SZCZEGÓŁOWY OPIS PRZEDMIOTU ZAMÓWIENIA

Transkrypt

1 Załącznik nr 1 do zapytania ofertowego SZCZEGÓŁOWY OPIS PRZEDMIOTU ZAMÓWIENIA Przedmiotem zamówienia jest dostawa i wdrożenie systemu zapobiegającego atakom sieciowym, chroniącego przed oprogramowaniem typu malware oraz pełniącego rolę ściany ogniowej składającego się z dwóch redundantnych urządzeń. Dostarczone urządzenia muszą spełniać niżej wymienione wymagania. 1. Urządzenie pełniące funkcje IPS, ściany ogniowej i bramy VPN oraz zapewniające ochronę przed oprogramowaniem typu malware Wymagania w zakresie architektury urządzenia Urządzenie musi posiadać konstrukcję modułową, pełnić funkcję bramy VPN i ściany ogniowej (firewall) typu Statefull Inspection. Urządzenie musi mieć możliwość dalszej rozbudowy sprzętowej Urządzenie musi być wyposażone minimum w: osiem interfejsów Gigabit Ethernet 10/100/1000 (RJ45) dedykowany interfejs Gigabit Ethernet 10/100/1000 (RJ45) do zarządzania Urządzenie musi obsługiwać interfejsy VLAN-IEEE 802.1q na interfejsach fizycznych (minimum 200 sumarycznie) Urządzenie musi być wyposażone w moduł sprzętowego wsparcia szyfrowania 3DES i AES oraz licencje na szyfrowanie 3DES/AES Urządzenie musi posiadać dedykowany dla zarządzania port konsoli Urządzenie musi posiadać pamięć Flash o pojemności umożliwiającej przechowanie co najmniej 3 obrazów systemu operacyjnego i 3 plików konfiguracyjnych Urządzenie musi posiadać pamięć DRAM o pojemności minimum 8GB, umożliwiającej uruchomienie wszystkich dostępnych dla urządzenia funkcjonalności Urządzenie musi zapewniać możliwość klastrowania dla zwiększania wydajności pomiędzy dwoma odległymi fizycznie ośrodkami. Wspierane muszą być minimum dwa urządzenia w klastrze Zasilanie urządzenia Urządzenie musi posiadać zasilacz umożliwiający zasilanie prądem przemiennym 230V o częstotliwości 50Hz Wydajność urządzenia Przepustowość stanowego firewall a dla ruchu rzeczywistego (tzw. ruch multiprotocol) musi wynosić minimum 1 Gbps Wydajność urządzenia minimum 300 Mbps dla ruchu szyfrowanego protokołami 3DES, AES Liczba jednoczesnych sesji VPN (IPSec VPN, SSL VPN) terminowanych na urządzeniu minimum 750.

2 Urządzenie musi zapewniać zestawianie do 750 tuneli SSL VPN w trybie clientbased i clientless VPN Urządzenie musi obsługiwać jednoczesnych sesji/połączeń z prędkością zestawiania połączeń na sekundę. Dla pakietów 64 bajtowych urządzenie posiada wydajność pakietów na sekundę Urządzenie musi posiadać możliwość agregacji interfejsów fizycznych (IEEE 802.3ad) 4 łączy zagregowanych. Pojedyncze łącze zagregowane może składać się z 2 interfejsów Urządzenie musi obsługiwać funkcjonalność Access Control List (ACL) zarówno dla ruchu wchodzącego, jak i wychodzącego. Minimalna obsługiwana ilość reguł linii Urządzenie musi obsługiwać minimum 200 VLAN ów Wymagania w zakresie funkcjonalności urządzenia Urządzenie musi posiadać funkcjonalność ściany ogniowej śledzącej stan połączeń (tzw. Stateful Inspection) z funkcją weryfikacji informacji charakterystycznych dla warstwy aplikacji Urządzenie musi posiadać możliwości konfiguracji reguł filtrowania ruchu w oparciu o tożsamość użytkownika (tzw. Identity Firewall), integrując się ściśle z usługą katalogową Microsoft Active Directory Urządzenie musi posiadać możliwość uwierzytelnienia z wykorzystaniem LDAP, NTLM oraz Kerberos Urządzenie nie może posiadać ograniczenia na ilość jednocześnie pracujących użytkowników w sieci chronionej Urządzenie musi pełnić funkcję koncentratora VPN umożliwiającego zestawianie połączeń IPSec VPN (zarówno site-to-site, jak i remote access) Urządzenie musi zapewniać weryfikację uprawnień stacji do zestawiania sesji w zakresie SSL VPN, poprzez weryfikację następujących cech: OS Check - system operacyjny IP Address Check - adres z jakiego następuje połączenie File Check - pliki w systemie Registry Check - wpisy w rejestrze systemu Windows Certificate Check - zainstalowane certyfikaty Urządzenie musi posiadać zapewniany przez producenta urządzenia i objęty jednolitym wsparciem technicznym, klienta VPN dla technologii IPSec VPN i SSL VPN Oprogramowanie klienta VPN (IPSec oraz SSL) musi mieć możliwość instalacji na stacjach roboczych pracujących pod kontrolą systemów operacyjnych Windows (7, XP wersje 32 i 64-bitowe) i Linux i umożliwia zestawienie do urządzenia połączeń VPN z komputerów osobistych PC Oprogramowanie klienta VPN musi obsługiwać protokoły szyfrowania 3DES/AES Oprogramowanie klienta VPN musi umożliwiać blokowanie lokalnego dostępu do Internetu podczas aktywnego połączenia klientem VPN (wyłączanie tzw. split-tunnelingu) Urządzenie musi mieć możliwość pracy jako transparentna ściana ogniowa warstwy drugiej modelu ISO OSI Urządzenie musi obsługiwać protokół NTP Urządzenie musi współpracować z serwerami CA Urządzenie musi obsługiwać funkcjonalność Network Address Translation (NAT oraz PAT) zarówno dla ruchu wchodzącego, jak i wychodzącego. Musi również wspierać translację adresów (NAT) dla ruchu multicastowego Urządzenie musi zapewniać mechanizmy redundancji, w tym:

3 możliwość konfiguracji urządzeń w układ zapasowy (failover) działający w trybie wysokiej dostępności (HA) active/standby, active/active dla kontekstów umożliwiać pracę w klastrze Urządzenie musi realizować synchronizację tablicy połączeń pomiędzy węzłami pracującymi w trybie wysokiej dostępności HA Urządzenie musi zapewniać możliwość konfiguracji redundancji na poziomie interfejsów fizycznych urządzenia Urządzenie musi posiadać funkcjonalność stateful failover dla ruchu VPN Urządzenie musi posiadać mechanizmy inspekcji aplikacyjnej i kontroli następujących usług: Hypertext Transfer Protocol (HTTP), File Transfer Protocol (FTP), Extended Simple Mail Transfer Protocol (ESMTP), Domain Name System (DNS), Simple Network Management Protocol v 1/2/3 (SNMP), Internet Control Message Protocol (ICMP), SQL*Net, inspekcji protokołów dla ruchu voice/video H.323 (włącznie z H.239), SIP, MGCP, RTSP Urządzenie umożliwia zaawansowaną normalizację ruchu TCP: poprawność pola TCP ACK poprawność sekwencjonowania segmentów TCP poprawność ustanawiania sesji TCP z danymi limitowanie czasu oczekiwania na segmenty nie w kolejności poprawność pola MSS poprawność pola długości TCP poprawność skali okna segmentów TCP non-syn poprawność wielkości okna TCP Urządzenie musi mieć możliwość blokowania aplikacji (np. peer-to-peer, czy internetowy komunikator ) wykorzystujących port Urządzenie musi zapewniać obsługę i kontrolę protokołu ESMTP w zakresie wykrywania anomalii, śledzenia stanu protokołu oraz obsługi komend wprowadzonych wraz z protokołem ESMTP Urządzenie musi mieć możliwość inspekcji protokołów HTTP oraz FTP na portach innych niż standardowe Urządzenie musi zapewniać wsparcie stosu protokołów IPv6, w tym: listy kontroli dostępu dla IPv możliwości filtrowania ruchu IPv6 na bazie nagłówków rozszerzeń: Hop-by-Hop Options, Routing (Type 0), Fragment, Destination Options, Authentication, Encapsulating Security Payload inspekcję protokołu IPv6, pracując w trybie transparentnym adresację IPv6 interfejsów w scenariuszach wdrożeniowych z wysoką dostępnością (failover) realizację połączeń VPN typu site-to-site opartych o minimum IKEv1 z użyciem protokołu IPv Urządzenie musi obsługiwać mechanizmy kolejkowania ruchu z obsługą kolejki absolutnego priorytetu Urządzenie musi mieć możliwość współpracy z serwerami autoryzacji w zakresie przesyłania list kontroli dostępu z serwera do urządzenia z granulacją per użytkownik Urządzenie musi obsługiwać routing statyczny i dynamiczny (min. dla protokołów RIP, OSPF i BGP) Urządzenie pozwala na osiągnięcie wysokiej dostępności dla protokołów routingu dynamicznego, tzn. trasy dynamiczne zawarte w tablicy routingu muszą być synchronizowane z urządzenia active na urządzenie standby.

4 Urządzenie musi umożliwiać zbieranie informacji o czasie (timestamp) i ilości trafień pakietów w listy kontroli dostępu (ACL) Urządzenie musi umożliwiać konfigurację globalnych reguł filtrowania ruchu, które przykładane są na wszystkie interfejsy urządzenia jednocześnie Urządzenie musi umożliwiać konfigurację reguł NAT i ACL w oparciu o obiekty i grupy obiektów. Do grupy obiektów może należeć host, podsieć lub zakres adresów, protokół lub numer portu Urządzenie musi umożliwiać pominięcie stanu sesji TCP w scenariuszach wdrożeniowych z asymetrycznym przepływem ruchu Urządzenie musi wspierać Proxy dla protokołu SCEP i umożliwiać zautomatyzowany proces pozyskiwania certyfikatów przez użytkowników zdalnych dla dostępu VPN Urządzenie musi wspierać użytkownika korzystającego z trybu klienta VPN (IPSec oraz SSL) oraz clientless SSL VPN, w zakresie obsługi haseł w systemie Microsoft AD, bezpośrednio lub poprzez ACS, dla obsługi sytuacji wygaśnięcia terminu ważności hasła w systemie Microsoft AD, umożliwiając zmianę przeterminowanego hasła Urządzenie musi obsługiwać IKE, IKE Extended Authentication (Xauth) oraz IKE Aggressive Mode. Ponadto urządzenie wspiera protokół IKEv2 (Internet Key Exchange w wersji 2) dla połączeń zdalnego dostępu VPN oraz site-to-site VPN opartych o protokół IPSec Urządzenie musi umożliwiać rozbudowę poprzez zakup odpowiedniej licencji lub oprogramowania bez konieczności dokonywania zmian sprzętowych, w tym istnieje możliwość wirtualizacji konfiguracji poprzez wirtualne konteksty. Urządzenie musi wspierać przynajmniej 20 wirtualnych kontekstów Wymagania w zakresie funkcjonalność urządzenia Next-Generation Firewall Urządzenie musi zapewniać funkcjonalności tzw. Next-Generation Firewall w następującym zakresie: system automatycznego wykrywania i klasyfikacji aplikacji (tzw. Application Visibility and Control) system IPS system filtrowania ruchu w oparciu o URL system ochrony przed malware System musi posiadać możliwość kontekstowego definiowania reguł z wykorzystaniem informacji pozyskiwanych o hostach na bieżąco poprzez pasywne skanowanie. System musi tworzyć konteksty z wykorzystaniem poniższych parametrów: wiedza o użytkownikach uwierzytelenienie wiedza o urządzeniach pasywne skanowanie ruchu wiedza o urządzeniach mobilnych wiedza o aplikacjach wykorzystywanych po stronie klienta wiedza o podatnościach wiedza o bieżących zagrożeniach baza danych URL System musi posiadać otwarte API dla współpracy z systemami zewnętrznymi, takimi jak SIEM System automatycznego wykrywania i klasyfikacji aplikacji (AVC): musi posiadać możliwość klasyfikacji ruchu i wykrywania 3000 aplikacji sieciowych musi zapewniać wydajność minimum 375 Mbps musi pozwalać na tworzenie profili użytkowników korzystających ze wskazanych aplikacji z dokładnością do systemu operacyjnego, z którego korzysta użytkownik oraz wykorzystywanych usług

5 musi pozwalać na wykorzystanie informacji geolokacyjnych dotyczących użytkownika lub aplikacji musi umożliwiać współpracę z otwartym systemem opisu aplikacji pozwalającym administratorowi na skonfigurowanie opisu dowolnej aplikacji i wykorzystanie go do automatycznego wykrywania tejże aplikacji przez system AVC oraz na wykorzystanie profilu tej aplikacji w regułach reagowania na zagrożenia oraz w raportach System IPS: musi zapewniać skuteczność wykrywania zagrożeń i ataków na poziomie minimum 95%, udokumentowaną przez niezależnie testy musi posiadać możliwość pracy w trybie in-line (wszystkie pakiety, które mają być poddane inspekcji muszą przechodzić przez system) musi posiadać możliwość pracy zarówno w trybie pasywnym (IDS) jak i aktywnym (z możliwością blokowania ruchu) musi posiadać możliwość wykrywania i eliminowania szerokiej gamy zagrożeń (np.: złośliwe oprogramowanie, skanowanie sieci, ataki na usługę VoIP, próby przepełnienia bufora, ataki na aplikacje P2P, zagrożenia dnia zerowego, itp.) musi posiadać możliwość wykrywania modyfikacji znanych ataków, jak i tych nowo powstałych, które nie zostały jeszcze dogłębnie opisane musi zapewniać następujące sposoby wykrywania zagrożeń: sygnatury ataków opartych na exploitach, reguły oparte na zagrożeniach, mechanizm wykrywania anomalii w protokołach mechanizm wykrywania anomalii w ogólnym zachowaniu ruchu sieciowego musi posiadać możliwość inspekcji nie tylko warstwy sieciowej i informacji zawartych w nagłówkach pakietów, ale również szerokiego zakresu protokołów na wszystkich warstwach modelu sieciowego, włącznie z możliwością sprawdzania zawartości pakietu musi posiadać mechanizm minimalizujący liczbę fałszywych alarmów, jak i niewykrytych ataków (ang. false positives i false negatives) musi posiadać możliwość detekcji ataków/zagrożeń złożonych z wielu elementów i korelacji wielu, pozornie niepowiązanych zdarzeń musi posiadać wiele możliwości reakcji na zdarzenia, takich jak monitorowanie, blokowanie ruchu zawierającego zagrożenia, zastępowanie zawartość pakietów oraz zapisywanie pakietów musi posiadać możliwość detekcji ataków i zagrożeń opartych na protokole IPv musi posiadać możliwość pasywnego zbierania informacji o urządzeniach sieciowych oraz ich aktywności (systemy operacyjne, serwisy, otwarte porty, aplikacje oraz zagrożenia) w celu wykorzystania tych informacji do analizy i korelacji ze zdarzeniami bezpieczeństwa, eliminowania fałszywych alarmów oraz tworzenia polityki zgodności musi posiadać możliwość pasywnego gromadzenia informacji o przepływach ruchu sieciowego ze wszystkich monitorowanych hostów włączając w to czas początkowy i końcowy, porty, usługi oraz ilość przesłanych danych musi zapewniać możliwość pasywnej detekcji predefiniowanych serwisów takich jak FTP, HTTP, POP3, Telnet, itp musi posiadać możliwość automatycznej inspekcji i ochrony dla ruchu wysyłanego na niestandardowych portach używanych do komunikacji musi zapewniać możliwość obrony przed atakami skonstruowanymi tak, aby uniknąć wykrycia przez IPS - w tym celu stosuje odpowiedni mechanizm defragmentacji i składania strumienia danych w zależności od charakterystyki hosta docelowego

6 musi zapewniać mechanizm bezpiecznej aktualizacji sygnatur - zestawy sygnatur/reguł pobierane są z serwera w sposób uniemożliwiający ich modyfikację przez osoby postronne musi zapewniać możliwość definiowania wyjątków dla sygnatur z określeniem adresów IP źródła, przeznaczenia lub obu jednocześnie musi być zarządzany poprzez system centralnego zarzadzania za pomocą szyfrowanego połączenia mus zapewniać obsługę reguł Snort musi zapewniać możliwość wykorzystania informacji o sklasyfikowanych aplikacjach do tworzenia reguł IPS musi zapewniać mechanizmy automatyzacji w zakresie wskazania hostów skompromitowanych (tzw. Indication of Compromise) musi zapewniać mechanizmy automatyzacji w zakresie dostrojenia polityk bezpieczeństwa musi posiadać możliwość wykorzystania mechanizmów obsługi ruchu asymetrycznego firewall a dla uzyskania pełnej widoczności ruchu w szczególności musi posiadać możliwość pracy w trybie HA firewalla oraz w trybie klastrowania pozwala na pracę z przepustowością minimum 255 Mbps przy jednoczesnym działaniu AVC System filtrowania ruchu w oparciu o URL: musi pozwalać na kategoryzację stron w wielu kategoriach musi zapewniać bazę URL o wielkości przynajmniej 250 mln URL System ochrony przed malware: musi zapewniać sprawdzenie reputacji plików w systemie globalnym musi zapewniać sprawdzenie plików w sandbox (realizowanym lokalnie lub w chmurze) musi zapewniać narzędzia analizy historycznej dla plików przesłanych w przeszłości, a rozpoznanych później jako oprogramowanie złośliwe (analiza retrospektywna) musi zapewniać wykrywanie ataków typu Zero-Day System musi zapewniać centralną konsolę zarządzania zapewniającą informacje ogólne i szczegółowe o: wykrytych hostach aplikacjach zagrożeniach i atakach wskazaniach kompromitacji (tzw. Indication of Compromise) na podstawie: zdarzeń z IPS malare backdoors exploit kits ataków na aplikacje webowe połączeń do serwerów Command n Control wskazań eskalacji uprawnień zdarzeń sieciowych połączeń do znanych adresów IP Command n Control zdarzeń związanych z malware wykrytego malware wykrytej infekcji dropperów Wymagania w zakresie zarządzania i konfiguracji Urządzenie musi posiadać możliwość eksportu informacji przez syslog Urządzenie musi wspierać eksport zdarzeń opartych o przepływy za pomocą protokołu NetFlow lub analogicznego.

7 Urządzenie musi posiadać możliwość komunikacji z serwerami uwierzytelnienia i autoryzacji za pośrednictwem protokołów RADIUS i TACACS+ oraz obsługiwać mechanizmy AAA (Authentication, Authorization, Accounting) Urządzenie musi być konfigurowalne przez CLI oraz interfejs graficzny Dostęp do urządzenia musi być możliwy przez SSH Urządzenie musi obsługiwać protokół SNMP v 1/2/ Urządzenie musi pozwalać na edycję pliku konfiguracyjnego urządzenia w trybie off-line. Tzn. musi istnieć możliwość przeglądania i zmian konfiguracji w pliku tekstowym na dowolnym urządzeniu PC. Po zapisaniu konfiguracji w pamięci nieulotnej musi być możliwe uruchomienie urządzenia z nową konfiguracją Urządzenie musi umożliwiać zrzucenie obecnego stanu programu (tzw. coredump) dla potrzeb diagnostycznych Urządzenie musi posiadać wsparcie dla mechanizmu TCP Ping, który pozwala na wysyłanie wiadomości TCP dla rozwiązywania problemów związanych z łącznością w sieciach IP Urządzenie musi umożliwiać kontrolę dostępu administracyjnego za pomocą protokołu TACACS Wraz z urządzeniem należy dostarczyć licencje oraz oprogramowanie do zarządzania zamawianym systemem w postaci obrazu virtualnej maszyny systemu VMware vsphere 5.0, która zostanie zainstalowana w środowisku VMware posiadanym przez Zamawiającego Obudowa i licencjonowanie Urządzenie musi mieć możliwość instalacji w szafie typu rack Wysokość urządzenia nie może być większa niż 1RU Urządzenie musi być wyposażone w minimum 3-letnią subskrypcję na IPS, filtrowanie URL, oraz ochronę przed malware Wymagania w zakresie wdrożenia rozwiązania W ramach wdrożenia Wykonawca zobowiązany jest do: Przygotowania low level design dla klastra firewall Podniesienia do najnowszych wersji poziomu firmware Konfiguracji systemu natywnego firewall a Instalacji modułu NGFW i NGIPS Konfiguracji polityk przepływu ruchu na systemie natywnym firewall a (ACL/NAT/routing) Integracji firewall z LDAP Instalacji systemu zarządzania urządzeniami NGFW i NGIPS Przeprowadzenia szkolenie administratorów po stronie Zamawiającego Budowy pięciu przykładowych polityk NGFW i NGIPS ustalonych w trakcie wdrożenia z Zamawiającym Pozostałe wymagania Dostarczane urządzenia muszą być nowe i pochodzić z bieżącej produkcji, a jednocześnie nie mogą być urządzeniami, które mogły być używane w innych projektach i poddane procesowi odnowienia Dostarczone urządzenia muszą być objęte gwarancją (serwisem gwarancyjnym) przez okres minimum 36 miesięcy licząc od daty podpisania protokołu odbioru.

8 W ramach realizacji zamówienia Wykonawca musi dostarczyć wraz z urządzeniami dokument wystawiony przez producenta sprzętu lub jego oficjalnego przedstawiciela potwierdzający zarejestrowanie kontraktu serwisowego na dostarczone urządzenia i oprogramowanie. Serwis gwarancyjny musi obejmować prawo do aktualizacji wersji oprogramowania systemowego urządzeń. Wykonawca zapewni Zamawiającemu dostęp do: nowych wersji oprogramowania; narzędzi konfiguracyjnych i dokumentacji technicznej; pomocy technicznej producentów prawo bezpośredniego zgłaszania przez Zamawiającego usterek i awarii sprzętu do Producenta.