响和处置完成时间小于8小时，对于一般事件的遏制影响和处置完成时间小于24小时。（3）安全事件经过服务人员的确认后，各类安全事件的判断准确率不低于99%。（4）在配备了投标方的边界防护服务组件和终端防护服务组件的情况下，安全事件的闭环处置比例达到100%。（5）对于重大事故应启动应急响应机制，工作时间15分钟之内云端专家进行响应，非工作时间30分钟之内云端专家进行响应，省会2小时上门处置，省内8小时上门处置。

通过SLA对安全威胁服务水平作出承诺：

（1）从安全日志产生到威胁通告给招标方的时间方面，重大威胁的通告时间少于1小时，一般威胁的通告时间少于2小时。（2）在未配备投标方的边界防护服务组件和终端防护服务组件的情况下，高级威胁和一般威胁的处置完成时间少于24小时；（3）安全威胁经过服务人员的确认后，高级威胁和一般威胁的判断准确率不低于99%。

（4）在配备了投标方的边界防护服务组件和终端防护服务组件的情况下，高级威胁和一般威胁的闭环处置比例达到100%。

通过SLA对安全漏洞服务水平作出承诺：

（1）在配备投标方的漏洞定期扫描服务组件的情况下，漏洞扫描的频率不低于每30天扫描一次。（2）高危可利用漏洞从完成漏扫后发现到推送漏洞报告的时间少于2个工作日。（3）高危可利用漏洞经服务人员确认后的准确率不低于99%。（4）高危可利用漏洞的防护率达到99%。（5）工作时间15分钟之内云端专家进行响应，非工作时间30分钟之内云端专家进行响应；

服务交付物

交付物名称：《安全服务运营报告》，报告频率：每周一次

交付物名称：《首次威胁分析与处置报告》，报告频率：一次

交付物名称：《事件分析与处置报告》，报告频率：按需触发，不限次数

交付物名称：《安全通告》，报告频率：按需触发，不限次数

交付物名称：《综合分析报告/运营月报》，报告频率：每月一次

交付物名称：《季度汇报PPT》，报告频率：每季度一次

交付物名称：《年度汇报PPT》，报告频率：每年一次

中标后招标方有权要求中标方严格按照上述频率要求提供服务交付物，确保满足招标方安全需求。如中标方未能按时提供，招标方有权终止服务合同，中间产生任何费用由中标方自行承担

服务频率

7*24小时持续专家服务，威胁发现及时响应

服务组件性能要求

性能要求

服务组件功能要求

漏洞扫描服务

以服务的形式提供一台漏洞管理硬件部署于本地机房，或将用户现有漏洞扫描系统接入云端运营平台进行管理。

支持云端7*24小时安全专家职守，人工进行报告审核，减少误报发生，同时，提供服务化功能，如：一键崔审等，增强服务交互品质，及时进行报告推送（可提供界面截图）；

支持行业通用标准OWASP，支持通用WEB漏洞检测，如：SQL注入、XSS、目录遍历、本地/远程文件包含漏洞、安全配置错误、已知漏洞组件包含、敏感信息泄露等；

支持多种系统漏洞检测技术，如：支持基于漏洞库的漏洞扫描技术、基于fuzz测试的漏洞扫描技术和基于banner信息的漏洞扫描技术等；

具备针对紧急安全事件爆发时进行紧急漏洞排查，支持基于Active检测框架实现紧急漏洞检测；

边界安全防护服务

将用户本次投标防火墙设备接入云端运营平台进行管理，提供网络层防护，入侵防护等功能；

支持针对SMTP、POP3、IMAP邮件协议的内容检测，如邮件附件病毒检测、邮件内容恶意链接检测，邮件异常账号检测等，支持根据邮件附件类型进行文件过滤；支持针对HTTP、FTP协议内容检测与病毒查杀。

支持抵御SQL注入、XSS攻击、网页木马、网站扫描、WEBSHELL、跨站请求伪造、系统命令注入、文件包含攻击、目录遍历攻击、信息泄露攻击、WEB整站系统漏洞等攻击；(提供相关功能截图证明)

支持针对网站的漏洞扫描进行防护，能够拦截漏洞扫描设备或软件对网站漏洞的扫描探测，支持基于目录访问频率和敏感文件扫描等恶意扫描行为进行防护；

支持Web漏洞扫描功能，可扫描检测网站是否存在SQL注入、XSS、跨站脚本、目录遍历、文件包含、命令执行等脚本漏洞；

安全态势感知服务

将用户内外网现有态势感知设备接入云端运营平台进行管理，提供资产梳理，威胁深度检测，威胁统一分析，多产品日志收集与对接等功能。

支持基于流量实时漏洞功能，漏洞分析类型包含配置错误漏洞、OpenSSH漏洞、目录遍历漏洞、OpenLDAP等操作系统、数据库、Web应用等，页面上支持展示业务脆弱性风险分布、漏洞类型分析、漏洞态势与危害和处置建议，并支持导出脆弱性感知报告。（需提供截图证明）。

支持大屏展示业务脆弱性态势，包括漏洞风险态势、漏洞类型TOP5、高危漏洞TOP5、业务总览、脆弱性业务TOP5、实时脆弱性监测；

平台具备独立文件威胁鉴定模块，支持基于HTTP、邮件、FTB、SMB等协议的文件检测，平台内置病毒检测引擎、人工智能检测引擎等，支持记录恶意文件TOP5、文件名、病毒病毒、发现次数、传播协议、感染源等信息，并支持导出分析结果。

流量采集服务

将用户内外网现有流量探针设备或本次投标流量探针设备接入云端运营平台进行管理，提供流量采集，数据初筛，日志同步与传输等功能。

支持5种类型日志传输模式,包含标准模式、精简模式、高级模式、局域网模式、自定义模式，适应不同应用场景需求；

可提供网络流量的会话级视图,根据网络流量的正常行为轮廓特征建立正常流量模型,判别流量是否出现异常,对原始流记录进行异常检测,可发现网络蠕虫、网络水平扫描、网络垂直扫描、IP地址扫描，端口扫描，ARP欺骗，IP协议异常报文检测和TCP协议异常报文等常见网络异常流量事件类型;

支持针对B/S架构应用抵御SQL注入、XSS、系统命令等注入型攻击；支持跨站请求伪造CSRF攻击检测；支持对ASP,PHP,JSP等主流脚本语言编写的webshell后门脚本上传的检测；支持其他类型的Web攻击，如文件包含，目录遍历，信息泄露攻击等的检测；（要求对以上列出的攻击类型进行逐条响应并提供相应的功能界面截图）

资质要求

所投厂商具备CCRC信息安全服务资质认证证书—信息系统安全运维服务一级资质，需提供有效证书复印件。

所投厂商具备国家信息安全服务（安全运营类一级）资质，需提供有效证书复印件。

所投厂商应是国家互联网应急响应中心网络安全应急服务国家级支撑单位，需提供有效证书复印件。