大庆市房产管理局房产信息安全等级保护系统采购A中标公告
作者： 发布于：2016-11-30 08:31:00 来源：中国政府采购网
大庆市房产管理局房产信息安全等级保护系统采购A中标公示
| 项目名称 | 大庆市房产管理局房产信息安全等级保护系统采购A |
|---|---|
| 项目编号 | DZC20160948 |
| 标段名称 | 房产信息安全等级保护系统采购 |
| 开标日期 | 2016-11-22 14:00:00 |
| 开标地点 | 开标一室 |
| 采购人 | 大庆市房产管理局 |
| 采购集中机构 | 大庆市公共资源交易中心 |
| 评标专家 | 辛德彦 刘超 冯惠妍 |
中标供应商 | |||
|---|---|---|---|
| 供应商名称 | 中标价格 | 联系人 | 联系电话 |
| 黑龙江易方达科技开发有限公司 | 259000 | 张庆龙 | 18845019777 |
黑龙江易方达科技开发有限公司主要中标信息 | |||
|---|---|---|---|
| 名称 | 规格型号 | 数量 | 单价(元) |
| 等保测评服务 | 2级 概述 1、服务概述：提供测评的信息系统共2个，系统安全等级保护级别均为2级, 服务要点： 提交《信息系统安全等级测评报告》； 人员培训； 信息安全顾问。 2、将依据标准政策体系： （1）《关于信息安全等级保护工作的实施意见》（公通字【2004】66号。 （2）《信息安全等级保护管理办法》（公通字【2007】43号）。 （3）《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安【2009】429号）。 （4）《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安【2010】303号）。 3、依据标准体系： （1）GB17859-1999计算机信息系统安全保护等级划分标准。 （2）GBT20270-2006信息安全技术网络基础安全技术要求。 （3）GBT20271-2006信息安全技术信息系统通用安全技术要求。 （4）GBT20272-2006信息安全技术操作系统安全技术要求。 （5）GBT20273-2006信息安全技术数据库管理系统安全技术要求。 （6）GBT20269-2006信息安全技术信息系统安全管理要求。 （7）GBT20282-2006信息安全技术信息系统安全工程管理要求。 （8）GBT22239-2008《信息安全技术信息系统安全等级保护基本要求》 二、服务要求 1）根据《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评要求》、《信息系统安全等级保护实施指南》、《中华人民共和国信息安全等级保护管理办法》，对采购单位的2个二级信息系统进行等级保护测评。并分别出具2个二级信息系统的《信息系统安全等级测评报告》。 2）服务:（1）培训：信息安全等级保护测评项目实施完成后，测评机构为用户提供2次信息安全技术培训。（2）信息安全顾问：安排一名信息安全等级测评师（高级测评师）作为用户单位常年的信息安全顾问，协助规划整体信息安全建设和信息安全策略，参与安全规划和安全评审等。在用户单位发生改造或新建系统时提供改造方案或建设方案、以及安全防护方案。对系统的总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的合理性和正确性进行论证和审定。 三、其它测评要求 （一）测评依据根据《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评要求》、《信息系统安全等级保护测评过程指南》、《中华人民共和国信息安全等级保护管理办法》等相关政策和技术标准，对我单位信息系统进行信息安全等级保护测评。 （二）测评服务要求: 1.在确保信息系统正常运行的前提下，根据国家信息安全等级保护相关标准对各信息系统进行测评。测评工作需由我方安排高级测评师进行前期信息系统的调研，并编写测评方案，测评完成后，根据测评结果编写并向用户单位提交《信息系统安全等级测评报告》。 2.我方将安排测评人员具有项目测评经验，可有效保障测评安全，及时有效处理测评中出现的问题。 3．测评项目组由张占更、周龙彧两名测评师组成 （三）测评机构能力要求: 1.测评机构能够把握和理解国家对该类项目的具体要求，对等级保护政策标准本身有较深的认识。 2.测评机构具有 “信息系统安全等级保护协调小组办公室”颁发的《信息安全等级保护测评机构推荐证书》。 3.测评机构应具有完善的工作流程，有计划、按步骤地开展测评工作，保证测评活动的每个环节都得到有效的控制。 4.为维护用户单位的利益，测评机构在实际测评工作中对用户单位的系统、信息、数据等敏感信息有保密义务，进场时签订保密协议。 5.测评机构应将完善的项目管理，包括制定项目汇报的体系、项目问题管理体系等。 6.测评机构将完善的应急体系，保证在整个项目过程中不影响用户单位信息系统的正常运行。 7.测评机构将以良好的质量控制的能力和质量管理体系，以保证测评工作的客观、公正、安全。 8.测评机构在等级保护项目中必须提交直属地公安部规定格式的《信息系统安全等级测评报告》（2015版）并将协助完成相关备案手续。 四、其它要求 1、我方将提供完全满足采购需求的服务。 2、我方将承担项目中所需要的各类费用，负责办理与本项目在直属地相关部门的各类手续。 3、报价中包括以上全部费用。 4、测评后出具直属地公安机关部要求的系统安全保护等级测评报告与备案证明。 | 1 | 100000 |
| 数据库审计系统 | IFC DBA600-S 1.软硬件一体化产品； 2.采用标准机架式硬件和专用的安全操作系统； 3.同时支持IPv4和IPv6环境，能够满足IPv6环境下的安全审计需求采用旁路部署方式，对原有网络不造成影响； 4.支持多级部署方式，便于用户统一管理分支机构审计设备，统一下发策略、收集告警日志； 5.支持数据中心和审计引擎的分布式部署； 6.支持数据库自身日志审计；支持在目标数据库安装agent解决虚拟化环境中内部流量无法镜像数据库的审计；B/S架构，采用HTTPS方式远程安全管理；6个100/1000M自适应以太网口；支持千兆电口/千兆光口/万兆光口扩展32个；能按实际需求随时扩展。系统自带内部存储空间，存储空间4T； 7.可配置磁盘预警及历史数据转存，保证审计数据的完整性； 8.支持连接外置存储，以扩展日志存储能力；支持备份的数据以USB和FTP的格式进行还原； 9.支持不同版本之间的数据还原； 10.支持不同时间段的数据还原；最大支持数据库吞吐量6G最大事务处理数60000条/S；支持对Oracle、Informix、DB2、SQL Server、Sybase、MySQL、PostgreSQL主流数据库的审计； 11.支持Cache数据库,并支持Cache数据库的Global访问方式和Object访问方式审计； 12.支持对人大金仓、达梦等国产数据库的审计；支持数据库审计，告警，数据库弱口令扫描，数据库健康扫描，数据库安全扫描，数据库优化分析；支持20个实例的Oracle数据库、10个实例的MySQL数据库以及10个实例的MSSQL数据库产品自身有全面的操作日志，管理员不可以对自审计日志做修改、删除； 13.产品自身不允许开放高危服务端口，如Telnet(23)； 14.系统自身不存在中级和高危级别的漏洞； 15.支持采用web强证书认证方式限制客户端登录,无合法证书的客户端无法访问系统登录界面；产品支持按一定的周期强制修改密码；支持锁定当前会话功能提供设备实时CPU、内存、硬盘占用率、会话数、系统时间、网络接口及各接口流量走势； 16.提供设备存储空间的展示； 17.提供设备存储空间使用评估、预警 18.提供当前在线用户信息； 19.支持系统数据库主机/用户名/密码/数据库名/端口等信息配置；支持用户自动搜索； 20.支持添加、修改、删除用户； 21.支持用户分组功能；支持对用户进行部门分组管理；支持添加、修改、删除管理员；支持管理员角色权限分配功能； 22.支持管理员分配角色功能； 23.支持管理员分组功能； 24.支持修改管理员激活状态、设置激活有效期设置； 25.支持管理员并发设置； 26.支持管理员密码找回功能； 27.支持人员运维权限管理；支持本地密码认证、动态口令认证、Radius认证、AD域认证、LDAP认证、双因素认证方式等多种认证方式登录 28.支持自定义启用或停用验证码登录功能 29.支持IP限制登录设备，可自定义禁止/允许IP登录支持内置动态口令认证、Radius认证、AD域认证等认证系统，从而实现用户口令由静态密码和动态密码、静态密码和Radius认证、静态口令和AD域认证、静态口令和LDAP认证、动态口令和Radius认证、动态口令和AD域认证、动态口令和LDAP认证以及混合认证等多种认证方式混合组成，同时也可以向网络里的其他设备提供动态口令认证服务支持添加、修改、删除数据库功能； 30.支持自动发现与手动添加数据库功能； 31.支持对定时发现的数据库以邮件、短信、Syslog等方式提醒； 32.支持数据库分组功能； 33.支持修改数据库审计激活状态功能； 34.支持设置数据库服务器运维功能； 35.支持开启服务器状态监控功能；支持设置时间策略对象，支持绝对时间与周期时间的设定； 36.支持设置会话策略对象，支持设置登录名称、登录状态、告警级别、告警方式等功能； 37.支持设置内容策略对象，支持设置操作指令、操作数据库名、操作表名、操作字段、告警级别、告警方式、是否阻断等功能； 38.支持设置回显策略对象，支持设置操作数据库名、操作表名、操作字段、是否告警、告警级别、结果集包含、敏感信息屏蔽以及多种的告警方式功能； 39.支持支持一键启停审计策略； 40.支持审计... | 1 | 79000 |
| WEB应用防护系统 | IFC WAF 500E 1.接口：4个千兆电口；可扩展到18个千兆电口（可选光口）；工作模式：旁路模式、在线模式、透明桥模式；支持高可用性、支持故障bypass 2.http协议吞吐量：2.2Gbps 3.可防护IP数量：IP地址无限制 4.支持在线透明桥接方式，支持bypass，保证业务流量正常通过。WAF设备的部署无需变更任何网络架构，不会对现有应用系统有任何影响（包括IP地址、DNS、域名、负载均衡器、Web页面、客户请求代理等等） 5.动态建模: 在WAF系统安全性保护的核心功能是动态模型的构建。动态模型自动监测当前流量行为，创建完整的应用结构和动态的模型。合法的系统应用变化自动被识别，并增加到模型中。 6.WAF系统应该采用动态评估技术创建合法用户对Web和Web服务应用的行为的安全模型。通过安全模型和实际网络应用行的比较，WAF系统可以监测到所有的恶意的行为企图。 7.Web网站和数据库是动态的，会定期发生变化。这是由于竞争环境驱使业务内容不断发展，导致开发者持续更新源代码和内容。自动特征更新功能确保特征始终是最新的，即使网站的部分内容和代码以及访问方式发生了变化，WAF应该具有自动更新的功能可以自动更新访问特征来反映应用系统的最新变化，从而节约管理员的宝贵时间，不用手动更新访问特征和模型。保证系统有自适应的能力。 8.部署在桥接模式下的话，2个或者多个WAF网关使用高可用性协议可以提供不到一秒的恢复。 9.具备故障短接的功能，在线故障短接网络接口确保了软件、硬件或者电源在出现故障时的可用性。 10.WAF设备可以进行独立部署，包括所有的管理和报表功能。 11.对于更大的网络环境，包括多台WAF分布部署的情况，本次的应用安全系统应该具有管理服务器，用于提供集中管理功能，其中包括模型管理、状态监控、报警、日志和报表功能WAF支持以下协议：HTTP,HTTPS,XML,SOAPWAF可以抵御的攻击及非法行为：Web、HTTP和XML应用攻击；SQL注入；会话劫持；跨站脚本（XSS）；篡改表格字段；已知BUG；“第零日病毒”；缓冲器溢出；cookie布毒；拒绝服务；恶意机器人；参数篡改；强制登陆；恶意编码；目录游走；Web服务器和操作系统攻击；漏洞扫描；命令注入；非法编码；非法窃取；数据盗窃；数据泄漏；间谍软件；网络钓鱼；网页篡改； 12.WAF应具有专门针对Web服务的IPS功能。对已知的攻击和“第零日蠕虫”的提供保护。这些攻击通常针对WEB服务器、应用服务器和操作系统软件的弱点（例如，IIS、Apache和Windows 2000）。WAF的“第零日蠕虫”自动评估技术可自动识别尚未定义特征的攻击。 WAF系统同时提供多协议的Snort已经CVE兼容的特征库。 13.WAF厂家应该能够持续更新各种特征代码达到8500条以上，保证能够抵御最新出现的攻击方式和行为。WAF系统每周一次提供定时更新服务，确保安全保护的时效性。并且特征代码的更新应该是平滑而且不需要设备重新启动，或者重启服务。 14.WAF集成的网络防火墙用于防范未授权用户、危险的协议、通常的网络层攻击以及蠕虫感染。访问控制策略支持协议/IP地址组合的控制列表，以避免数据中心暴露给不必要的用户，或者限制危险的协议，例如Telnet、pcAnywhere或者是SQL。 15.WAF具备对HTTP协议的合规性检查和防护的功能。可以通过分析收到的HTTP请求，通过协议合规性分析，找出和HTTP协议规定的标准所不符合的HTTP访问 16.WAF包括了动态的正向（白名单）和反向（黑名单）安全模式。即时攻击有效验证(IAV)立刻根据两种模式中的一种验证和阻止所有已知的违规行为。对于不明显的复杂攻击，具有关联攻击验证(CAV)的技术把多层次的违规记录关联起来，事后从合法用户访问行为中分离出来。CAV技术能够把来自WAF系统中所有安全记录的相关信息关联起来，得到独立安全产品无法达到的准确程度。 17.检测到 HTTP请求违反设定的规则时，WAF应该执行以下操作：生成警报、阻止连接 18.在特定时段内阻止会话、应用程序用户或源 IP 地址丰富的后续动作集：可以在某一安全策略违法后，除了执行即时的阻断动作外，还应具有发出Syslog、SNMP Trap、Email等后续动作，可以灵活的定义某一安全策略采用某一特定的后续动作。 19.针对HTTP的请求和响应，可以设定关键字过滤策略，过滤的关键字的规则数量是10000个。 20.提供攻击日志汇聚功能，可将同一个攻击事件的多个攻击日志自动汇聚在一个告警信息中，方便用户查看和调查 21.虚拟补丁功能：可以和IBM 、HP等厂家的Web漏洞扫描工具进行集成。InforCube WAF可以导入这些厂家的扫描到的用户Web系统的漏洞结果文件，根据这个漏洞结果，直接动态生产安全策略，可以方便快捷的修补这种漏洞。 21.产品具有Web与网站数据库审计系统设备相关连技术，能够在应用程序的更深层次识别用户身份。通过在 Web 相关事件与网站数据库审计系统设备相关事件之间建立关联，产品可以提取相关的 Web 事件属性 22.支持对网站文件实时监控 23.自动恢复被篡改的文件或目录 24.支持断线状态下篡改检测与恢复 25.对网站篡改信息，邮件实时报警 26.提供原厂商首次安装服务，一年免费产品升级和保修服务。在当地设有上讯厂家服务机构以及备品备件库，提供3年原厂工程师现场服务，服务级别：5×9×NBD，2小时响应。 | 1 | 80000 |
| 2016-11-30 |
本网拥有此文版权，若需转载或复制，请注明来源于政府采购信息网，标注作者，并保持文章的完整性。否则，将追究法律责任。
相关新闻
网友评论
由云盾提供安全服务