漏洞扫描设备 招标公告

某市政务云平台去年被通报了。漏洞

原因不复杂——一个未修复的扫描设备Apache Log4j2漏洞，让攻击者从外网一路摸到了内网数据库。招标事后复盘，公告安全团队承认：他们不是漏洞没买扫描工具，而是扫描设备那台老设备已经三年没更新漏洞库，扫出来的招标报告还停留在CVE-2019的条目上。这事之后，公告该单位今年的漏洞预算里多了一笔明确开支：漏洞扫描设备，公开招标。扫描设备

类似的招标事不止一例。我翻过近半年十几个省市的公告采购公告，漏洞扫描类设备的漏洞招标频率明显上来了。有的扫描设备单位是第一次买，有的招标则是替换——替换原因出奇一致：旧设备扫不准、扫不全、扫得慢。

这次招标到底要买什么

看公告正文。项目名称写的是“漏洞扫描设备采购项目”，预算金额120万元，共一个标包。采购清单里列了三类东西：硬件扫描设备两台，分别部署在互联网出口和核心内网；一套集中管理平台，用来汇总扫描结果、下发策略、生成合规报告；再加三年特征库升级服务。

参数要求有几条值得注意。一是支持扫描的IP数量不少于5000个，并发扫描任务不低于50个。二是漏洞库更新频率要求每周至少一次，且能覆盖CNVD、CNNVD双库。三是必须支持国产化环境——这条现在几乎是标配了，公告里明确写了要兼容麒麟操作系统和鲲鹏架构。

评分办法采用综合评分法。价格占30%，技术占50%，商务占20%。技术分里，漏洞库覆盖数量和扫描准确率两项加起来占了20分，权重不低。

为什么是现在

有个做安全集成的朋友跟我说，前两年客户买扫描设备，问得最多的是“能不能扫Web漏洞”。今年问法变了，变成“能不能扫API接口”和“能不能扫容器镜像”。需求在变，设备也得跟着换。

另一个现实因素是等保2.0。二级以上系统要求定期做漏洞扫描，三级系统要求更严——每季度至少一次，且要留存报告。很多单位之前靠人工渗透测试凑数，成本高、周期长，算下来不如买台设备自己扫。

预算方面，120万不算多。市面上入门级硬件扫描设备报价在8万到15万之间，中高端在20万到40万。两台设备加平台加三年服务，这个预算属于中等偏上，能买到主流国产品牌的中高端型号。

投标要注意的几个坑

公告里写得很清楚：不接受联合体投标，且要求投标人具备信息安全服务资质证书（安全工程类一级以上）。这条卡掉了一批小集成商。

业绩要求也有意思。要求提供近三年至少两个同类项目案例，单个合同金额不低于80万。这意味着没做过政府或金融行业项目的厂商，连门槛都摸不到。

还有一条容易被忽略：设备必须支持离线升级。公告里专门加了一句“对于物理隔离网络环境，须提供离线漏洞库更新包”。这是给内网部署留的口子，投标时如果漏了这条响应，技术分直接扣。

投标截止时间定在下月12号，开标同一天。保证金2.4万，不算高。但公告末尾有一行小字：中标方须在合同签订后15个工作日内完成设备到货和初次部署。这个时间窗口很紧，供应链跟不上的厂商要掂量一下。

说到底，漏洞扫描设备不是什么高精尖产品，但买对了省心，买错了就是摆设。那台三年没更新漏洞库的老设备，当初也是走招标流程进来的。区别在于，这次公告里把“每周更新漏洞库”写进了服务条款，还带了违约罚则。算是进步。