中国农业发展银行安全效用评估服务项目潜在供应商…

公告正文

当前为公开预览，相关单位、金额及个人联系信息已脱敏。

中国农业发展银行安全效用评估服务项目

潜在供应商征集公告

登录查看受中国农业发展银行的委托，现对中国农业发展银行安全效用评估服务项目市场调研阶段进行潜在供应商征集，具体内容如下：

一、采购单位

中国农业发展银行

二、采购项目名称

中国农业发展银行安全效用评估服务项目

三、采购内容

详见附件

四、潜在供应商要求

1.中华人民共和国境内合法注册的独立法人，具有独立承担民事责任的能力；

2.具有良好的商业信誉和健全的财务会计制度；

3.近三年内，在经营活动中没有因违法经营受到刑事处罚或者责令停产停业、吊销许可证或者执照、较大数额（登录查看及以上）罚款等行政处罚；

4.未被“信用中国”网站列入失信被执行人和重大税收违法失信主体、未被“中国政府采购网”网站列入政府采购严重违法失信行为记录名单；

5.报名材料递交。本项目仅接受邮件递交电子报名材料，电子报名材料一份。

递交时间：2026年9月28日-2026年10月13日17:00

递交方式：邮件发送电子版报名文件

报名邮箱：登录查看

五、递交材料：

1.营业执照（扫描件）；

2.上述“四、潜在供应商要求”及附件“需求说明”要求的相关资质证明材料；

3.供应商认为有必要提供的其他材料；

4.代表供应商参与本项目的联系人、联系电话、单位邮箱，以及公司授权说明文件、授权人身份证明复印件等材料；

以上材料均需加盖单位公章。

注：

（1）以上报名材料均须加盖单位公章，形成一份完整的电子版文档（PDF格式）。

（2）以上报名材料发送邮件时须注明报名项目名称。

（3）采购人接收报名并不表示接收供应商参与本次项目后续采购等工作，且采购人有权对供应商征集结果不做任何说明。

本项目其余相关信息均在“中国招标投标公共服务平台”、“中国采购与招标网”、“金采网”、“登录查看官网”媒体上发布。

代理公司联系人及电话

代理机构：登录查看

地址：北京市海淀区海淀大街8号中钢国际广场

项目联系人：登录查看

电话：登录查看

电子邮箱：登录查看

2026年9月28日

附件

安全效用评估服务

项目供应商报名材料需求

一、资质及能力要求

本次采购的是安全效用评估服务，服务期为3年。通过人工服务与工具结合的方式，模拟黑客攻击对中国农业发展银行（以下简称“农发行”）全辖范围内安全系统和设备开展持续、自动的安全效用评估，评估范围涵盖边界安全、流量安全、主机安全、容器安全、终端安全、开发安全、数据安全、邮件安全、AI安全、勒索防护能力检查和评估等多个场景，确保在常态化实网攻防中农发行纵深防御体系可靠有效，及时发现检测缺失点，提升农发行网络安全整体防护能力。

服务商具备ISO27001信息安全管理体系认证、ISO9001质理管理体系认证。国家信息安全漏洞库（CNNVD）技术支撑三级及以上单位。
服务商应提供一套安全效用评估软件部署到农发行，供农发行免费使用，并在服务期内提供免费维保，以实现7*24小时不间断安全效用评估。服务过程中所使用的安全效用评估的软件部署在农发行要求的地点，平台须不限制点位个数的覆盖全行，不限制农发行独立使用，且无使用期限限制。
服务商需派遣1名具有安全防护专业知识的高级安全工程师作为本项目的项目经理（具备金融行业服务经验），负责项目资源协调和各项统筹工作，监督项目执行情况。项目经理需要具备2个以上同类项目经验。需派遣具备专业安全防护知识和经验的项目技术工程师2名，负责解决项目过程当中遇到的技术问题，提供技术解决方案。技术工程师须具有1个以上同类项目经验。
每季度派遣项目技术工程师至农发行现场完成专业安全效用评估，并于五个工作日内出具专业评估报告。其中专业评估报告要覆盖全行范围，内容需包含全量测试场景，包括但不限于本季度突发高危漏洞的验证结果及建议、本季度新增网络策略验证结果及建议、本季度新增文件上传绕过验证结果及建议、近三年高危漏洞验证结果及建议并全面分析全行安全防护的弱点，对农发行的安全建设规划提出实质性意见、存在的安全策略问题提出实质性解决方案等，同时在下一季度测试中对策略优化结果进行复测验证。
每月派遣项目技术工程师至农发行现场完成例行设备巡检和基础安全效用评估，并于五个工作日内出具巡检报告和基础评估报告。其中基础评估报告要覆盖全行范围，内容包含本月突发高危漏洞的验证结果及建议、本月新增网络策略验证结果及建议等。
针对互联网已暴露的新型漏洞及攻击方式，在12小时内提供验证服务。针对互联网已暴露超过3日的新型漏洞及攻击方式，支持交付具体攻击载荷。在重要网络安全保障时期、国家网络安全演练等重要时间点，需要动态提供漏洞验证服务，确保农发行安全设备防护有效性。
服务商须将服务过程中所使用的安全效用评估的软件部署在农发行要求的地点，平台须不限制点位个数的覆盖全行，不限制农发行独立使用，且无使用期限限制。针对该软件相关技术需求要求详见下表，其中标注“★”为必须满足项。

序号	项目	详细要求
1	边界安全效用评估场景	★支持检查每个资产在边界侧WAF等防护覆盖情况（包括但不限于以下防护策略的检查：GET_URL防护、GET_Cookie防护、POST_URL防护、POST_BODY防护、POST_Cookie防护、PUT请求方法防护、非法请求方法防护、GET_User-Agent防护、POST_User-Agent防护、GET_Referer防护、POST_Referer防护等），检查是否存在互联网暴露域名站点未在WAF防护覆盖范围。（需提供上述要求的全部攻击类型能力的产品截图证明）
		支持评估互联网边界防护稳定性，可判断每天不同时段、不同边界防护设备的稳定性，是否存在漏包。
		★支持提供对于边界应用防护的多种验证场景，包括但不限于：安全策略有效性验证、安全拦截检测能力验证（包含但不限于OWASP Top通用漏洞利用：SQL注入、XSS、SSRF、文件包含、目录遍历、命令注入、XXE等、IP封禁验证、大包绕过验证），帮助实时检查WAF的策略状态和提升边界应用防护的能力。（需提供上述要求的全部攻击类型能力的产品截图证明）
		★支持采用ipv4及ipv6协议流量进行安全效用评估。
		验证内容包含信创操作系统、中间件、数据库（包括但不限于：麒麟、统信、东方通、宝兰德、达梦、人大金仓等）的常见漏洞。
2	流量安全效用评估场景	★支持检查每个资产被具体流量检测策略的覆盖情况（包括但不限于以下防护策略的检查：GET_URL防护、GET_Cookie防护、POST_URL防护、POST_BODY防护、POST_Cookie防护、PUT请求方法防护、非法请求方法防护、GET_User-Agent防护、POST_User-Agent防护、GET_Referer防护、POST_Referer防护等）。（需提供上述要求的全部攻击类型能力的产品截图证明）
		★支持评估流量安全的多种验证场景，包括但不限于：对流量安全设备防护覆盖度验证、安全策略有效性验证、安全检测能力验证（包括但不限于RCE漏洞利用、OWASP Top通用漏洞利用、命令注入、webshell检测、暴力破解、隐秘通信、端口转发、远控域名访问、后门访问、反弹shell等），帮助实时检查流量安全的策略状态和提升流量安全检测能力。（需提供上述要求的全部攻击类型能力的产品截图证明）
		支持评估内网流量设备稳定性，可判断每天不同时段、不同流量设备的稳定性，是否存在漏包。
		★支持采用ipv4及ipv6协议流量进行安全效用评估。
		验证内容包含信创操作系统、中间件、数据库（包括但不限于：麒麟、统信、东方通、宝兰德、达梦、人大金仓等）的常见漏洞。
3	主机安全效用评估场景	支持主机安全设备稳定性验证，可判断每天不同时段、不同主机安全设备的稳定性，是否存在失效。
		支持主机基线配置有效性验证（包括但不限于用户登录设置、主机防火墙设置等）
		★支持主机安全检测能力验证（包括但不限于webshell植入、webshell大包绕过、内存马植入、端口转发、隧道通信、恶意后门、反弹shell、恶意样本落盘、恶意软件落盘等），其中webshell的类型需达到150种以上，不设上限。（需提供主机安全检测的场景图，webshell检测的类型图）
4	终端安全效用评估场景	★支持评估终端（含信创终端）安全设备稳定性，可判断每天不同时段、不同终端安全设备的稳定性，是否存在失效。
		★支持对终端（含信创终端）入网策略进行有效性评估。
		支持对终端（含信创终端）基线配置进行有效性评估（包含但不限于用户登录设置、用户弱口令检测等）。
		★支持对终端（含信创终端）安全设备多场景进行实时的安全效用评估（包括但不限于病毒投递、恶意文件执行、敏感信息收集、凭据访问、注册表后门、dll注入、AD域信息收集、pth攻击等）。（需提供对终端安全设备的上述场景评估截图）
5	勒索病毒评估场景	★通过构造勒索软件攻击的各个阶段场景，包括但不限于勒索软件投递拦截验证、勒索域名解析防御检测验证、勒索软件模拟加密拦截验证，实现对已部署的端点防护能力的多维度评估。
6	邮件安全效用评估场景	★支持评估邮件安全设备稳定性，可判断每天不同时段、不同邮件安全设备的稳定性，是否存在失效。
		支持构造恶意附件邮件检测设备防护效果。
		支持构造不同格式的恶意压缩附件和恶意加密压缩附件邮件检测设备防护效果。
		支持构造带图片密码的恶意压缩文件的邮件检测设备防护效果。
		★支持构造涵盖敏感信息附件（附件格式包括但不限于：Word、pdf、TXT、Excel、json）检测设备防护效果。
		支持对用户登录进行口令爆破。
		支持构造文件正文存在钓鱼话术及钓鱼网站跳转链接的钓鱼邮件验证设备防护效果。
		支持构造邮件正文中存在广告、信用卡办卡、优惠购买、色情赌博等信息的垃圾邮件验证设备防护效果。
		★支持构造发件人伪造及匿名邮件，验证设备防护效果。
7	容器安全效用评估场景	支持对容器安全基线配置策略进行安全效用评估。
7	容器安全效用评估场景	★支持提供对于容器安全的各种验证场景（恶意镜像容器、容器逃逸、横向移动、反弹shell、内存马注入、webshell植入、危险挂载、容器服务攻击利用、容器凭据访问、容器持久化、容器信息收集、容器内提权、容器痕迹清理等）评估，帮助用户实时检查容器安全的策略状态和提升主机安全检测能力。
8	网络策略安全场景	★通过对不同区域之间的端口级别网络策略开展持续性效用评估，检验和判断各区域之间的策略是否按照既定规则正常运行，及时找到诸如禁止类策略开通、严格限制类策略开放过大等不规范的现象。
		所用产品支持手动和自动方式录入白名单访问区域。
		所用产品支持将自动将扫描结果和白名单进行匹配。
		★所用产品支持将验证结果以资产维度进行显示。
		所用产品支持上传网络策略表自动获取现有网络策略。（可开发实现）
9	自定义功能	★支持自定义上传web攻击包、自定义web攻击请求、上传pcap包进行攻击。
		★支持上传恶意文件、脚本工具进行自定义命令执行。
		支持自行构造恶意邮件，隐匿发件人等。
10	攻击载荷白盒可视化	支持自动化判断用例执行的每一步执行结果，且展示执行详细结果。
		★支持全量的用例可通过控制台查看及下载用例详情。（需提供可供下载的界面截图）
		支持提供攻击载荷payload指导规则策略部署。
		载荷payload需要有对应漏洞的CVE、CNVD、CNNVD编号。
		支持下载用例执行产生的Windows、linux事件日志、pcap包。
11	任务配置管理	支持任务以分钟粒度定时执行。
		单个任务可支持选择≥5000个验证目标。
		★单个任务对于≥5000个验证目标形成的≥10000个子任务进行验证时，验证时间≤2小时。
		所有验证任务能够在同一列表页进行集中管理，包括任务的查看、编辑、停止、重放、删除。
		支持自定义配置连接超时时间、重试次数、单个用例重复执行次数。
		支持单个用例独立参数配置。
		支持用例并发数设置。
		支持手动跳过某个用例的执行。
		含安全设备管理、告警名称管理和设备类型描述，可查看录入系统的安全设备信息，包括设备类型、安全设备列表。
		支持批量导入和管理安全设备。
12	验证结果自动闭环化	★支持syslog、kafka、ES等日志对接方式。（需提供上述日志对接方式的产品截图证明）
		支持自动对接各类安全设备的告警日志并和验证任务进行关联分析，包括WAF、NTA、HIDS、防病毒等，能够对告警设备的来源设备进行自动识别。
		★支持对网络安全系统日志和报警信息的自动化解析，并在维保期内免费对新增加的安全系统日志进行解析分析。
		支持自动判断WAF类安全设备对攻击请求的拦截、防病毒类设备对样本文件的查杀。
		支持提供验证任务产生的特征，包括源和目的IP、源和目的端口、pid、文件hash、进程ID、进程退出状态码（必须为可视化的进程链展示）、特征标识等。
		互联网边界侧验证，不接入日志可实现自动化闭环结果输出。
13	验证结果可视化	★平台的验证结果可以通过syslog方式外发。（需提供验证结果syslog外发的产品截图证明）
		★可以自动生成Excel、doc、PDF、html格式的验证报告。（需提供不同格式报告的产品截图证明）
		涉及多个执行步骤的验证任务，需要每一个执行步骤能自行判断执行结果，且展示执行过程详情。
		结果的告警信息显示要具体到某一台设备，定位设备位置。
14	日志管理	支持一年内检测日志的全量保存。
		支持通过关键词、设备名称、区域等对分析结果、对检测日志进行检索。
		系统的运行日志能通过控制台直接查看和下载。
15	稳定性	★稳定运行率≥99%。
		系统登录时间<2秒。
		功能页面反应时间<2秒。
		数据报表生成时间<10秒。
16	平台安全性	必须使用安全的通信方式，如https或者sockets，不允许使用http的方式通信。
		会话超时机制，支持控制台会话在一定时间内无操作，自动退出。
		★登录安全，支持OTP方式的双因子认证。（需提供登录的产品截图证明）
		尝试登录超过一定次数，用户自动锁定一段时间。
		★用户敏感信息如用户登录密码等支持采用国密算法存储。
17	系统升级	★支持通过在线和离线两种方式升级验证场景和用例。（需提供升级方式的产品截图证明）
18	验证客户端管理	验证客户端需支持通过管理平台服务端自动生成安装脚本。
		支持通过平台服务端自动升级、自动卸载验证客户端。
		支持通过平台服务端查看验证客户端的性能占用、进程列表和下载日志。
19	其他	使用产品支持本地化部署。
19	其他	★产品所包含的服务端和agent端均支持在信创操作系统上运行和正常工作。 ★支持AI安全评估场景。

二、材料及格式要求

案例要求

提供近三年（2023年1月1日至今）至少3个全国系统重要性银行或政策性银行总行级相关服务案例。包括：采购合同首页、采购产品内容/配置页、甲乙双方盖章页。上述材料如果为复印件，需要加盖原厂商公章，如果提供的材料为多页，还需要在每页加盖骑缝章。

其他材料要求

(1) 提供有效性验证系统白皮书、使用手册等材料；

(2) 提供其他供应商认为需要反馈的材料；

(3) 提供代表供应商参与本项目的联系人、联系电话、单位邮箱，以及公司授权说明文件、授权人身份证明复印件等材料；

(4) 请供应商按上述要求提供报名材料。对于无法提供的内容，也请具体说明原因；

(5) 以上材料均需加盖单位公章。

附件：1.供应商基本信息表

2.原厂服务授权书

3.法人授权书

附表1.

供应商基本信息（必填）
登录查看		年月日	企业法人			注册资本（万元）
登录查看			国别			资质情况（如无请说明）
登录查看
登录查看	客户全称	项目全称	合同签订时间	项目规模	项目性质	项目主要内容	所投产品型号其他需要说明的事项
登录查看
登录查看
登录查看
登录查看

注：可补充其他佐证材料。

附表2.

关于安全效用评估服务服务采购项目的授权书

中国农业发展银行：
今通过公开发布渠道知悉贵行拟开展安全效用评估服务采购调研工作，现授权我公司xxx人员和贵司经办人员开展以上工作，并在整个项目经办过程承诺如下：
1.对于客户经理提交材料的承诺，承诺提交邮件（官方邮箱地址）、书面（授权相关材料客户经理签字生效）等材料代表公司。
2.廉洁承诺。

xxxxxx公司

xxxx年xx月xx日

附件3

法人授权书

中国农业发展银行：

（单位名称）法定代表人（法人姓名）授权我单位职工（职工姓名）为我单位本次项目授权代理人，全权处理（中国农业发展银行安全效用评估服务采购项目）一切事宜。委托期限自签署之日起至本项目有效期截止之日止。

代理人无转委托权。

特此授权。

附：（代理人身份证复印件或扫描件正反面）

代理人姓名：登录查看：

联系方式：邮箱：

法人签字/盖章

日期

信息说明

标讯信息来源于公开渠道，仅供参考，请以官方公告为准。

公告正文

当前为公开预览，相关单位、金额及个人联系信息已脱敏。