互联网安防系统第三方测试招标公告（测试单位2023）
互联网安防系统第三方测试竞争性谈判公告
采联国际招标采购集团有限公司受某单位 委托，根据《中华人民共和国政府采购法》等有关规定，现对互联网安防系统第三方测试进行其他招标，欢迎合格的供应商前来投标。
项目名称：互联网安防系统第三方测试
项目编号：2023-JY14-F3096
项目联系方式：
项目联系人：靳先生、张先生
项目联系电话：18302987880、029-86676330
采购单位联系方式：
采购单位：某单位
采购单位地址：/
采购单位联系方式：陕西省西安市未央区红旗路2206号陕西水务大厦7楼707室
代理机构联系方式：
代理机构：采联国际招标采购集团有限公司
代理机构联系人：靳先生、张先生 移动电话： 18302987880、029-86676330 传 真： 029-86676330
代理机构地址： 陕西省西安市未央区红旗路2206号陕西水务大厦7楼707室
一、采购项目内容
我部就以下项目进行国内竞争性谈判采购，采购资金已全部落实，欢迎符合条件的供应商参加谈判。一、项目名称：互联网安防系统第三方测试二、项目编号：2023-JY14-F3096三、项目概况：
序号
服务名称
服务要求
服务地点
交付时间
备注
1
互联网安防系统第三方测试
详见公告附件
北京市海淀区
签定合同后15天内交付成果报告
说明：报价供应商应当对所投包内所有服务内容进行唯一报价，否则视为无效报价。
四、报价供应商资格条件（一）符合《中华人民共和国政府采购法》第二十二条资格条件：1.具有独立承担民事责任的能力；2.具有良好的商业信誉和健全的财务会计制度；3.具有履行合同所必需的设备和专业技术能力；4.有依法缴纳税收和社会保障资金的良好记录；5.参加政府采购活动前3年内，在经营活动中没有重大违法记录；6.法律、行政法规规定的其他条件。（二）国有企业；事业单位；军队单位；成立3年以上的非外资独资企业或控股企业。（三）单位负责人为同一人或存在直接控股或管理关系的不同供应商，不得同时参加同一包的采购活动。生产场经营地址或注册登记地址为同一地址的不同生产型企业，股东和管理人员（法定代表人、董事或监事）之间存在近亲属或相互占股等关联关系的不同非国有销售型企业，也不得同时参加同一包的采购活动。近亲属指夫妻、直系血亲、三代以内旁系血亲或近姻亲关系。（四）未被中国政府采购网（www.ccgp.gov.cn）列入政府采购严重违法失信行为记录名单，未在军队采购网（www.plap.mil.cn）军队采购暂停名单处罚范围内或军队采购失信名单禁入处罚期和处罚范围内，以及未被“信用中国”（www.creditchina.gov.cn）列入严重失信主体名单或国家企业信用信息公示系统（www.gsxt.gov.cn）列入严重违法失信名单（处罚期内）。（五）本项目特定资格：投标供应商需具有有效期内的武器装备科研生产三级资质及以上资质或涉密信息系统集成乙级以上资质。（六）报价企业应当具备服务履约的能力，在履约环节不得转包和违法分包，一经发现存在转包和违法分包行为，转包和违法分包的相关企业均将受到相关处罚。五、谈判文件申领时间、地点、方式（一）申领时间：2023年10月10日至10月16日，每日上午8:30至12:00，下午14:00至18:00。（二）申领地点：陕西省西安市未央区红旗路2206号陕西水务大厦7楼707室。（三）申领谈判文件时需提供以下材料：1.营业执照或事业单位法人证书复印件加盖公章(军队单位不需要提供)；2.法定代表人资格证明书原件；3.法定代表人授权书原件，授权代表身份证和授权代表在报价前4个月内（不含报价当月）连续3个月由报价供应商缴纳社保证明材料的复印件；4.非外资独资企业或控股企业的书面声明（事业单位、军队单位不需要提供）；5.报价供应商主要股东或出资人信息；6.未被列入本公告第四条第（四）项明确的违法失信名单的承诺书；（四）申领方式1.现场办理：符合资格的供应商应指定专人携带申领招标文件时需提供资料1份（按顺序排列，须加盖公章）在发售时间内送达至发售地点，由我司工作人员审核通过后予以发放招标文件；2.线上办理：供应商可登录https://qy.choicelink.cn:8301/clLogin搜索本项目，点击“公告详细”进入公告页面，点击右上角“获取文件”进行信息登记后打印《采购文件领购登记表》，将《采购文件领购登记表》和上述资料1份（须加盖公章），按顺序彩色扫描后上传至系统（原件于开评标当天交于工作人员或邮寄至我司），由我司工作人员审核通过后予以发放招标文件。（五）谈判文件售价：200元/份，售后不退。六、报价开始和截止时间及地点、方式（一）报价开始时间：2023年10月20日14时30分。（二）报价截止时间：2023年10月20日15时00分。（三）报价地点：陕西省西安市未央区红旗路2206号陕西水务大厦7楼707室。（四）报价方式：由报价供应商法定代表人或授权代表现场提交报价文件，不接受邮寄等其他方式。七、谈判时间、地点（一）谈判时间：2023年10月20日15时00分。（二）谈判地点：陕西省西安市未央区红旗路2206号陕西水务大厦7楼707室。。八、本采购项目相关信息在《军队采购网》（www.plap.mil.cn）、《中国政府采购网》（www.ccgp.gov.cn）上发布。九、采购机构联系方式联 系 人：靳先生、张先生移动电话： 18302987880、029-86676330传 真： 029-86676330地 址：陕西省西安市未央区红旗路2206号陕西水务大厦7楼707室十、监督部门联系方式项目监督人： 田先生办公电话： 029-84658315
二、开标时间：2023年10月20日 15:00
三、其它补充事宜
四、预算金额：
预算金额：30.000000 万元（人民币）
公告概要：
公告信息：
采购项目名称
互联网安防系统第三方测试
品目
货物/设备/信息化设备/信息安全设备/其他信息安全设备
采购单位
某单位
行政区域
北京市
公告时间
2023年10月11日 09:42
开标时间
2023年10月20日 15:00
预算金额
￥30.000000万元（人民币）
联系人及联系方式：
项目联系人
靳先生、张先生
项目联系电话
18302987880、029-86676330
采购单位
某单位
采购单位地址
/
采购单位联系方式
陕西省西安市未央区红旗路2206号陕西水务大厦7楼707室
代理机构名称
采联国际招标采购集团有限公司
代理机构地址
陕西省西安市未央区红旗路2206号陕西水务大厦7楼707室
代理机构联系方式
靳先生、张先生 移动电话： 18302987880、029-86676330 传 真： 029-86676330
附件：
附件1
第三方测试方案.rar
文档密级：非密项目名称互联网安防系统第三方测试文档名称测试方案xx中心二〇二三年七月互联网安防系统第三方测试《测试方案》编 写：（签名及日期）校 对：（签名及日期）会 签：（签名及日期）审 核：（签名及日期）批 准：（签名及日期）目录一、概述11背景12测试依据1二、测试方案11测试目标12测试内容12.1渗透测试12.2基线核查22.2.1软件系统核查22.2.2网络设备及安全设备硬件核查22.3网络信息搜集22.4手动验证22.5脚本测试22.6代码层安全测试32.7应用层安全测试42.8系统层安全测试52.9测试整改和安全加固验证62.9.1设备层面加固62.9.2系统层面加固72.9.3应用层面加固82.9.4加固及验证流程83测试方式84测试成果9三、安全性约束9四、测试方相关要求9五、工作计划91.一、概述1背景根据相关部署安排，拟在对xx中心互联网安防系统进行第三方测试，摸清网络安全防护能力底数。本方案是xx中心开展安防系统第三方测试的主要依据，对具体测试目的、测试内容等内容进行规范。2测试依据1.《信息安全技术安全漏洞等级划分指南》（GB/T30279-2013）2.《信息安全技术信息安全风险评估实施指南》（GB/T31509-2015）3.《信息技术安全技术信息安全风险管理》（ISO/IEC27005:2018）4.《计算机信息系统安全保护等级划分准则》（GB17859-1999）5.《信息安全技术信息系统安全管理要求》（GB/T20269-2006）6.《信息安全技术信息系统通用安全技术要求》（GB/T20271-2006）7.《信息安全技术网络基础安全技术要求》（GB/T20270-2006）2.二、测试方案1测试目标通过互联网安防系统第三方测试，全面摸清系统能力现状，查找问题漏洞，提高系统稳定性、可靠性，最终形成整体测试报告。2测试内容2.1渗透测试渗透测试需要服务人员通过智能工具扫描与人工测试、分析的手段，以模拟黑客入侵的方式对服务目标系统进行模拟入侵测试，识别服务目标存在的安全风险，在保证整个渗透测试过程都在可以控制和调整的范围之内尽可能的获取目标信息系统的管理权限以及敏感信息。渗透测试是工具扫描和人工评估的重要补充。工具扫描具有很好的效率和速度，但是存在一定的误报率，不能发现高层次、复杂的安全问题；渗透测试需要投入的人力资源较大、对测试者的专业技能要求很高（渗透测试报告的价值直接依赖于测试者的专业技能），但是非常准确，可以发现逻辑性更强、更深层次的弱点。渗透测试内容至少包括：信息收集类、配置管理类（HTTP方法测试、应用中间件测试、信息泄露、异常错误等）、认证类（用户枚举、密码猜解、密码重置、密码策略测试等）、会话类（cookie测试、session会话测试等）、授权类（越权访问、路径遍历、任意文件下载、逻辑缺陷测试等）、数据验证类（SQL注入、跨站脚本、代码注入、URL跳转、文件上传测试等、输入输出校验绕过、数据篡改、端口扫描）、系统应用漏洞（溢出、0day漏洞等）。手段包括：（1）远程渗透测试渗透者完全处于对系统一无所知的状态，通常这类型测试最初的信息获取来自于DNS、Web及各种公开对外的服务器。（2）本地渗透测试通过正常渠道向被测单位取得各种资料，包括网络拓扑、人员资料、甚至网站或其它程序的代码片段。2.2基线核查基线核查是检验信息系统安全措施中的一种检查方式，可以根据基线核查结果充分掌握当前系统的配置隐患和安全风险，减少系统脆弱性、降低面临的风险隐患，为后续进行安全加固提供支撑。测试方通过工具为主、人工结合的方式，对目标系统硬件资产和软件安全策略配置进行科学、全面、彻底的检查。包括但不限于以下核查内容：2.2.1软件系统核查包括操作系统、数据库、中间件、账号和口令管理、异常启动项、认证和授权策略、访问控制、通信协议、日志审核策略、文件系统权限和其他常用服务协议等。2.2.2网络设备及安全设备硬件核查通讯协议、路由协议、日志审核策略、加密管理、网关、交换机、防火墙、其他安全配置等。2.3网络信息搜集信息收集是指在渗透实施前尽可能多地通过使用PINGSweep、DNSSweep、SNMPSweep、Tracert等具体手段对主机存活情况、DNS名、网络链路等信息进行搜集，从而获取目标信息系统如网站注册详情、共享资源、系统版本、已知漏洞及弱口令等信息的攻击方式。2.4手动验证可以通过在浏览器或其它网络工具中手动设置代理IP并访问特定网站，观察是否能够成功访问和获取到有效数据，若无法访问或获取到数据，则说明代理IP无效。包括网络工具验证、网络爬虫验证等手段。2.5脚本测试脚本测试专门针对Web服务器进行。脚本安全弱点是当前Web系统（尤其是包含动态内容的Web系统）存在的主要比较严重的安全弱点之一。利用脚本安全弱点轻则可以获取系统其他目录的访问权限，重则将有可能取得系统的整体控制权限。因此对于含有动态页面的Web系统，脚本测试是必不可少的一个环节。2.6代码层安全测试应用程序及代码在开发过程中，极易使应用系统产生可利用的安全漏洞。一般包括SQL注入漏洞、跨站脚本漏洞、上传漏洞、CSRF跨站请求伪造漏洞等。2.6.1SQL注入漏洞借助自动化工具进行扫描，得到疑似SWL注入点并放到SQLMAP、Pangolin等专有注入工具进行确认。2.6.2跨站脚本漏洞跨站脚本攻击多数时候简称为XSS。是攻击者将恶意代码放入Web动态链接，诱导用户点击读取进而非法获取用户隐私信息、对用户进行挂马攻击的一种攻击方式。常见为存储型XSS、反射型XSS、DOM型XSS。测试包括对HTML、URL进行解码等。2.6.3会话管理漏洞会话管理主要是针对需授权的登录过程的一种管理方式，常见为验证用户密码，通过对敏感用户登录区域的验证，可有效校验系统授权的安全性，测试包含以下部分：2.6.4用户口令易猜解通过对表单认证、HTTP认证等方式的简单口令尝试，以验证存在用户身份校验的登录入口是否存在易猜解的用户名和密码。2.6.5验证码防护验证码是有效防止暴力破解的一种安全机制，通过对各登录入口的检查，以确认是否存在该保护机制。2.6.6管理登录地址易暴露某些管理地址虽无外部链接可介入，但由于采用了容易猜解的地址（如：admin）而导致登录入口暴露，从而给外部恶意用户提供漏洞。2.6.7验证错误信息不恰当某些验证程序返回错误信息过于友好，如：当用户名与密码均错误的时候，验证程序返回“用户名不存在”等类似的信息，攻击者通过对这一信息的判断，并结合HTTPFuzzing等工具便可轻易枚举系统中存在的用户名，从而进行后续破解。2.6.8会话管理主要是针对验证通过之后，服务端程序对已建立的、且经过验证的会话的处理方式是否安全，一般从以下几个角度检测会话管理的安全性：①Session是否随机Session作为验证用户身份信息的一个重要字符串，其随机性是避免外部恶意用户构造Session的一个重要安全保护机制，通过抓包分析Session中随机字符串的长度及其形成规律，可对Session随机性进行验证，以此来确认其安全性。②校验前后Session是否变更通过身份校验的用户所持有的Session应与其在经过身份验证之前所持有的Session不同。③会话储存是否安全会话存储是存储于客户端本地（以cookie的形式存储）还是存储于服务端（以Session的形式存储），同时检测其存储内容是否经过必要的加密，以防止敏感信息泄露。2.6.9不安全的对象引用不安全的对象引用是指程序在调用对象时未对该对象的有效性、安全性进行必要的校验，如：某些下载程序会以文件名作为下载程序的参数传递，而在传递后程序未对该参数的有效性和安全性进行检验，而直接按传递的文件名进行下载，这就可能造成恶意用户通过构造敏感文件名而达成下载服务端敏感文件的目的。2.6.10跨站请求伪造跨站请求伪造通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。与上文XSS的区别是XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。测试方通过使用地址白名单、内网服务开启鉴权等具体手段开展测试。2.6.11代码审计检查源代码中的安全缺陷，检查程序源代码是否存在安全隐患，或有编码不规范的情况，通过自动化工具或者人工审查的方式，对程序源代码逐条进行检查和分析，发现这些源代码缺陷引发的安全漏洞，并提供代码修订措施和建议。包括但不限于以下内容：前后台分离的运行架构、Web服务的目录权限分类、认证会话与应用平台的结合、数据库的配置规范、SQL语句的编写规范、Web服务的权限配置、对抗爬虫引擎的处理措施等。2.7应用层安全测试针对应用系统和数据库系统在开发配置的具体过程中，在应用层存在的安全隐患，主要包括以下几个方面：2.7.1弱口令弱口令通常有以下几种情况：用户名和密码是系统默认、口令长度过短、口令选择与本身特征相关等。系统、应用程序、数据库存在弱口令可以导致入侵者直接得到系统权限、修改盗取数据库中敏感数据、任意篡改页面等。2.7.2敏感信息泄露敏感信息泄露漏洞指泄露有关Web应用系统的信息，例如，用户名、物理路径、目录列表和软件版本。尽管泄露的这些信息可能不重要，然而当这些信息联系到其他漏洞或错误设置时，可能产生严重的后果。例如：某源代码泄露了SQL服务器系统管理员账号和密码，且SQL服务器端口能被攻击者访问，则密码可被攻击者用来登录SQL服务器，从而访问数据或运行系统命令。2.7.3安全配置错误某些HTTP应用程序或第三方插件，在使用过程中由于管理人员或开发人员的疏忽，可能未对这些程序或插件进行必要的安全配置和修改，这就很容易导致敏感信息的泄露。而对于某些第三方插件来说，如果存在安全隐患，更有可能对服务器获得部分控制权限。（4）链接地址重定向重定向就是通过各种的方法将各种网络请求重新定个方向转到其它位置（如：网页重定向、域名的重定向、路由选择的变化也是对数据报文经由路径的一种重定向）。而某些程序在重定向的跳转过程中，对重定向的地址未进行必要的有效性和安全性检查，且该重定向地址又很容易被恶意用户控制和修改，这就可能导致在重定向发生时，用户会被定向至恶意用户事先构造好的页面或其他URL，而导致用户信息受损。2.8系统层安全测试由于服务器系统和网络设备研发生产过程中所固有的安全隐患及系统管理员或网络管理员的疏忽，一般网络层安全漏洞包括弱口令、敏感信息泄露，严重甚至存在系统远程溢出漏洞等安全漏洞。（1）远程溢出漏洞溢出漏洞的产生是由于程序中的某个或某些输入函数（使用者输入参数）对所接收数据的边界验证不严密而造成。根据程序执行中堆栈调用原理，程序对超出边界的部分如果没有经过验证自动去掉，那么超出边界的部分就会覆盖后面的存放程序指针的数据，当执行完上面的代码，程序会自动调用指针所指向地址的命令。根据这个原理，恶意使用者就可以构造出溢出程序。（2）恶意代码恶意代码泛指没有作用却带来危险的代码，其普遍的特征是具有恶意的目的；本身是一个独立的程序，通过执行发生作用。由于应用系统存在可被利用的安全漏洞，可能已被恶意人员植入恶意代码以获取相应权限或用以传播病毒。（3）获取权限对目标信息系统渗透成功，获取目标信息系统普通权限。（4）权限提升当获取目标信息系统普通管理权限后，利用已知提权类漏洞或特殊渗透方式进行本地提权，获取目标系统远程控制权限。为保障信息系统的业务连续性，在渗透测试过程中，第三方测试单位将通过以下措施，有效进行信息系统渗透测试服务的风险规避工作：重要信息备份：对主要信息系统、网络设备等进行数据备份和配置备份。选择合适协调人员：选择熟悉业务系统情况的专业技术人员作为渗透测试的总接口负责人，在实施过程中需要保证业务系统直接维护人员在岗，便于在紧急情况出现时做出判断和协调。时间选择：执行渗透测试工作需要避开接受评估的业务高峰时段，从而减小评估对业务的影响。减缓测试速度：通过减少并发线程来降低被测试系统所承受的压力，在几次测试后得出适中的并发线程后进行测试。危险操作提前知会：凡执行危险操作，需要在操作前与相关负责人员进行沟通，在得到确认后才能进行。2.9测试整改和安全加固验证第三方测试单位根据本项目各阶段对目标网站或防护系统的安全评估和人工渗透测试的结果，针对所发现的安全漏洞及风险，提出可操作性强、效果佳的点对点整改建议和整体性安全修补建议，对目标安防系统暴露出的安全问题进行整改及安全加固验证。2.9.1设备层面加固升级最新系统路由器类网络设备一般都提供给用户升级其操作系统的接口。旧的操作系统可能存在一些安全漏洞和应用BUG，如果不升级将可能导致性能低下，或者因为遭受攻击而拒绝服务，甚至被攻击者获得其配置文件、获得其管理权限，从而进一步威胁到网络内部的安全。（1）设置普通密码通常路由器类设备都提供一个普通远程登录或从CONSOLE上登录，对其进行配置管理的接口。设置一个普通登录密码，是保护路由器本身安全的最基本的配置。（2）设置超级密码路由器超级用户的密码必须设置复杂，并定期更换；超级密码必须加密码存储在配置中；路由器设备必须选用支持配置文件密码加密存储的设备。（3）设置访问控制列表当设备CPU、内存占用很小，网络流量也不大时，可以设置10条以内的访问控制列表，一般路由器都能支持设置访问控制列表。（4）使用安全登录使用加密的远程登录方式或其它的安全登录方式。可以使用集中认证，可以使用一次性密码认证，也可以使用SSH等方式。（5）其它访问控制配置通常需要对边界路由器设置访问控制列表，防止一些伪造的IP攻击包在网络中流入或流出此路由器，当所有边界路由器做了此设置，能很快定位一个网络中受到DoS攻击的包来源。（6）关闭不必要服务一般网络设备还提供了一些其它的服务，方便用户进行管理或调试，例如HTTP、TFTP、FINGER等等。可以关闭这些不必要的服务，在需要使用时再打开服务。（7）设置snmpsnmp是简单网络管理协议，使网管系统能远程管理此设备。因为snmp协议本身的缺陷，一般来说如果此网络设备需要很强的安全性，最好关闭snmp的管理，如果一定要使用snmp进行管理时，一定得修改缺省的snmp的communitystring，不能使用public、private、以及公司名称或部门名称等相关的字符串。（8）配置日志如果对网络流量影响无特别要求，而对安全需求更强，可以考虑设置对网络设备的特殊事件记录日志，日志可以通过syslog记录到其它的日志服务器。2.9.2系统层面加固系统加固主要考虑如下方面：（1）补丁从厂家网站或者可信任站点下载操作系统的补丁包，不同的操作系统版本以及运行不同的服务，都可能造成需要安装的补丁包不同，所以必须选择适合本机的补丁包安装。一般必需安装的是安全补丁和紧急补丁，应用程序的补丁为可选安装。（2）文件系统系统的权限配置项目繁多，要求也很严格，不适当的配置可能造成用户非法取得操作系统超级用户的控制权，从而完全控制操作系统。对文件系统进行修补加固包括选用文件系统类型，设置对文件系统中文件的访问权限，对文件系统资源的使用量的限制，根据用户定制不同策略等多个方面。（3）账号管理账号口令是从网络访问UNIX系统的基本认证方式，很多系统被入侵都是因为账号管理不善，设置超级用户密码强度，密码的缺省配置策略问题(例如：密码长度，密码更换时间，账号所在组，账号锁定等多方面)。有些系统可以配置使用更强的加密算法，和密码账号管理方式。如果有必要，也可以使用一次性登录密码管理等。对账号进行最小授权，例如不允许登录、不提供登录SHELL等。对于不使用的账号进行删除。（4）网络及服务系统有很多缺省打开的服务，这些服务都可能泄露本机信息，或存在未被发现的安全漏洞，关闭不必要的服务，能尽量降低被入侵的可能性。点号删除例如r系列服务和rpc的rstatd都出过不止一次远程安全漏洞。UNIX缺省的网络配置参数也不尽合理，例如TCP序列号随机强度，对DDoS攻击的抵抗能力等，合理配置网络参数,能优化操作系统性能，提高安全性。（5）应用软件建议操作系统安装最小软件包，例如不安装开发包，不安装不必要的库，不安装编绎器等，但很多情况下必须安装一些软件包。APACHE或NETSCAPEENTERPRISESERVER是一般UNIX首选的WEB服务器，其配置本身就是一项独立的服务，邮件和域名服务等都需要进行合理的配置。（6）审计、日志做好系统的审计和日志工作，对于事后取证追查，帮助发现问题，都能提供很多必要信息。例如：打开账号审计功能，记录所有用户执行过的命令；实现日志集中管理，避免被入侵主机日志被删除等。2.9.3应用层面加固数据库系统的加固与实际应用联系相当紧密，这里列举出安全加固的通用原则。通常数据库系统包括ORACLE、SYBASE、SQLSERVER、MYSQL等。（1）只安装必要的软件包；（2）对某些缺省的用户账号设置为锁定和过期；（3）改变缺少的用户密码；（4）启用数据字典保护；（5）安全最小权限原则；（6）有效设置强制性访问控制；（7）限制网络访问；（8）应用所有的安全补丁和工作环境。Web系统加固主要针对以下威胁：（1）脚本漏洞；（2）恶意代码；（3）网络病毒；（4）数据源非法入侵；（5）非法程序上传。2.9.4加固及验证流程（1）信息收集加固之前收集所有应用和服务软件等系统信息和业务需求，做好加固前预备工作。（2）系统备份系统加固之前，建议先对系统做完全备份。加固过程可能存在任何不可遇见的风险，当加固失败时，可以恢复到加固前状态。（3）系统协助加固安全工程师将按照加固列表，逐项协助完成整改。（4）应急恢复当出现不可预料的后果时，使用备份恢复系统提供服务，分析原因，解决问题。3测试方式第三方测试单位派遣多名具有多年安全服务经验的工程师，采用远程及现场的方式，对被测系统进行模拟攻击测试。4测试成果第三方测试单位在完成所有测试服务后，形成《互联网安防系统第三方测试报告》。3.三、安全性约束（1）测试方需具备三级保密资质或涉密乙级资质等相关保密资质；（2）严禁浏览、复制在测试过程中可能接触到的被测方系统内的其他涉密内容；（3）在整体测试结束后，清除相关测试痕迹，并恢复被测系统原有状态；（4）对在测试过程中可能出现的故障问题，测试方要做好故障应急处置预案；（5）测试方人员应具备严格遵守甲方相关密要求；（6）方案解释权由甲方负责。4.四、测试方相关要求测试工程师技术能力、资格证书、学历水平、从业经验等要求如下：（1）项目负责人具备CISSP、CISP-PTE、PMP等证书，5年以上安防工作经验等。（2）测试实施人员具备OSCP、CISP-PTE等证书及安防工作相关从业经验。5.五、工作计划（1）开始驻场测试，T0+2天内；（2）完成第三方测试、系统加固验证等工作，T0+8天；（3）完成测试报告，T0+15天。T0为合同签订日期。
投标 / 标书制作要点（原创）
本互联网安防系统第三方测试涉及「招标公告」，投标方需重点关注：① 营业执照经营范围须含招标公告或对应服务类目；② 提供同类项目业绩证明；③ 报价方案与售后响应须明确；④ 紧盯投标截止与开标节点，建议提前完成标书制作与盖章。当地项目常要求本地化服务能力与快速响应，务必在投标文件中凸显。
标书制作联系冯经理：17551026086
