技术中心互联网攻击面管理系统采购项目

寻源单号：****

报名联系人：徐梦旦

发布时间：2026-07-13 11:05:33

报名联系电话（优先联系）：0312-****904

公示截止时间：2026-07-22 17:00:00 标书代写

办公电话：186****9669

项目所在地：**省**市

服务范围-品类：信息安全类软件使用许可

寻源内容

投标主体报名要求

一、技术要求

主要功能要求项：
1. 节点选择：执行任务时支持手动选择扫描节点，便于区分内外网扫描。
2. 周期性任务：支持周期性自动执行扫描任务（如按天、周、月等周期配置）。
3. 增量标注：对周期内新增资产和新增风险等增量信息应有明确标注，便于识别变化。
4. 任务目标分类：任务创建时应支持明确的任务目标选择，例如可分别**"资产收敛任务"和"风险评估任务"，避免各项功能混合不利于执行和管理。
5. 扫描数据管理：可以对企业主体、关键字、域名WHOIS、邮箱域名、证书信息、网站图标、网站标题、网页哈希等扫描数据进行管理，用于扫描任务的基础数据。
6. 资产加黑（排除）机制：支持对指定资产进行加黑/排除操作，加黑后的资产在后续所有扫描、检测、验证等操作中自动忽略。
7. 资产强关联性：资产间应具备强关联性——点击主域应能关联展示其下所有二级及以下资产，每个子域应关联其风险信息和暴露端口/服务等信息。
8. 资产分类管理与筛选：支持用户根据业务场景自定义资产分组（如测试环境、正式环境、XX 部门等），并支持按分组筛选。
9. 资产批量管理：支持多维度筛选条件从全量资产中筛选目标资产，支持批量选择后执行标记、分组、移动等操作。
10. 移动端资产识别：支持APP，小程序，公众号的发现和状态管理。
11. 系统应对每条资产的来源渠道进行明确标注，至少包括系统自动收敛来源（如证书发现、DNS解析、端口扫描、域名爆破等）和手工导入来源（如用户上传CSV/Excel导入）。手工导入时，用户应为本次导入的资产指定来源标签，以便后续区分资产来源并进行追溯管理。
12. 定向漏洞验证：新增 POC 后，可基于已有资产进行快速批量定向验证，无需全面重新扫描。
13. 单漏洞重扫与数据包验证：支持对单个漏洞进行重新扫描验证和数据包查看。
14. 在漏洞详情中需要展示具体的漏洞发现原理和判断依据，包括漏洞命中信息和命中逻辑，请求包和相应包信息。
15. 漏洞和开放端口等数据应具备聚合统计能力，例如按端口类型聚合统计并展示各端口对应的资产数量。
16. 仪表盘或漏洞展示页面应包含关键数据概览—应提供风险趋势可视化图表（如折线图、柱状图），展示周期内（按周/月/季度）资产数量变化、漏洞新增与修复趋势、风险收敛进度等。
17. 漏洞处理状态管理：支持待处理/处理中/已修复/误报/可接受等状态标注，标注误报的资产在后续扫描中当前资产忽略这条风险扫描。
18. 具备智能化弱口令检测，包括但不限于SNMP、RTSP、Socks5、FTP、Telnet、SMB、Netbios、MemCache、MongoDB、Redis、MSSQL、MySQL、PostgreSQL、Oracle、Oracle-Listener、SSH、RDP等17种服务能力。
19. 系统应将资产关联的风险按风险类型进行聚合分类展示，至少包括但不限于"漏洞风险"、"高危应用"、"高危端口"三个维度。每个维度下应展示对应的资产数量和明细，支持点击下查看具体资产列表。
20. 同一类型的风险应按风险名称或风险特征进行聚合，支持展示该风险影响的资产总数及资产列表。例如，扫描发现 10 个域名均存在某一 CVE 漏洞，应统一聚合为"CVE-XX-XX 漏洞（影响 10 个资产）"，而非逐条独立展示。
21. 支持全端口探测；系统内置协议类服务指纹数量不低于1200条，覆盖主流的协议类服务；监控高危端口服务，判断偏移情况，监控的分类维度包括但不限于两高一弱、运维管控、数据库服务、调试服务、代理服务、文件服务等。
22. 资产、风险、漏洞、端口等收敛数据应标注首次发现时间和最后发现时间。
23. 对未能检出服务指纹的结果，标记为未知服务，对三方资产的噪音设定控制阈值，如：仅关注 80/443 端口等。
24. 扫描任务应支持扫描速度调节和运行时段配置，支持在指定时间窗口内执行。
25. 创建扫描任务时，支持按"全部资产"、"指定标签"或"指定分组"等维度选定扫描目标。
26. 支持以手工录入的方式，实现新媒体的录入，维度不限于账号名称、账号id、媒体类型、行业、认证实体等；支持通过调用三方数据源查询、平台API调用等方式实现移动应用的自动发现；支持检测的媒体类型包括但不限于：微信公众号、微信小程序、抖音、微博、快手、头条。
27. 支持自定义字典功能，用户可根据需求上传自定义子域名字典、目录字典等。
28. 支持邮件和钉钉机器人推送漏洞及风险通知。
29. 生成一键邀请其他用户加入空间并按照多用户权限管理：系统应提供基于角色的权限控制机制，具备多租户功能，可根据实际需求创建不同的系统空间或者分组之类，实现部门级数据隔离。
30. 对扫描节点进行管理，可查看当前节点运行状态、节点标识、节点ip、节点版本、系统状态等，能够对节点进行启动服务、停止服务、强制重启、热升级、更新引擎、更新漏洞、更新指纹、编辑标识等操作。
31.系统应提供所有功能的 API 接口，支持与第三方平台集成。

否决项：
1. 支持完全本地化部署：系统须支持在长城指定的服务器环境下独立部署运行，不依赖外部云服务或第三方平台。
2. 扫描器支持多场景部署：扫描器应同时支持公网、本地及公有云部署，满足不同网络环境下的扫描需求。
3. 多节点架构：系统应包含不少于3个扫描节点（如国外节点、国内节点、内网节点），支持按需扩展。
4. 平台依赖：须按照长城所提供的系统镜像环境进行部署。
5. 数据本地化：系统产生的所有数据（资产、风险、漏洞、端口等数据）必须存放在长城自有服务器上，不得任意流动或外传。
6. POC **池：须提供不少于 8000 条 POC 规则,更新频率不低于一周一次。
7.网站指纹能力：系统内置指纹数量不低于5000个，覆盖各类主流web产品指纹；内置AI应用指纹数量不低于50个。同时对网站实体偏移监控：基于攻击队最佳实践标准，监控高危网站页面，判断偏移情况，监控的分类维度包含但不限于管理后台、登录入口等。
8. 威胁情报：须提供最新漏洞威胁情报、黑灰产情报以及暗网威胁情报。对失窃数据进行监控，从中提取业务网站相关账号密码数据，了解系统内账号口令当前泄露情况了；对企业邮箱监控；支持提供邮箱对应的真实姓名、手机号、常用密码等。
9. 漏洞准确率：高危、严重级别漏洞的检出准确率应不低于 90%（≥90%）。漏洞检测质量以指定的测试资产、漏洞样本或双方确认的测试环境为依据。高危、严重级别漏洞的有效检出准确率应不低于90%，有效检出准确率=真实有效漏洞数量/系统检出的高危及严重漏洞总数量。误报、无法复现、无明确判断依据的结果不计为真实有效漏洞。
10. 资产收敛：需满足可收敛公网资产和内网资产。
11. 扫描节点：需满足可自选节点进行任务扫描和节点基础管理能力。
12.用户使用：满足邀请其他用户加入空间或其他简便方式，并对用户进行多租户管理，根据实际需求创建不同的系统空间，为指定的空间进行用户添加、编辑、数据清理、空间删除等操作。

二、投标主体资质要求

****公司成立≥5年，具有独立法人资格，并提供营业执照证明。

三、投标主体业绩要求

要求提供2022年至今≥3例的网络安全领域的**案例，并提供合同证明。

四、投标主体履约担保（履约担保是保障招标人权益、督促中标人履约的措施，其具体要求以招标文件为准。）

五、报名方式

六、意向金

投标意向金：300（大写：人民币叁佰元整）