原创力文档- 1、本文档共42页，可阅读全部内容。
- 2、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。
- 3、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
- 5、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
- 6、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
- 7、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 8、VIP文档为合作方或网友上传，每下载1次， 网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
PAGE
PAGE1
XX医院信息安全服务项目采购需求
一、项目清单
项目
项目名称
设备名称
数量
备注
1
网络安全产品及服务
安全服务1：渗透测试
2次
安全服务2：红队测试
2次
安全服务3：漏洞扫描
2次
安全服务4：外部攻击面管理
4次
安全服务5：重保值守服务
1套
零信任系统
1套
内网探针
1台
上网行为管理
2台
出口边界防火墙
2台
Api网关平台
1套
堡垒机授权扩容
1套
零信任沙箱
1套
云资源服务支撑
1套
防火墙授权续期
2套
2
网络安全驻场集成服务
人员驻场服务
1年
集成服务
1套
二、技术要求
1、安全服务1渗透测试
序号
技术指标
指标要求
1
基本要求
1.1、通过渗透工具模拟黑客攻击手段，以常见的高中危漏洞、安全设备策略防护有效性为主要目标，针对性进行模拟入侵，并对安全风险进行整理，给出详细说明，并针对每一安全漏洞提供相应的解决方法。并结合医院修复情况，协助医院针对修复后的漏洞进行复测验证
1.2、在合同周期内，根据用户时间要求安排2轮次的渗透测试，覆盖用户所有映射公网的业务系统，约115项，每轮次渗透测试均需包含首测和复测，并出具相应的整改报告。
1.2、在合同周期内，采购人零星系统的加测不额外收费。
2
工具要求
2.1、内置不低于750条安全评估场景，至少盖满足9项评估类型，包括不限于边界安全、流量安全、终端安全、主机安全、容器安全、数据安全、邮件安全、威胁情报、综合场景等。支持不少于50条编排场景，不少于80条综合场景，不少于140条APT场景、不少于40条勒索攻击场景。
3
3.1、支持勒索防护专项能力评估，提供勒索活动相关6大评估场景：勒索活动中使用的高危漏洞、勒索组织使用的在野域名解析|URL访问、勒索软件恶意行为模拟、Windows平台勒索软件落盘模拟、Windows平台勒索软件落盘模拟、勒索活动常用恶意钓鱼附件。覆盖勒索组织不少于280，包含但不限于BlackCat、LockBit、Rhysida、Conti、Phobos、REvil等热门勒索组织的攻击模拟活动。包含勒索活动相关用例不少于2800。
4
4.1、支持边界防护能力专项评估，提供以下评估场景：WAF防护能力基线评估、Web常规漏洞攻击、近三年高危漏洞利用、公众应用漏洞利用。公众应用漏洞不少于2800，其中具有CVE号的漏洞不少于1300，Web常规漏洞攻击不少于600（区分对抗和非对抗）。
5
5.1、支持实网重保模拟攻击场景。提供2024实网攻防网络攻击热门漏洞、2023实网攻防网络攻击热门漏洞，实网攻防中常用工具模拟，实网攻防相关用例不少于700例。
6
6.1、支持通过导入主流漏洞扫描器生成的报告，对报告中的漏洞进行自动渗透测试验证。支持的报告包括Nexpose、Nessus、APPSCAN、AWVS、绿盟极光、启明星辰天镜、BurpSuite等。
7
7.1、支持社会工程学类型的渗透测试，可通过邮件或Web钓鱼方式结合客户端漏洞（如office、adobe、java、浏览器漏洞）、文件格式漏洞等测试人员安全意识。
2、安全服务2红队测试
序号
技术类型
指标要求
1
基础要求
1.1、以APT攻击者视角对医院目前现有防御措施进行深度渗透测试，对目标系统、人员、软硬件设备、基础架构，进行多维度、多手段、对抗性模拟攻击，旨在发现可能被入侵的薄弱点，并以此为跳板将攻击渗透结果最大化（包括系统提权、控制业务、获取信息），进而检验现有防御体系的短板。每次红队测试周期不少于7天，攻击队人数不少于3人；
1.2、在合同周期内，根据用户时间要求安排2轮次的红队测试，每轮次红队测试均需出具相应的报告和整改建议。
2
能力要求
2.1、为杜绝演习敏感信息拷贝外泄，支持虚拟终端接入，虚拟终端采用封闭式管理，禁止文件的拷入拷出，并实时监控终端产生的攻击流量和操作记录，采用全程录屏的方式记录终端影像，并集中存储；
2.2、支持对攻击队员使用的虚拟攻击终端录屏采集功能，并随系统目动启动自动开启录屏功能，实现实时采集攻击队伍人员的攻击终端的录屏视频。为测试完成后审计或对测试中发生的违规攻击、保留后门等严重情况取证起到关键作用；
2.3、支持对演习过程中的全流量进行审计，支持对全流量审计日志进行检
索，检索条件包括应用层协议、传输层协议、HTTP请求方法、文件扩展
名、HTTP状态码等；
2.4、支持将攻击方如何成功攻陷攻击目标的攻击路径通过图形化的方式进行清晰的呈现
2.5、支持整场演习的指挥调度功能，供演习总指挥等领导掌控全局情况并下达临场指挥命令；
2.6、支持模拟防守单位网络拓扑结构及被攻击路径，动态展示攻击效果，层层推进描绘实际攻击进度，体现整体攻击过程，包括被攻击资产及已攻破资产均有状态体现
您可能关注的文档
业务以咨询、监理为核心。服务范围覆盖规划咨询、立项咨询、初步设计、项目管理、运维、后评价、监理等信息系统建设的全链条，可为用户提供信息工程领域的全方位专业服务。服务领域主要聚焦在人社、医保、医疗、民政、教育、公安等行业的软件开发、数据中心建设、信息安全、系统集成等方面。 咨询服务主要包括信息化项目总体规划方案的编制、立项申请书的编制、可行性研究报告的编制、项目经济评价报告的编制等。 监理服务包括规划阶段、设计阶段、实施阶段、验收阶段、和运维阶段全流程监理服务。
文档评论（0）