项目名称: 绍兴市政务服务办公室安全服务项目

1.	清单

1.1.	服务清单（2024年度）

序号	服务类别	服务名称	数量	备注
1	等保测评咨询服务	等保测评咨询服务	1次	远程或现场
2	安全评估服务	漏洞评估服务	4次/年	现场
3
渗透测试服务	1次/年	1个系统
4
失陷主机定位服务	1次/年	现场
5
应急演练服务	1次/年	现场
6	日常安全管理	应急响应服务	1年	远程或现场
7
重要时期安全保障服务	按需（不少于1次）	远程或现场
8
安全培训服务	1次/年	现场
9	日常安全加固	协助安全加固服务	1次/年	现场
10	日常工作支持	日常工作支持服务	1年	远程或现场

服务内容

本项目服务对象为绍兴市政务服务办公室重要信息系统，主要包含：绍兴市经济高质量发展产业政务兑现系统、绍兴市大厅智慧化管理系统、绍兴市政务服务智能帮办系统、绍兴市自助终端政务服务系统、行政审批中介服务网等子系统。

2.1	等保测评咨询服务

序号	服务要求	备注
1	服务描述：

对“越快兑”政策兑现系统开展等级保护测评咨询服务。
2	服务内容：

根据“越快兑”政策兑现系统（二级）的现状，对标等保标准，找出差距，提升系统安全防护能力。
3	服务人数：2人，其中服务厂家项目经理必须同时具有高级测评师、信息安全保障人员认证证书(CISAW)、国家重要信息系统保护人员培训证书（CIIPT）、信息安全管理系统审计认证（DNV）、商用密码应用安全性评估人员测评能力证书、渗透测试认证证书（NSCP)（合同签订时提供证书复印件，中标供应商不能提供的做废标处理）。
4	服务方式：远程或现场服务
5	服务对象：“越快兑”政策兑现系统
6	服务频率：1次/年
7	服务输出：《差距分析报告》

2.2	漏洞评估服务

序号	服务要求	备注
1	服务描述：

提供对绍兴市政务服务办公室重要信息系统的安全漏洞检测服务，客观分析安全风险等级，并根据检测结果和危害分析，协助修复安全漏洞和系统中的错误设置，在黑客攻击前开展防范措施，提高黑客的攻击成本，拉长黑客的攻击周期。
2	服务内容：

1）安全漏洞检测：如操作系统、中间件、B/S业务系统、数据库等漏洞；

2）业务逻辑漏洞检测：如后台登录处存在逻辑错误，登陆时没有错误次数限制用户登录，并且没有判断验证码过期，导致验证码可以重复使用，可被爆破用户名密码或撞库；

3）弱口令核查，复用口令核查。
3	服务人数：2人
4	服务方式：现场服务
5	服务对象：绍兴市政务服务办公室重要信息系统
6	服务频率：4次/年
7	服务输出：《漏洞评估报告》
2.3	渗透测试服务

序号	服务要求	备注
1	服务描述：

作为漏洞评估服务的重要补充，更加注重漏洞被利用后对全网造成的影响和损失程度。以黑客视角，实战化演练，采用无害攻击手段，模拟黑客真实的攻击行为，深度检验网络安全防线效果。
2	服务内容：

尝试验证每一个漏洞的真实威胁，同时查清漏洞的成因，做到自主可控可防，测试完成后，提出专业修复建议，协助解决安全问题。渗透测试主要内容如下：

	Windows 系列操作系统渗透测试包括：

1) 端口扫描；2) NetBIOS name service 测试；3) RFC 漏洞攻击；4) SMB 漏洞攻击；5) Windows DNS 测试；6) Snmp 漏洞测试；7) 活动目录测试；8) Sql Server 弱口令测试；9) 系统弱口令测试；10) 终端服务弱口令测试；11) IIS 权限及溢出测试；12) Exchange server 漏洞测试；13) ftp 弱口令测试。

	*nix 系列主机操作系统渗透

SOLARIS、AIX、LINUX、SCO、SGI 等操作系统渗透测试包括:

1) 端口扫描；2) ssh 弱口令测试；3) telnet 弱口令测试；4) Ftp 弱口令测试；5) Samba 弱口令测试；6) RPc 枚举和漏洞测试；7) NFS 漏洞测试；8) Snmp 漏洞测试；9) DNS 漏洞测试；10) rlogin,rsh 漏洞测试。

	数据库系统的测试

对 MS-SQL、ORACLE、MYSQL、DB2 等数据库应用系统渗透测试：

1) 默认账号及弱口令攻击；2) 存储过程漏洞攻击；3) 数据库运行权限探测；4) 提权漏洞攻击；5) 低版本溢出漏洞攻击。

	WEB应用系统渗透

对渗透目标提供的各种应用，如 JSP、PHP 等组成的 WEB 应用渗透测试：

1）检查应用系统架构、防止用户绕过系统直接修改数据库；2）检查身份认证模块，防止非法用户绕过身份认证；3）检查数据库接口模块，防止用户获取系统权限；4）检查文件接口模块，防止用户获取系统文件；5） 检查其他安全威胁。

	网络设备渗透

对防火墙、入侵检测系统、网络设备进行渗透测试：

1) tftp 获取配置攻击；2) 管理界面默认账号密码；3) snmp 读写权限攻击；4) telnet,ssh 默认账号弱口令攻击；5) 低版本溢出漏洞攻击。

	口令猜解

口令猜测也是一种出现概率很高的风险，几乎不需要任何攻击工具，利用一个简单的暴力攻击程序和一个比较完善的字典，就可以猜测口令。

对一个系统账号的猜测通常包括两个方面：首先是对用户名的猜测，其次是对密码的猜测。

	其他方面渗透

除了上述的测试手段外，还会在渗透测试过程中使用的技术：

1) 社会工程学；2) 客户端攻击；3) 拒绝服务攻击；4) 中间人攻击。
3	服务人数：1人
4	服务方式：远程+现场
5	服务对象：系统
6	服务频率：1次/年
7	服务输出：《渗透测试报告》
2.4	失陷主机定位服务

序号	服务要求	备注
1	服务描述：

利用先进的威胁检测工具，结合威胁情报能力，对内网中潜藏的高级威胁（勒索软件、挖矿及特种木马等）实现精准定位，弥补防病毒软件无法对新型蠕虫、免杀木马、特种木马有效识别的问题，结合人工验证，协助开展处置工作。检测内容

1、勒索软件；2、挖矿木马；3、远控木马；4、流氓软件；5、蠕虫病毒；6、APT攻击线索；7、僵尸网络等。
2	服务人数：2人
3	服务方式：现场
4	服务对象：绍兴市政务服务办公室重要信息系统
5	服务频率：1次/年
6	服务输出：《失陷主机定位与分析报告》

2.5应急演练服务

序号	服务要求	备注
1	服务描述：

参演人员根据应急预案，利用流程图、计算机模拟等辅助手段，针对事先假定的演练场景进行模拟应急决策及现场处置，验证应急预案的有效性，促进相关工作人员明确应急预案中的有关职责，掌握应急流程及应急操作，提高指挥决策和各方协同配合能力。
2	服务人数：2人
3	服务方式：桌面推演
4	服务对象：绍兴市政务服务办公室
5	服务频率：1次/年
6	服务输出：《网络安全事件应急演练方案与报告》

2.6	应急响应服务

序号	服务要求	备注
1	服务内容：

在发生确切的网络安全事件时，应急响应实施人员应及时采取行动，限制事件扩散和影响的范围，检查所有受影响的系统，在准确判断安全事件原因的基础上，提出基于安全事件解决方案，追查事件来源，协助后续处置。

应急响应范围包括：

1、突发网络安全设备通信异常；

2、病毒攻击分析、溯源和响应；

3、安全系统升级或网络割接人员保障；

4、网络安全事件相关工作事物。
2	服务人数：2人
3	服务方式：远程+现场
4	服务对象：绍兴市政务服务办公室
5	服务频率：按需响应，一年内不限次数
6	服务输出：《应急响应处置报告》
2.7 重要时期安全保障服务

序号	服务要求	备注
1	服务描述：

重保服务即重要时期安全保障服务，在重要时期为绍兴市政务服务办公室提供现场全天候实时的安全保障。重保服务期间可通过安全监控、攻击验证、攻击排查等工作，进行安全防护和应急处置，提升保障期间对安全事件的防御能力。
2	服务内容：

1）备战阶段：摸清家底。从黑客视角分析可能的攻击路径，以减少风险暴露面、事前防范和加固为主要目的，加强系统健壮性，提升黑客攻击成本。主要工作：互联网未知资产探测、业务资产黑盒测试与加固、全网信息系统（服务器、路由器、交换机、安全系统等）配置核查，策略精细化调优。外联网等其他网络边界的开放服务和策略检查。

2）决战阶段：实时守护。开展异常流量的精准定位和分析，对恶意行为迅速封堵，不给攻击者可乘之机。主要工作：态势感知系统及各类网络安全系统的实时攻击监测和分析、攻击研判和快速响应。

3）战后阶段:复盘总结。结合安全事件，找出潜藏的系统脆弱点，分析攻击者惯用的攻击手法特点，提出精准防护建议，进一步提升系统健壮性，以及积累更多重保活动经验，精准施策，构筑安全堡垒。
3	服务人数：不少于1人
4	服务方式：远程或现场
5	服务对象：绍兴市政务服务办公室
6	时间要求：重大安保活动期间，远程或现场不少于1次，每次不超过5天（按需响应）
7	服务输出：《重要保障时期安全服务方案》、《安全事件分析与处置报告》、《重保工作总结报告》
2.8 安全培训服务

序号	服务要求	备注
1	服务内容：

信息安全讲师为工作人员进行网络安全培训，制定培训策略，输出针对性培训计划，通过课堂演示、案例剖析等多个维度的授课方式，将安全技能有效的传授给员工。培训范围如下：

1）PC终端安全检查及加固知识培训；

2）Windows服务器及linux服务器安全检查及加固知识培训；

3）服务器系统漏洞扫描、网站漏洞扫描及木马病毒清除知识培训。
2	服务人数：1人
3	服务方式：现场
4	服务对象：相关技术人员
5	服务频率：1次/年
6	时间要求：每次不少于45分钟课程
7	服务输出：《网络安全培训课件》

2.9	协助安全加固服务

序号	服务要求	备注
1	服务描述：

对以上服务中识别的漏洞及弱点，结合适度原则，在不影响数据的完整性和可用性、系统的稳定性的前提下，通过补丁、修补高危漏洞、安全配置增强、系统架构和安全策略调整等方式,在软件开发商等相关单位的大力配合下，共同完成风险整改加固工作，提高系统的安全性和抗攻击能力。
2	服务人数：2人
3	服务方式：现场
4	服务对象：绍兴市政务服务办公室重要信息系统
5	服务频率：1次/年
6	服务输出：《安全加固确认书》、《安全加固报告》

2.10	日常工作支持服务

1.协助制定安全规范、制度标准等。
2.提供 7*24小时紧急服务。
3.提供安全运维月报。

3	服务期限

服务期限为合同签订之日起一年。