漏洞扫描设备采购需求及参数
漏洞扫描系统及网络与系统安全设备采购项目招投标书范本
大连大学漏洞扫描系统及网络与系统安全设备采购项目招标文件（项目编号：ZZCG-）招标人：大连大学招标代理人：大连中招招投标代理有限公司日期：二○一八年十一月大连大学漏洞扫描系统及网络与系统安全设备采购项目招标文件项目负责人：关慧丽编制人：关慧丽审核人：王胜彬编制日期：年月目录投标邀请函…………………………………………………………第一章投标人须知及前附表……………………………………第二章合同条款及合同格式……………………………………第三章项目需求及技术要求……………………………………第四章投标文件格式……………………………………………附件开标一览表………………………………………………附件评标方法…………………………………………………大连大学漏洞扫描系统及网络与系统安全设备采购项目投标邀请函大连中招招投标代理有限公司受大连大学的委托，对其漏洞扫描系统及网络与系统安全设备采购项目进行国内公开招标，欢迎符合资格条件的投标人报名参加投标。
一、项目编号：ZZCG-二、招标内容：漏洞扫描系统及网络与系统安全设备（详细内容见招标文件第三章）A包：漏洞扫描系统B包：网络与系统安全设备注：.投标人不能只对本项目个别品目进行投标，否则将被视为非响应性投标而被拒绝；.招标文件中要求投标人须提供非进口产品，否则视为无效投标文件(进口产品是指通过中国海关报关验放入中国境内且产自关境外的产品).本项目采购以标段为基本单位，两个标段可兼投兼中（详见附件“评分方法”）。
投标人投多个标段时，应按招标文件要求分别提交投标文件及投标保证金，否则视为无效报价。
三、投标人的资格要求：A包、B包：（一）投标人须为在中国境内注册的独立企业法人；（二）外地投标人须具有在大连地区工商行政管理部门注册的售后服务机构（售后服务机构为外地投标人分支机构的须提供营业执照，非外地投标人分支机构的须提供外地投标人与其售后服务机构的委托协议）。
注：.本项目不接受联合体参与；.为采购项目提供整体设计、规范编制或者项目管理、监理、检测等服务的投标人，不得参加本采购项目的其他活动；. 经查询信用信息存在不良信用记录的不得参加本采购项目（具体要求如下）。
1附表1+网页安全漏洞扫描系统配置标
可靠性与 扩展性
可靠性与 扩展性
升级
其他要求
附表1 网页安全漏洞扫描系统配置标准
项目 运行环境：能运行在主流的Windows操作系统平台上(UNIX/Linux操作系统可选支持)，如 Windows XP、Windows Vista、Windows Server2003、Windows7等及其各版本（包括32位和64位 版本），需要数据库时能采用主流数据库（如SQL Server、Oracle、Sybase、Informix、DB2等及 其各版本）存储相关数据。 扫描对象包括应用ASP、JSP、PHP、HTML等技术开发的静态页面、动态页面、页面目录等， 支持扫描运行在各类主流WEB服务器（包括但不限于IIS、WebLogic、WebSphere、Apache、 Tomcat等）的WEB系统。 支持对WAP网站的漏洞扫描 须能够发现网页系统中的各种URL，包括： 1、网页文件包括的URL； 2、解析Javascript等脚本获得的URL； 3、执行Javascript等脚本获得的URL； 支持对网页中的flash文件的搜索，并能发现flash文件中的URL和参数 网页安全漏洞扫描系统须能够对发现的URL以一定结构(包括但不限于树型结构)呈现。 能检测出WEB系统常见安全漏洞，包括但不限于： 1、 SQL注入 2、 Cookie注入 3、 跨站攻击 4、 CSRF 5、 目录遍历 6、 网站信息泄漏 7、 管理后台泄漏 8、 认证方式不健壮 9、 隐藏字段操控 1、须提供网页安全漏洞验证的功能，并支持手工配置验证参数 2、能调用其他浏览器或通过自带浏览器验证跨站攻击漏洞、目录遍历、管理后台泄漏等安全漏 洞 3、能够可配置地自动通过SQL注入点获取后台数据库的相关信息
√
√
√
漏洞扫描参数
漏洞扫描参数漏洞扫描参数设备参数数量价格【设备要求】：国内知名品牌，自主研发，标准机架式硬件，1台含交流单电源模块，1个RJ45串口，1个GE管理口，6个10M/100M/1000M自适应以太网电口扫描口，1个接口扩展槽位（4GE/4SFP/8GE/8SFP），并发扫描数≥120个IP地址，支持多路扫描，满足在复杂环境中部署的要求，支持不同网段同时检测的需求。
要求可扫描IP数无限.配备WEB扫描模块. Web扫描结果和安全配置核查结果进行综合分析、综合评分，并输出包含漏洞扫描、Web扫描和配置核查内容的报表。
【功能要求】：★1.提供漏洞知识库中包含的主流操作系统、数据库、网络设备的列表信息。
为保证能够提供了实时可靠的主机探测信息，要求提供主机探测系统和方法的专利证明，要求提供专利截图。
2.能够扫描主流虚拟机软件的安全漏洞，如：VMWare ESX/ESXi；★3.厂商漏洞知识库大于17000条可提供查询地址；4.产品内置漏洞知识库漏洞信息大于15000 条，提供详细的漏洞描述和对应的解决方案描述；漏洞知识库与CVE、CNCVE、CNNVD、CNVD标准同时兼容，并提供截图证明及CVE Compatible证书。
；★5.可以通过资产仪表盘直观展示资产的风险值、主机风险等级分布、资产风险趋势、资产风险分布等内容；可提供资产树功能，通过资产树直观呈现网络资产的安全风险；★6.支持高级数据分析，能够进行历史数据查询、汇总查看，方便进行多个扫描任务或多个IP风险对比，能够在多个历史任务中，很快的检索到需要关注的资产IP点。
★7.产品支持对漏洞扫描结果、Web扫描结果和安全配置核查结果进行综合分析、综合评分，并输出包含漏洞扫描、Web扫描和配置核查内容的报表。
8.可以智能发现非默认端口启动的服务，并调用相应扫描插件进行扫描具备单独口令猜测扫描任务，支持多种口令猜测方式；9.支持Web应用扫描能力，可提供多种Web应用漏洞的安全检测，如SQL注入、跨站脚本、网站挂马、网页木马、CGI漏洞等；★10.同一台产品同时支持漏洞扫描和安全配置核查功能，能够对主流操作系统、网络设备、数据库、中间件、等进行安全配置项目进行检查，能够综合系统安全漏洞和配置隐患检查结果分析系统安全风险；11.支持采用SMB、RDP、SSH、Telnet等协议对Windows、Linux系统进行登录扫描，支持Telnet、SSH协议跳转；12.支持多路扫描，满足在复杂环境中部署的要求，支持不同网段同时检测的需求；产品应支持通过多种维度对漏洞进行检索，包括：CVE ID、BUGTRAQ ID、CNCVE ID、CNVD ID、CNNVD ID、MS 编号、风险等级、漏洞描述、是否为危险插件、漏洞发布日期等信息；★13.具有备份恢复机制，能够对系统创建还原点对系统进行备份和还原；★14.同类产品支持虚拟化VM平台部署，能够直接以虚拟机镜像方式部署在虚拟化HYPERVER层平台上。
漏洞扫描系统需求说明
12.应具备中华人民共和国公安部颁发的《计算机信息系统安全专用产品销售许可证》。
售后服务
13.原厂五年售后服务，包括安装调试、硬件质保、软件升级、漏洞库升级等。
6.具备单独口令猜测扫描任务，支持多种口令猜测方式，包括利用SMB、TELNET、FTP、SSH、POP3、TOMCAT、SQL SERVER、MYSQL、ORACLE、SYBASE、DB2、SNMP等协议进行口令猜测，允许外挂用户提供的用户名Hale Waihona Puke 典、密码字典和用户名密码组合字典；
7.支持对主流数据库的识别与扫描，包括：Oracle、Sybase、SQL Server、DB2、MySQL等，能够扫描的数据库漏洞扫描方法不小于500种；
附件：
漏洞扫描系统需求说明
产品要求
详细说明
功能、性能及配置要求
1.硬件设备，1*RJ45串口，1*GE管理口，不少于4个10M/100M/1000M自适应以太网电口扫描口，不少于4个千兆SFP插槽，可扫描无限制128 IP地址；
2.允许最大并发任务数≥5个，最大并发扫描主机数≥30；
3.能够采用多种不同的方式自动发现网络资产，能够把资产管理和组织结构或者网络拓扑结构紧密结合，支持资产树等多种资产管理方式，支持通过资产树对指定主机展开漏洞扫描和配置核查任务，查看主机风险；
4.漏洞知识库漏洞信息大于10000条，提供详细的漏洞描述和对应的解决方案描述；漏洞知识库与CVE、CNCVE、CNNVD、CNVD、Bugtraq等主流标准兼容，并提供CVE Compatible证书；
5.支持对多个扫描任务并发执行，支持多任务自动调度。支持定期扫描与周期扫描（周期扫描可细化到隔天、隔周、隔月）；
8.可以通过资产仪表盘直观展示资产的风险值、主机风险等级分布、资产风险趋势、资产风险分布等内容；
漏洞扫描系统详细招标参数
★获得中国人民解放军信息安全测评中心颁发的《军用信息安全产品认证证书》，并出具加盖厂商公章的复印件
应急能力
★设备生产厂商具备CNCERT颁发《网络安全应急服务支撑单位证书》，并出具加盖厂商公章的复印件
厂商实力
★设备生产厂商应具有漏洞发现能力，具备《中国国家信息安全漏洞库（CNNVD）技术支撑单位资质》，至少曾经获得中国信息安全测评中心颁发《中国国家漏洞库-信息安全漏洞提交证明》，不低于5份，并出具加盖厂商公章的复印件
并发任务数量
≥20个任务并发，单次任务扫描IP数量不限，不限用户数，无限IP授权(设备中需提供证明截图并加盖公章)
网络构架
扫描方式
支持直接扫描，
★支持对多个扫描任务并发执行，支持多任务自动调度；单个任务允许扫描的最大扫描范围不小于一个B类网段。
★支持设备内置VPN拨号扫描(需提供截图证明，加盖原厂公章)
支持MSSQL/MySQL/Oracle/DB2等数据库漏洞检测
支持FTP/EMAIL/DNS/网络设备漏洞检测
支持虚拟化漏洞、常用应用软件漏洞检测
操作系统指纹识别
自动判断被扫描主机的操作系统类型及版本
CVE/CNNVD编号显示
支持显示CVE/CNNVD漏洞编号
★可利用漏洞提示
★支持可利用漏洞提示，将能够获取服务器权限的漏洞专门提示,并支持显示漏洞可利用性,便于管理员立刻锁定资产脆弱点(需提供截图证明，加盖原厂公章)
★必须支持对统一登陆（SSO）环境下WEB站点的登录扫描，统一登陆环境的HTTP或者HTTPS方式的跳转认证等不影响设备的登录扫描功能；(需提供截图证明，加盖原厂公章)
弱密码检测能力
协议类型
★支持检查3389（RDP远程桌面）弱密码(需提供截图证明，加盖原厂公章)
漏洞扫描设备采购需求及参数
漏洞扫描设备采购需求及参数背景介绍随着互联网的发展，网络攻击和数据泄漏等安全风险也愈发凸显。
因此，企业对网络安全的要求越来越高，其中漏洞扫描是比较重要的一个部分。
漏洞扫描设备可以通过对网络漏洞的探测和扫描，识别出系统中的安全弱点和漏洞，并提供相应的修复建议，保证网络的安全。
本文旨在介绍漏洞扫描设备采购的需求和参数。
采购需求安全性能好的漏洞扫描设备一定要具备良好的安全性能，越高越好。
建议采购的漏洞扫描设备应该提供高级别的漏洞识别、分类、管理与修补，能够对各种类型的漏洞进行准确快捷的识别，以及合理的修复方法。
网络兼容性配置全网端口扫描、协议认证、Web应用、数据库等针对性测试模块与技术支持能力。
同时，能够针对各种网络环境进行兼容性调整，保障漏洞扫描的全面性和精准性。
用户界面一个良好的用户界面可以提高工作效率，降低人工操作疏漏的几率。
操作简单、直观、易于理解的界面设计和使用流程，更适合于没有技术专业背景的用户更好地使用漏洞扫描设备。
数据库分类管理提供完整、可扩展性较高的漏洞数据库，并具有自动分类管理功能，让用户便于了解漏洞信息和追踪应对任务的进度。
性能稳定性漏洞扫描设备是一项长期工作的设备。
因此，在采购时一定要选择性能稳定的设备，否则一旦漏洞扫描故障，会对企业的安全带来重大的隐患。
采购参数除了采购需求的要求之外，还需要关注漏洞扫描设备的采购参数。
设备设置在采购时应该注意设备设置是否简便，同时需要咨询现有用户群体对设备的使用反馈，了解该产品是否能够应用到公司现有的设备系统中。
数据管理这关乎到漏洞扫描设备内部的存储，取消，更新等问题。
建议在选择设备时，选择支持备份与恢复数据的机型，这样能在已有的数据基础上，进行更新和存储，以确保重要数据不会被丢失。
操作系统兼容性在选择漏洞扫描设备时，一定要关注操作系统的兼容性，以保证采购的设备能够完美地运行和应用。
扫描报告在采购时应该了解扫描后生成的报告格式、生成的速度、报告编辑和发布。
漏洞扫描系统技术参数
评估管理 系 统 管 理 增强功能
操作系统等特征增加新的资产信息 应支持批量自动获取资产的系统信息 应允许自定义评估参数 应具备日志管理功能 应具备数据库备份功能 应支持图形化实时显示当前 cpu 和内存的使用状况
应支持统计当前在线人数
应支持 internet 在线自动升级
升级管理
应支持通过设置代理升级 应支持本地手动升级
应允许自定义并发扫描的主机数、线程数等
应支持手动指定 http、ftp、smb、snmp、pop3
参数配置 等常见协议的登录口令
应允许自定义扫描所采用的扫描方式
应允许自定义端口扫描的类型、范围等参数
漏 遵循标准 洞
漏洞数量 知 识 漏洞分类 库 升级频率
查询方式
应支持国际 cve 标准 应支持 bugtraq id ≧3100条 应细分漏洞测试脚本，类别≧20种 每周应至少升级一次 支持对漏洞知识库的综合查询
扫
应支持保存扫描任务
描 任务管理 应支持合并扫描任务
功
应支持导入扫描任务
能
应具有能对 windows、linux 等系统进行针对性扫描的预定义策略
策略管理 应允许用户根据需要定制、编辑策略
应支持默认策略库与漏洞库同步更新
拓展功能
应支持与其它安全产品（防火墙、入侵检测系统）联动 应集成一些常用的网络工具，包括端口扫描、主机检测、网络流量查看等等
应具备“中止扫描”功能 扫描执行过程中如果关闭扫描页面，扫描进程应仍在后台执行
应支持随时查看后台扫描进程的进度
应具备“定时扫 描”功能， 并且在扫描结 束后将完整的 扫描结果或者差 异报告 自动发送至管理员邮箱
主流的操作系统（windows/ linux/unix…） 主流的数据库（sql server/oracle/mysql…）
漏洞扫描远程安全评估系统技术参数
产品具备公安部颁发的《计算机信息系统安全专用产品销售许可证》（增强级）。
产品具备国家保密局涉密信息系统安全保密测评中心颁发的《涉密信息系统产品检测证书》。
产品具备中国信息安全测评中心颁发的《国家信息安全漏洞库兼容性资质证书》。
产品具备IPv6ReadyLogo认证证书
产品具备网络关键设备和安全专用产品安全认证中国国家信息安全产品认证证书
支持WindoWS系列操作系统,支持Linux主流操作系统(Cenlos、Redhat、DebianλFedOra、Ubuntu^SUSe等)，支持UniX主流操作系统(AIX%HPUX、SOlariS等)；
支持对Web、FTP、电子邮件等应用系统、APaChe等Web中间件服务器以及Office等常用软件进行漏洞扫描；
Hale Waihona Puke 漏洞扫描远程安全评估系统技术参数技术指标
指标要求
产品要求
采用安全的LinUX操作系统
产品规格
软件形态，建议安装环境至少满足：CPU：17、内存：32G,硬盘：500G
产品性能
可扫描总数量不少于XXX个无限制范围TP地址
扫描对象
WCb漏洞扫描、数据库漏洞扫描、主机软件漏洞扫描、基线配置核查
部署方式
支持旁路部署，无需改变原有的网络架构分布式部署
可以自定义扫描端口范围、端口扫描策略
提供采用SMB、SSH、SNMP、TELNET等协议对WindOWs、LinUX系统进行登录授权扫描。
具备弱口令扫描功能，提供多种弱口令扫描协议，包括SMB、RDP、SSH>TELNET.FTP、SMTP、IMAP、PoP3、MySQL、MSSQL、REDIS、RTSP等协议进行弱口令扫描，允许用户自定义用户、密码字典。
山石网科漏洞扫描系统硬件参考指南说明书
目录产品介绍 (1)前面板 (1)后面板 (1)扩展模块 (2)常用工具 (2)注意事项 (2)安装上架导轨 (2)将设备安装到标准机架上 (3)安装扩展模块 (5)卸载扩展模块 (5)连接交流电源 (6)准备工作 (6)通过WebUI界面访问设备 (6)修改管理IP (6)部署旁路（Tap）模式 (7)一体机部署 (7)完成配置 (8)关机 (8)产品介绍平台型号配置说明SG-6000-RAS3000 标准1U上架ZX-100S平台整机/C4580/8G/1T/板载6电口/支持1个ENS网卡拓展模块位/搭配NET-1512VD6N-04主板/180W单电源/无BypassSG-6000-RAS5000 标准2U上架Intel C236平台整机/I5-6500/16G/1T/板载6电口/支持2个ENS网卡拓展模块位/搭配NET-1828VD6N-05主板/350W冗余电源/无Bypass前面板SG-6000-RAS3000设备的前面板有6个千兆电口、2个USB接口、1个串口、2个扩展槽（仅左侧扩展槽可用）以及1个状态灯、1个电源指示灯、1个复位灯。
如图所示：SG-6000-RAS5000设备的前面板有6个千兆电口、2个USB接口、1个串口、2个扩展槽以及1个状态灯、1个电源指示灯、1个复位灯。
如图所示：后面板SG-6000-RAS3000设备的后面板有1个VGA接口，1个电源开关，1个电源线接口。
如图所示：SG-6000-RAS5000设备的后面板有1个VGA接口，1个电源开关，2个电源线接口。
如图所示：扩展模块设备可支持的扩展模块和设备平台对应关系请参见下表：型号网络芯片网络速度网口数量网口类型Bypass数量IOC-RAS-8SFP Intel®i350（带桥芯片）千兆8 SFP光口0IOC-RAS-8GE Intel®i350（带桥芯片）千兆8 RJ-45电口 4IOC-RAS-4GE-4SFP Intel®i350(带桥芯片) 千兆4+4 RJ-45电口+SFP光口2IOC-RAS-2SFP+ Intel®X710万兆 2 SFP+光口0常用工具十字螺丝刀防静电手套网线注意事项安装前请做好防静电保护措施。
漏洞扫描系统技术参数
易用性
系统构架
基于b/s模式。
帮助系统
应附带使用手册
应具有联机帮助系统
应具有当前页面帮助功能
系统界面
操作界面的语言应为简体中文
菜单布局清晰，功能划分合理
功能执行过程中应有必要的信息提示
扫描性能
扫描速度
不低于如下标准（100m局域网环境）
1～10台< 5分钟
11～20台< 8分钟
漏洞扫描系统
漏洞扫描系统
技术参数
指标
硬件指标
配置状况
cpu≥2.4gpentium处理器
内存≥2g
网口类型
10/100/1000mbase-tx
网口数量
≧4
安全性
平台安全性
应采用定制抗攻击能力强的linux系统平台
应加密扫描测试脚本
操作安全性
加密控制台和扫描器之间的传输数据
可以限制可扫描的ip地址范围
应支持在扫描结束后以邮件或者windows message的方式通知管理员
应支持在扫描结束后将扫描结果通过snmp发
送到网管系统
应具备“暂停扫描”功能
应具备“中止扫描”功能
扫描执行过程中如果关闭扫描页面，扫描进程应仍在后台执行
应支持随时查看后台扫描进程的进度
应具备“定时扫描”功能，并且在扫描结束后将完整的扫描结果或者差异报告自动发送至管理员邮箱
21～40台< 18分钟
1个通常c类网（60%以上主机存活）< 90分钟
核心技术
能够识别出运行在非默认端口的服务（智能端口识别）
应能够对运行在不同端口的相同服务都能分别进行扫描检测（多重服务检测）
应能够根据获取的系统端口状态、运行服务等信息以及前期扫描结果调度后续的针对性扫描脚本（知识依赖检测）
漏洞扫描系统招标技术要求
编号
项目
要求
备注
1
机种
基于专用硬件平台，百兆机架式设备；
＊
2
网络接口/数量
10/100Base-TX，总数≥2；
3
语言支持要求
支持全中文的操作界面以及中文详细的解决方案报告
＊
4
漏洞检测能力
能够扫描发现网络设备，服务器以及防火墙中的安全漏洞。对网络设备和操作系统网络层漏洞的扫描在不更改任何的配置和安装任何类似探针的软件，也不需要提供任何的访问权限的情况下正常工作；
产品的检测报告可以完全报告安全漏洞和这些安全漏洞的危险级别，同时针对安全漏洞提供安全解决建议；支持多任务报告分析；
8
必须满足的国家相关标准及规范
通过以下国家权威部门的认证：包括《公安部的销售许可证》、《国家信息安全测评认证中心认证》、《涉密信息系统产品检测证书》以及《军用信息安全产品认证》；
＊
注：在设备的规格和技术要求中标注＊号项为必须满足的要求，任何一项不满足即为废标。
支持多种端口扫描模式方法，如tcp connect，syn scan等；
支持自动模板匹配技术提高扫描速度和准确率；
5ቤተ መጻሕፍቲ ባይዱ
性能要求
单ip扫描速度在10分钟以内，10ip扫描速度在20分钟以内；
6、
管理能力
支持分布式部署，即多个扫描器之间可以区分上下级别关系，下级扫描器可以向上级扫描器发送扫描报告，并由上级扫描器汇总；
支持被扫描系统的资产管理，自动发现网络资产的信息，并能够结合资产管理的情况进行扫描和分析。能够对已有资产进行查阅和管理，可以手工增加新的资产信息；
通过B/S结构支持多级管理员使用扫描器，对每个使用者能够设定其允许登陆的范围和允许扫描的范围，支持基于安全HTTP(SSL)的远程管理；
漏扫招标参数——网神和绿盟
1 1 漏洞扫描设备 1 143800 绿盟,设备参数：绿盟RSASNX3-X-C1、1U机架式硬件架构，含交流单电源，1*RJ45串口，1*GE管理口，4个10M/100M/1000M自适应以太网电口扫描口，4个千兆SFP插槽（不含SFP模块），配置提供1路授权扫描端口。
授权可扫描总数量为512个无限制范围的IP地址或域名。
2、允许并发扫描为60个IP地址，单个任务允许扫描的最大扫描范围为一个B类IP地址。
3、所投的绿盟RSASNX3-X-C界面友好，并有详尽的技术文档；所有的图形界面与文档资料均支持中英文；采用专门的硬件，使用基于嵌入式安全操作系统，保证系统的工作效率和自身安全性。
系统稳定可靠，无需额外存储设备即可运行，系统采用B/S设计架构，使用SSL加密通信方式，用户可以通过浏览器对产品进行远程管理。
4、提供并支持备份恢复，能够对扫描结果、日志、扫描模板、参数集等配置文件进行导出和导入操作；能够创建系统还原点进行备份和还原；支持扫描常见的网络安全客户端软件（网络防病毒Symantec、TrendMicro、McAfee）的安全漏洞。
支持扫描常见的应用软件漏洞（如IE浏览器、MSN、MozillaFirefox、YahooMessenger、MSOffice、多媒体播放器和各种P2P 下载软件）的安全漏洞；漏洞知识库具有漏洞信息15334条，并提供详细的漏洞描述和对应的解决方案；漏洞知识兼容CVE、CNCVE、CNNVD、CNVD、Bugtraq等主流标准，并提供CVECompatible证书，漏洞知识库和漏洞检测规则支持手动升级和自动升级，支持本地升级和在线升级，在线升级支持代理方式升级，提供每两周进行一次定期升级；支持Windows、Linux系统登录扫描，支持OVAL标准，进行精确漏洞扫描和新公布漏洞的快速扩展。
5、支持在扫描过程中手工指定包括SNMP、SMB等常见协议的登陆口令，登陆到相应的系统中对特定应用进行深入扫描。
漏洞扫描远程安全评估系统技术参数
产品具备IPv6 Ready Logo认证证书
产品具备网络关键设备和安全专用产品安全认证 中国国家信息安全产品认证证书
为保证能够提供准确可靠的Web应用漏洞扫描和恶意代码发现，要求提供网站漏洞扫描方法的专利证明不少于4种，要求提供专利截图。
提供审计功能，能够对登陆日志、操作日常进行记录和查询，并可以将日志导入导出操作。
提供日志自动审计功能，根据指定的审计标准自动、定时审计；并将审计结果发送到指定邮箱当中。
厂商漏洞策略库大于35000条；提供详细的漏洞描述和对应的解决方案描述；漏洞知识库与国际CVE、国内CNNVD漏洞库标准兼容。
系统内置不同的策略模板如针对Linux、Windows操作系统等模板，同时允许用户定制扫描策略；用户可定义扫描范围、定义扫描端口、扫描使用的参数集等具体扫描选项。
管理人员可根据系统给出的漏洞参数、HTTP请求/响应数据，快速验证，一键验证漏洞
数据库模块
支持Oracle、Mysql、SQLServer、DB2、informix、达梦、人大金仓的授权数据库漏洞扫描，
产品资质
产品具备公安部颁发的《计算机信息系统安全专用产品销售许可证》（增强级）。
产品具备国家保密局涉密信息系统安全保密测评中心颁发的《涉密信息系统产品检测证书》。
支持Windows系列操作系统，支持Linux主流操作系统（Centos、Redhat、Debian、Fedora、Ubuntu、Suse等），支持Unix主流操作系统（AIX、HPUX、Solaris等）；
支持对Web、FTP、电子邮件等应用系统、Apache等web中间件服务器以及Office等常用软件进行漏洞扫描；
等级保护2.0第三级数据中心漏洞扫描设备安全防护产品功能指
等级保护2.0第三级数据中心漏洞扫描设备安全防护产品功能指标参考
1、漏洞扫描设备（推荐要求）
检测与发现系统漏洞的专用设备。
①具备资产管理、漏洞管理、扫描策略配置、漏洞扫描和报表
管理等5 项功能。
②支持CVE、CNNVD、CNCVE、CNVD、BUGTRAQ
等5 种漏洞库编号，按照国家新发布的漏洞及时更新。
③产品扫描信息支持主机信息、用户信息、服务信息、漏洞信
息等4 种内容。
④支持扫描操作系统、网络设备、虚拟化设备、数据库、移动
设备、应用系统等6 类系统和设备。
⑤支持主机探测、端口扫描、弱口令扫描、多主机扫描、多线
程扫描、口令猜解等6 种扫描方式。
⑥支持SNMP trap、邮件、短信、Syslog 等4 种告警方
式。
2、WEB 漏洞扫描设备（推荐要求）
检测与发现医院WEB 网站漏洞的专用设备。
①具备资产管理、漏洞管理、扫描策略配置、漏洞扫描和报表
管理等功能。
②支持SQL 注入、Cookie 注入、跨站脚本攻击、敏感信息
泄露等漏洞检测能力。
③支持Cookie、Form、Basic、NTLM 等登录认证方式。
④支持SNMP trap、邮件、短信、syslog 等告警方式。
3、
4、。
漏洞扫描参数
漏洞扫描参数设备参数数量价格【设备要求】：国内知名品牌，自主研发，标准机架式硬件，1台含交流单电源模块，1个RJ45串口，1个GE管理口，6个10M/100M/1000M自适应以太网电口扫描口，1个接口扩展槽位（4GE/4SFP/8GE/8SFP），并发扫描数≥120个IP地址，支持多路扫描，满足在复杂环境中部署的要求，支持不同网段同时检测的需求。
要求可扫描IP数无限.配备WEB扫描模块.Web扫描结果和安全配置核查结果进行综合分析、综合评分，并输出包含漏洞扫描、Web扫描和配置核查内容的报表。
【功能要求】：★1.提供漏洞知识库中包含的主流操作系统、数据库、网络设备的列表信息。
为保证能够提供了实时可靠的主机探测信息，要求提供主机探测系统和方法的专利证明，要求提供专利截图。
2.能够扫描主流虚拟机软件的安全漏洞，如：VMWare ESX/ESXi；★3.厂商漏洞知识库大于17000条可提供查询地址；4.产品内置漏洞知识库漏洞信息大于15000条，提供详细的漏洞描述和对应的解决方案描述；漏洞知识库与CVE、CNCVE、CNNVD、CNVD标准同时兼容，并提供截图证明及CVE Compatible证书。
；★5.可以通过资产仪表盘直观展示资产的风险值、主机风险等级分布、资产风险趋势、资产风险分布等内容；可提供资产树功能，通过资产树直观呈现网络资产的安全风险；★6.支持高级数据分析，能够进行历史数据查询、汇总查看，方便进行多个扫描任务或多个IP风险对比，能够在多个历史任务中，很快的检索到需要关注的资产IP点。
★7.产品支持对漏洞扫描结果、Web扫描结果和安全配置核查结果进行综合分析、综合评分，并输出包含漏洞扫描、Web扫描和配置核查内容的报表。
8.可以智能发现非默认端口启动的服务，并调用相应扫描插件进行扫描具备单独口令猜测扫描任务，支持多种口令猜测方式；9.支持Web应用扫描能力，可提供多种Web应用漏洞的安全检测，如SQL注入、跨站脚本、网站挂马、网页木马、CGI漏洞等；★10.同一台产品同时支持漏洞扫描和安全配置核查功能，能够对主流操作系统、网络设备、数据库、中间件、等进行安全配置项目进行检查，能够综合系统安全漏洞和配置隐患检查结果分析系统安全风险；11.支持采用SMB、RDP、SSH、Telnet等协议对Windows、Linux系统进行登录扫描，支持Telnet、SSH协议跳转；12.支持多路扫描，满足在复杂环境中部署的要求，支持不同网段同时检测的需求；产品应支持通过多种维度对漏洞进行检索，包括：CVE ID、BUGTRAQ ID、CNCVE ID、CNVD ID、CNNVD ID、MS 编号、风险等级、漏洞描述、是否为危险插件、漏洞发布日期等信息；★13.具有备份恢复机制，能够对系统创建还原点对系统进行备份和还原；★14.同类产品支持虚拟化VM平台部署，能够直接以虚拟机镜像方式部署在虚拟化HYPERVER层平台上。
信息技术 网络安全漏洞扫描产品技术要求
ICS中华人民共和国公共安全行业标准GA/T ××××— xxxx信息技术网络安全漏洞扫描产品技术要求Information technology— Technical requirements for vulnerability scanner of network security（报批稿）××××-××-××发布××××-××-××实施中华人民共和国公安部发布目次前言 (II)引言 (III)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 缩略语和记法约定 (1)4.1 缩略语 (1)4.2 记法约定 (1)5 网络安全漏洞扫描产品概述 (2)5.1 引言 (2)5.2 系统组成、结构 (2)5.3 产品分级 (2)5.4 使用环境 (3)6 功能要求 (3)6.1 基本级网络安全漏洞扫描产品功能组件 (3)6.2 自身安全功能要求 (3)6.3 安全功能要求 (3)6.4 管理功能要求 (7)7 性能要求 (7)7.1 速度 (8)7.2 稳定性和容错性 (8)7.3 漏洞发现能力 (8)7.4 误报率 (8)7.5 漏报率 (8)8 增强级网络安全漏洞扫描产品扩展技术要求 (8)8.1 自主访问控制 (8)8.2 身份鉴别 (8)8.3 客体重用 (9)8.4 数据完整性 (9)8.5 审计 (9)8.6 功能要求 (9)9 安全保证要求 (10)9.1 配置管理保证 (10)9.2 交付和操作保证 (10)9.3 开发过程保证 (10)9.4 指南文件保证 (10)9.5 测试保证 (11)9.6 脆弱性分析保证 (11)本标准由公安部公共信息网络安全监察局提出。
本标准由公安部信息系统安全标准化技术委员会归口。
安全检查设备及安全服务采购需求
安全检查设备及安全服务采购需求
一、采购需求
此次采购包含北京神州绿盟科技有限公司的WEB应用漏洞扫描系统、安全配置核查系统。
要求如下表所示：
二、供应商资质要求
1. 供应商应具有独立法人资格，为方便供货及服务，参与竞价的供应商应为本地（北京）供应商;
2. 参与竞价的供应商必须保证其所提供的产品是原厂生产并通过合法渠道获得的全新产品;
3.供应商应提供绿盟WEB应用漏洞扫描系统V6.0、绿盟安全配置核查系统 V6.0原厂商五年售后服务承诺书，至少包括以下条款：
硬件保修：自设备验收合格之日起，提供五年的硬件免费保修。
软件升级：自设备验收合格之日起，提供五年的软件免费升级，包括扫描规则库升级、补丁服务包升级、扫描检测引擎升级。
技术服务：免费提供7×8小时在线产品安装实施技术支持。
7×24小时在线升级服务。
支持的形式主要为电话、传真、电子邮件等。
4. 供应商报价应包括购置费、运输费、安装施工费、材料费、税金等设备设施正常运转所需要的全部费用，以及培训、售后服务和技术支持等相关服务的所有费用。
供应商应充分考虑本次采购及实施期间可能发生的一切费用，并承担由此而带来的风险。
凡供应商在报价中未列明但又为本次采购所必备的项目或遗漏项目，采购人将一律视为已包括在其报价中，在执行中
将不予考虑。
5.供货商应对我方在该设备使用过程中遇到的问题予以免费支持，并解决。
107主机漏洞扫描系统标准技术标书-通用部分
通用部分2016年8月本标书对应的专用部分目录主机漏洞扫描系统标准技术标书使用说明1、本物资采购标准技术标书分为标准技术标书通用部分和标准技术标书专用部分。
2、项目单位根据需求选择所需设备的技术标书。
技术标书通用部分条款、专用部分标准技术参数表和使用条件表固化的参数原则上不能更改。
3、项目单位应按实际要求填写“项目需求部分”。
如确实需要改动以下部分，项目单位应填写专用部分“表7项目单位技术差异表”，并加盖该单位物资部门公章，与辅助说明文件随招标计划一起提交至招标文件审查会：①改动通用部分条款及专用部分固化的参数；②项目单位要求值超出标准技术参数值范围；③根据实际使用条件，需要变更污秽等级、海拔高度、耐受地震能力、压力释放能力、环境温度等要求。
经招标文件审查会同意后，对专用部分的修改形成“项目单位技术差异表”，放入专用部分表7中，随招标文件同时发出并视为有效，否则将视为无差异。
4投标人逐项响应技术标书专用部分总“1标准技术参数表”、“2项目需求部分”和“3 投标人响应部分”三部分相应内容。
填写投标人响应部分，应严格按招标文件标准技术标书专用部分的“招标人要求值” 一栏填写相应的投标人响应部分表格，投标人还应对项目需求部分的“项目单位技术差异表”中给出的参数进行响应。
“项目单位技术差异表”与“标准技术参数表”和“设备外部条件表”中参数不同时，以差异表给出的参数为准。
投标人填写技术参数和性能要求响应表时，如有偏差除填写“表8投标人技术偏差表”外，必要时应提供证明参数优于招标人要求的相关试验报告。
5、技术标书范本的页面、标题等均为统一格式，不得随意更改。
目次1、总则 (1)2、应遵循的主要标准 (2)3、使用条件 (2)4、技术要求 (2)5、功能要求 (3)6、试验 (4)7、包装、运输、贮存和质量保证 (6)1、总则Ll.本招标技术文件适用于广西电网主机漏洞扫描系统的功能、性能、安装等方面的技术要求。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
附件1：
广西北部湾银行WAF设备、漏扫设备采购需求及参数
说明：
▲本项目需求表中，凡在“参考品牌”中列出了三个或三个以上参考品牌的货物，若竞标人的竞标产品品牌非列出的参考品牌之一，其竞标无效。
▲带“★”的项为实质性要求和条件，不满足的竞标无效。
安全设备采购需求：
2
-中国人民解放军信息安全产品测评认证中心的《军用信息安全产品
认证证书(军B+级)》，
-国家保密科技测评中心颁发的《涉密信息系统产品检测证书》
并提供上述产品有效证书的复印件。
4.★厂商应具备十年以上漏洞研究经验和独立漏洞发掘能力，自主发
现的CVE漏洞数量不少于60个，须在厂商网站公开且CVE网站可
查证，且获得漏洞厂商在安全公告致谢不少于40次，请提供证明。
5.★请提供与漏洞扫描相关的公开专利，要求数量不少于5个，请提
供证明
二、产品性能
1.产品需使用专门的硬件，有自主知识产权的安全操作系统，采用B/S
设计架构，并采用SSL加密通信方式，无须安装客户端，用户可通
过浏览器远程方便的对产品进行管理。
2.1U机架式设备，1*RJ45串口，1*GE管理口，6个
10M/100M/1000M自适应以太网电口扫描口，1个接口扩展槽位（支持4电、4光、8电、8光）、IP地址扫描数≥1000。
3.★产品应提供三年原厂商售后维护服务，含软硬件维护和系统软件、
规则库升级服务，请详细说明售后服务的内容
4.支持IPv4和IPv6环境的部署和扫描。
5.允许最大并发扫描≥90个IP地址，允许最大并发任务≥15个任务，
支持无限IP授权扫描。
6.开启全插件漏洞扫描、弱口令探测和登陆扫描后扫描速度不低于
1000ip/h。
（不同型号性能参数详见规格功能表）
7.产品应支持多路扫描功能，可以同时对多个隔离业务子网进行扫描。
三、漏洞管理和分析
1.★支持检测的漏洞数大于17000条，兼容
CVE、CNCVE、CNNVD、CNVD、Bugtraq等主流标准，并提供
CVE Compatible证书。
2.产品支持对系统漏洞扫描、web漏洞、配置合规进行检查和综合分
析，可输出同时包含漏洞扫描和配置核查结果的报表，请提供功能
截图。
3.同时支持远程扫描和采用SMB、SSH、RDP、Telnet等协议对
Windows、Linux等系统进行登录扫描。
4.产品应支持通过多种维度对漏洞进行检索，包括：CVE
ID、BUGTRAQ ID、CNCVE ID、CNVD ID、CNNVD ID、MS编号、风险等级、漏洞名称、是否使用危险插件、漏洞发布日期等信息。
5.★提供高级漏洞模板过滤器，支持将符合筛选条件的漏洞自动加入
到自定义漏洞模板中，及后续插件升级包中的漏洞也可以自动加入
到模板中。
6.★内置不同的漏洞模板针对Unix、Windows操作系统、网络设备和
防火墙等模板，同时支持用户自定义扫描范围和扫描策略；支持自
动模板匹配技术，请提供功能截图。
7.支持扫描国产操作系统、应用及软件的安全漏洞，如红旗、麒麟、
起点操作系统，提供详细漏洞列表。
8.支持针对大数据组件框架的漏洞检测，请提供功能截图。
9.★支持扫描主流虚拟机管理系统的安全漏洞，如：
VMWareESX/ESXi，要求能够扫描大于300条相关漏洞，并提供功
能截图和支持的漏洞列表。
10.支持专门针对DNS服务的安全漏洞检测，包括DNS投毒等漏洞检
测能力；支持“幽灵木马”检测；
11.支持专门针对已有攻击利用代码的漏洞检测，检测用户资产是否存
在可利用的漏洞。
12.支持Oracle、MySQL、MS SQL、DB2、Sybase数据库漏洞检查。
13.支持智能端口挖掘，可以智能发现非默认端口启动的服务。
14.具备单独口令猜测扫描任务，支持多种口令猜测方式，包括利用
SMB、TELNET、FTP、SSH、POP3、TOMCA T、SQL
SERVER、MYSQL、ORACLE、SYBASE、DB2、SNMP等协议进
行口令猜测，允许外挂用户提供的用户名字典、密码字典和用户名
密码组合字典。
15.支持立即执行、定时执行、周期执行扫描任务，自定义的周期时间
可精确至每*月第*个星期*的*点*分。
16.★支持断点续扫，可对已完成的扫描任务中没有被覆盖到的目标重
新下发扫描任务，请提供功能截图
17.支持扫描时间段控制，只在指定时间段内执行任务，未完成任务在
下一时间段自动继续执行。
18.支持复用已有任务配置用于新的扫描任务。
19.支持认证信息管理，可将系统登录信息、配置检查模板进行统一管
理和配置，提供登录信息导入功能，无须每次下任务时进行配置。
20.支持和微软WSUS补丁系统的联动，能够在发给主机管理员的邮件
中附带自动配置WSUS的注册表文件，方便进行自动化的补丁修补。
21.提供通过资产树对资产进行分级管理，支持设备权重设置和可信设
备登记，支持将资产信息批量导入到资产树，可在资产树上直接指
定主机开展扫描任务。
22.可以通过多种维度搜索定位资产和查看资产风险，包括并不限于：
节点或设备名称、资产IP范围、资产管理员、资产操作系统类型、资产风险等级、漏洞名称、开放的端口、资产banner信息等。
23.★支持风险告警和风险闭环处理，可在集中告警平台灵活配置告警
内容、告警方式、告警资产范围等，支持邮件和页面告警，支持单
个或批量修改风险状态，请提供功能截图。
24.支持自定义风险值计算标准配置，可对主机风险等级评定标准和网
络风险等级评定标准进行自定义。
四、风险展示和报表
1.支持通过仪表盘直观展示资产风险值、主机风险等级分布、资产风
险趋势、资产风险分布趋势等内容，并可查看详情。
2.支持在线报表，在线查看展示各节点和主机资产风险分布、漏洞分
布、配置合规和脆弱账号信息，在线查看设备风险详情。
5。