2025年绍兴市总工会网络安全服务方案

序号	服务名称	主要技术及规格要求	数量	提供资料
1	办公网络主机漏洞扫描服务	1、服务描述：

该服务提供对各类系统的安全漏洞发现能力，客观分析安全风险等级，并根据检测结果和危害分析，适度修复安全漏洞和系统中的错误设置，在黑客攻击前开展防范措施，提高黑客的攻击成本，拉长黑客的攻击周期。

2、服务内容：

对办公网络开展主机“三高一弱”扫描检测，出具扫描报告并修复。	2次/年	漏扫报告
2	渗透测试服务	1、服务描述：在签订保密协议的前提下，服务商运用黑客攻击技术对授权目标资产进行模拟攻击，提前发现业务系统资产潜在的安全风险，提供相应的加固方案，并对加固后的系统开展漏洞核验工作。

2、服务内容：通过信息收集、端口扫描、远程溢出、口令猜测、本地溢出、客户端攻击、中间人攻击、web脚本渗透、B/S或C/S应用程序测试等方法开展渗透测试，输出渗透测试报告。

3、检测范围：面向互联网开放的4业务系统。

4、服务方式：远程或现场。

5、服务价值：提升资产安全性和健壮性，防范黑客入侵与信息泄露风险。	2次/年	渗透测试报告
3	安全配置检查服务	服务描述：

安全配置检查服务是一种针对计算机系统、网络设备、服务器和应用程序等信息技术基础设施的服务，旨在评估其安全性配置是否符合最佳实践和安全标准。

服务内容：

1、操作系统安全配置检查:

检查操作系统的安全设置，包括用户帐户和权限管理、密码策略、文件和目录权限、服务配置等。

2、服务器安全配置检查:

检查服务器的安全配置，包括操作系统、Web服务器、数据库服务器等，确保其符合安全最佳实践和标准。	1次/年	检查记录
4	应用系统网络安全24小时云监测服务	服务描述：

网站、系统云监测与防护服务具备漏洞检测、持续监控、攻击防御、事件处置四大核心能力，构建了以安全效果为目标的运营闭环体系。

服务内容：

1、具有云端7*24远程安全专家服务能力，提供7*24小时安全值守和应急响应服务。提供策略优化、配置调整、规则更新、问题处理、技术咨询安全事件通告等常规技术支持服务，实时监测和感知DDOS、持续性攻击、0day攻击等事件，并及时响应和对抗，同时在重大节日、活动期间提供更高级别的安全响应服务。

2、0day漏洞发现能力

3、监测功能：

1）脆弱性监测：

对网站存在的脆弱性进行探查，包括SQL注入漏洞、跨站脚本漏洞、开放服务漏洞、网站第三方应用漏洞0day漏洞等；

2）安全事件监测

对网站被植入暗链等篡改事件进行监测，包括对广告、游戏、博彩、色情、医疗、推广等类型的暗链进行监测；

对网站黑页、挖矿、挂马、webshell、外链进行监测；

3）可用性监测

监测网站服务是否中断或报错、是否存在线路异常；

4）安全监测报告

可根据客户需求定制不同监测时间周期的报告，如安全监测年报、季报、月报、周报等。对网站信息安全运行状况、漏洞情况、安全事件情况进行分析，并提供安全风险修复建议。	1年

7*24小时监测	监测报告
5	网络应急演练服务	1、服务描述：旨在评估和提高市总工会的应急响应能力。通过演练，组织可以发现现有应急响应计划中的不足之处，并采取措施加以改进，从而更好地应对未来的安全威胁，有助于组织在真实的网络安全事件发生时能够迅速、有序地采取行动，最大限度地减少损失。

2、服务内容：设计模拟的情景，包括各种可能发生的网络安全事件（如DDoS攻击、感染勒索软件等）。在方案设计期间，应紧密贴合实际工作场景，如将第三方运维单位纳入到应急演练工作中。

3、演练方式：现场

4、服务价值：

（1）检验预案：通过开展应急演练，查找组织应急预案中存在的问题，进而完善应急预案，提高应急预案的实用性和操作性。

（2）磨合机制：通过开展应急演练，进一步明确单位内部人员的职责任务，理顺工作关系，完善各关联方之间合作流程以及配套应急联动机制。

（3）锻炼队伍：通过开展应急演练，增强演练组织单位、参与单位和人员等对应急预案的熟悉程序，加强配合，提高其应急处置能力。

（4）宣传教育：通过开展应急演练，普及应急知识，不断增强网络安全管理的专业化层度，提高本院全员网络安全风险防范意识。	1次/年	演练方案、报告
6	重保服务	在各类重要时期提供远程重保。	按需（不超过2次）	重保方案、重保工作报告
7	制度完善	协助用户发布或修改具有针对性的网络安全制度、数据安全制度。	按需	制度文件
8	网络安全意识培训服务	旨在通过系统化的现场教学，为工作人员了解网络威胁的多样性和严重性，培养他们在日常工作和生活中遵守安全规范、防范风险的良好习惯，减少由人为失误引起的网络安全事件的发生。	1次/年	培训记录
服务要求：

1、参与竞价单位符合政府采购法第二十二条规定的投标人资格条件，拒绝联合体投标；

2、服务要求列举提供的资料必须全部在报价时提供，否则不予中标确认；

3、本项目的项目成员需具备注册渗透测试工程师（CISP-PTE）证书；

4、服务团队人员均需为竞价单位在职员工，出具为竞价单位在职员工的在职证明。（报价时提供近三月的社保证明并加盖公章）；

5、云监测系统基于云架构，无需用户部署任何软硬件，通过账号可以直接进行管理；

6、为保证网络安全事件应急处置的时效性，和售后服务的质量，安全服务公司需承诺在10分钟内响应、2小时内抵达用户现场。（报价时提供响应承诺函附上公司营业执照复印件并加盖公章）。

付款方式：

付款方式：合同签订后一个月内付款50%，余款在除云监测外项目完成后2025年11月底前结清。