Opis przedmiotu zamówienia

Załącznik nr 1 do SIWZ TEKST UJEDNOLICONY NA DZIEŃ 24.04.2019 R. DOA-ZP-II.271.22.2019 Opis przedmiotu zamówienia I. Przedmiotem zamówienia jest Dostawa Systemu Bezpieczeństwa Brzegu Sieci Oznaczenia kodu CPV Wspólnego Słownika Zamówień (kod i opis): 1) Główny kod CPV: 30200000-1 Urządzenia komputerowe II. III. IV. Miejsce wykonywania: siedziba Zamawiającego. Warunki gwarancji i rękojmi za wady: Zgodnie z pkt. 5 Szczegółowego Opisu Przedmiotu Zamówienia. Czas trwania zamówienia lub termin wykonania: Etap I wykonanie koncepcji Projektu Rozwiązania -10 dni roboczych od dnia wejścia w życie umowy. Etap II - 64 dni robocze od dnia wejścia w życie umowy. Etap III szkolenia dla administratorów Zamawiającego, w ciągu 61dni roboczych od dnia dokonania odbioru Rozwiązania, lecz nie wcześniej niż przed zakończeniem etapu II. Etap IV - gwarancja dla dostarczonego Systemu oraz wdrożonego Rozwiązania przez okres 48/60 miesięcy (okres udzielonej gwarancji uzależniony od oferty Wykonawcy) od dnia podpisania protokołu odbioru końcowego, lecz nie wcześniej niż przed zakończeniem etapu II. 1. Przedmiotem zamówienia jest: Szczegółowy Opis Przedmiotu Zamówienia 1.1. Opracowanie Projektu rozwiązania zaoferowanego Systemu w infrastrukturze Zamawiającego. 1.2. Dostawa Systemu Bezpieczeństwa Brzegu Sieci, który został opisany w punkcie 6. 1.3. Wdrożenie Rozwiązania zgodnie z opisem zawartym w punkcie 9. 1.4. Przeszkolenie administratorów Zamawiającego w zakresie zarządzania Rozwiązaniem, zgodnie z opisem zawartym w punkcie 10. 1.5. Świadczenie gwarancji dla dostarczonego Systemu i Rozwiązania. 2. Otoczenie projektu. 1

2.1. Zamawiający zamierza dokonać wymiany posiadanego firewall-a brzegowego oraz systemu ochrony aplikacji internetowych - WAF. Podstawowe cele jakie zamierza osiągnąć w ramach realizacji Zamówienia to: 2.1.1. Uzyskanie sprzętowego firewall-a brzegu sieci, działającego w układzie redundantnym, który zapewni takie funkcjonalności jak: 2.1.1.1. Kontrolę ruchu sieciowego; 2.1.1.2. IPS; 2.1.1.3. Ochronę antywirusową; 2.1.1.4. Tworzenie tuneli VPN; 2.1.1.5. Kontrolę treści stron internetowych URL Filtering; 2.1.1.6. Kontrolę ruchu SSL; 2.1.2. Oprogramowania zapewniającego ochronę stacji roboczych, które będzie służyło do kompleksowego wykrywania, monitorowania, blokowania i usuwania zaawansowanych zagrożeń i ataków cybernetycznych wraz z możliwością wykonania automatycznie oraz manualnie działań naprawczych (ang. remediation); 2.1.3. Web Application Firewall wraz z ochroną DNS, jako serwera wirtualnego lub sprzętowego appliance, działających w układzie redundantnym. 2.1.4. Uzyskać, w jak największym stopniu integrację wszystkich dostarczanych Produktów, tak aby uzyskanie Rozwiązanie, stanowiło spójne narzędzie zapewniające ochronę systemu teleinformatycznego Zamawiającego. 2.2. Zamawiający posiada następującą infrastrukturę, którą zamierza przeznaczyć do realizacji niniejszego Zamówienia: 2.2.1. Odpowiednio wyposażone pomieszczenia głównego węzła sieci. 2.2.2. 3 macierze HP-3PAR z wolną przestrzenią dyskową na tworzenie serwerów wirtualnych konfiguracja należy do Zamawiającego. 2.2.3. Licencje Windows Server Datacenter 2016 R2 z licencjami System Center. 2.2.4. Środowisko serwerów fizycznych Hyper-V 2012R2 działających w klastrze niezawodnościowym zarządzane z poziomu System Center. 2.2.5. Stacje robocze pracujące pod kontrolą systemów operacyjnych: Windows 7, Windows 8, Windows 10 oraz Linux. 2.2.6. Dla konsoli zarządzania firewallami brzegowymi serwer wirtualny VMWare Esxi 5.5 o następujących parametrach: 16GB RAM, 4 VCPU, 16 TB HDD. 2.2.7. Dla konsoli zarządzania oprogramowania ochrony stacji roboczych dwa serwery wirtualne Hyperv o następujących parametrach: 16GB RAM, 4 VCPU, 120 GB HDD. 2.2.8. Dla WAF, dwa serwery wirtualne Hyper-v o następujących parametrach: 16GB RAM, 4 VCPU, 100 GB HDD. 3. Definicje. 3.1. Awaria uszkodzenie Rozwiązania/Systemu/urządzenia/oprogramowania, elementu Rozwiązania/ Systemu/ urządzenia/ oprogramowania (Sprzętowe, programowe lub konfiguracyjne) lub poważne zakłócenie pracy Rozwiązania/Systemu/urządzenia/oprogramowania, w tym wynikające z błędów w konfiguracji poszczególnych elementów Rozwiązania, którego skutkiem jest brak możliwości korzystania z niego lub jego części. Za Awarię uważane jest również jednoczesne wystąpienie szeregu Usterek, w przypadku, gdy można wykazać, że występujące jednocześnie usterki mają ten sam skutek, co opisane powyżej Awarie. 2

3.2. Usterka uszkodzenie elementu Rozwiązania/Systemu/urządzenia/oprogramowania (sprzętowe lub programowe lub konfiguracyjne), której skutkiem jest brak dostępu do określonej funkcjonalności Rozwiązania/Systemu/urządzenia/oprogramowania, niemającej wpływu na realizację podstawowych jego funkcjonalności. 3.3. Dzień roboczy dzień roboczy Zamawiającego, tzn. dni robocze od poniedziałku do piątku za wyjątkiem dni ustawowo wolnych od pracy. 3.4. Koncepcja Projektu Rozwiązania - oznacza dokument zawierający wyniki prac związanych z ogólną analizą wymagań funkcjonalnych, sposobem implementacji Rozwiązania w środowisku Zamawiającego i integracji Systemu. 3.5. Rozwiązanie oznacza System funkcjonujący na infrastrukturze teleinformatycznej Zamawiającego wykorzystywanej przez System. 3.6. System to część Rozwiązania, oznacza wszystkie przewidziane elementy Rozwiązania, które zostaną dostarczone przez Wykonawcę w ramach Zamówienia. 3.7. Produkt część Systemu będąca urządzeniami lub oprogramowaniem wraz z innymi elementami dostarczonymi przez Wykonawcę w celu realizacji Zamówienia. 3.8. Dokumentacja oznacza dokumentację w formacie i formie opisanej w niniejszym dokumencie. 3.9. Projekt Rozwiązania - oznacza dokument zawierający wyniki prac związanych z analizą wymagań funkcjonalnych, sposobem implementacji Rozwiązania w środowisku Zamawiającego i integracji Systemu, a także przygotowaniem szczegółowego Harmonogramu prac. 3.10. CPD oznacza główne centrum przetwarzania danych Zamawiającego. 3.11. POP10 oznacza węzeł główny sieci Zamawiającego. 3.12. Zamawiający oznacza Miasto Łódź. 4. Warunki ogólne. 4.1. Dostarczane urządzenia muszą być fabrycznie nowe (tzn. wyprodukowane nie dawniej, niż na 6 miesięcy przed ich dostarczeniem) oraz by nie były używane. 4.2. Całość dostarczanego sprzętu musi pochodzić z autoryzowanego kanału sprzedaży producentów zaoferowanego sprzętu. 4.3. Producent urządzeń oraz oprogramowania musi posiadać certyfikat ISO-9001 (dla produkcji lub wytwarzania) lub nowszy lub certyfikat zgodny normami równoważnymi. 4.4. Wszystkie urządzenia muszą współpracować z siecią energetyczną o parametrach: 230 V ± 10%, 50 Hz., jednofazowo i być wyposażone w przewody zasilające. 4.5. Wszystkie urządzenia muszą być dostarczone z kompletem elementów niezbędnych do ich montażu w szafach rack 19. 4.6. Wszystkie oferowane urządzenia muszą działać pod kontrolą oprogramowania, które jest publiczną wersją, udostępnianą na rynku przez producenta oferowanych urządzeń. Zamawiający nie dopuszcza stosowania oprogramowania dedykowanego, stworzonego na potrzeby niniejszego zamówienia, dla zaoferowanych urządzeń. 4.7. Wszystkie oferowane urządzenia muszą być publicznie dostępne. Zamawiający nie dopuszcza stosowania urządzeń dedykowanych, stworzonych na potrzeby niniejszego zamówienia. 4.8. W ramach rozwiązania muszą być dostarczone wszystkie wymagane licencje konieczne do poprawnego jego działania dla oczekiwanych funkcjonalności. 4.9. Wszystkie dostarczone wkładki SFP+/QSFP+ muszą być objęte serwisem producenta urządzenia. 3

4.10. Wykonawca zapewnia i zobowiązuje się, że korzystanie przez Zamawiającego z dostarczonych Produktów nie będzie stanowić naruszenia majątkowych praw autorskich osób trzecich. W wypadku powzięcia wątpliwości, co do zgodności oferowanych produktów z umową, w szczególności w zakresie legalności oprogramowania, Zamawiający jest uprawniony do: 4.10.1. zwrócenia się do producenta oferowanych Produktów o potwierdzenie ich zgodności umów (w tym także do przekazania producentowi niezbędnych danych umożliwiających weryfikację), oraz 4.10.2. zlecenia producentowi oferowanych Produktów, lub wskazanemu przez producenta podmiotowi, inspekcji produktów pod kątem ich zgodności umów oraz ważności i zakresu uprawnień licencyjnych. 4.10.3. Jeżeli inspekcja, o której mowa w pkt. 4.10.2 powyżej, wykaże niezgodność produktów z umową lub stwierdzi, że korzystanie z Produktów narusza majątkowe prawa autorskie osób producenta, koszt inspekcji zostanie pokryty przez Wykonawcę, według rachunku przedstawionego przez podmiot wykonujący inspekcję, w kwocie nieprzekraczającej 4% wartości zamówienia (ograniczenie to nie dotyczy kosztów poniesionych przez Strony w związku z inspekcją, jak np. konieczność zakupu nowego oprogramowania). Prawo zlecenia inspekcji nie ogranicza ani nie wyłącza innych uprawnień Zamawiającego, w szczególności prawa do żądania dostarczenia produktów zgodnych z umową oraz roszczeń odszkodowawczych. 4.11. Oferowane oprogramowanie i urządzenia w dniu składania ofert nie mogą być przeznaczone przez producenta do wycofania z produkcji, do wycofania ze sprzedaży lub wsparcia technicznego. 4.12. Zamawiający wymaga, by dostarczone oprogramowanie było oprogramowaniem w wersji aktualnej na dzień poprzedzający dzień składania ofert. 4.13. System stanowiący przedmiot Zamówienia musi być fabrycznie nowy (tj. nieregenerowany, nienaprawiany, niefabrykowany, nieużywany we wcześniejszych wdrożeniach), kompletny (w szczególności ze wszystkimi podzespołami, częściami, materiałami niezbędnymi do uruchomienia i użytkowania). 4.14. Wszelkie koszty związane z realizacją przedmiotu Zamówienia ponosi Wykonawca. 4.15. Wszystkie prace w CPD i POP10 muszą odbywać się w obuwiu zmiennym lub w ochraniaczach obuwia, które zapewnią zachowanie czystości w ww. pomieszczeniach. 4.16. Funkcjonalności opcjonalne nie są wymagane obligatoryjnie (uzależnione są od oferty Wykonawcy). 5. Warunki gwarancji i serwisu. 5.1. Gwarancyjne usługi serwisowe będą świadczone w języku polskim. 5.2. Na Rozwiązanie musi zostać udzielona 48 miesięczna gwarancja (48/60 miesięcy gwarancji - okres udzielonej gwarancji uzależniony od oferty Wykonawcy), przy czym gwarancja nie obejmuje urządzeń i ich oprogramowania (firmware) wymienionych w pkt 2.2, które Zamawiający przeznacza do wykorzystania do niniejszego Zamówienia. Zamawiający wymaga, aby serwis był autoryzowany przez producenta urządzeń/oprogramowania (Produktów), to jest by zapewniona była naprawa lub wymiana urządzeń/oprogramowania lub ich części, na części nowe i oryginalne, zgodnie z metodyką i zaleceniami producenta. 5.3. Okres gwarancji rozpoczyna się od dnia podpisania protokołu odbioru końcowego. 5.4. Usługa gwarancyjna dla urządzeń i oprogramowania świadczona ma być w miejscu ich instalacji. 5.5. Czasy reakcji: 4

5.5.1. na zgłoszoną Awarię Rozwiązania (rozumianą jako podjęcie działań diagnostycznych i kontakt ze zgłaszającym) nie może przekroczyć 2 godzin; usunięcie awarii musi zostać wykonane w ciągu 8 godzin od momentu zgłoszenia awarii. 5.5.2. na zgłoszoną Usterkę (rozumianą jako podjęcie działań diagnostycznych i kontakt ze zgłaszającym) nie może przekroczyć 4 godzin; usunięcie usterki (naprawa lub wymiana wadliwego podzespołu lub urządzenia lub oprogramowania) musi zostać wykonane w przeciągu następnego dnia roboczego od momentu zgłoszenia usterki. 5.6. W przypadku, gdy uszkodzeniu (awarii/usterce) ulegnie element, który nie jest objęty gwarancją Wykonawcy, wówczas po dokonaniu działań diagnostycznych Zamawiający uzna, że Wykonawca spełnił wymaganie. Po zakończeniu działań przez Zamawiającego, mających na celu usunięcia awarii/usterki elementu niebędącego przedmiotem gwarancji w ramach niniejszego Zamówienia, Zamawiający może ponownie dokonać zgłoszenia w celu ewentualnego dokończenia prac konfiguracyjnych Rozwiązania, zgodnie z odpowiednim trybem. 5.7. Wykonawca ma obowiązek przyjmowania zgłoszeń serwisowych o awariach i usterkach przez telefon, e-mail, WWW (przez całą dobę); Wykonawca musi udostępnić punkt przyjmowania zgłoszeń poprzez stronę WWW. 5.8. W przypadku sprzętu, dla którego jest wymagany dłuższy czas na naprawę, Zamawiający dopuszcza podstawienie na czas naprawy sprzęt o nie gorszych a porównywalnych parametrach funkcjonalnych. Naprawa w takim przypadku nie może przekroczyć 21 dni roboczych od momentu zgłoszenia awarii lub usterki. 5.9. W przypadku, gdy Wykonawca nie dokona naprawy Urządzenia w okresie 21 dni roboczych od momentu upłynięcia terminu naprawy, Urządzenie objęte gwarancją zostanie wymienione na nowe wolne od wad. Wymiana Urządzenia nastąpi najpóźniej w 21 dniu roboczym od momentu zgłoszenia Awarii lub Usterki. 5.10. Wszelkie koszty związane z naprawami gwarancyjnymi, usuwaniem ujawnionych awarii i usterek, włączając w to koszt części i transportu z i do siedziby Zamawiającego ponosi Wykonawca. 5.11. Wykonawca zobowiązuje się do zwrotu kosztów naprawy gwarancyjnej zrealizowanej przez Zamawiającego w przypadku, gdy dwukrotnie bezskutecznie wzywał Wykonawcę do jej wykonania. 5.12. W czasie obowiązywania gwarancji, Wykonawca zobowiązany jest do udostępnienia Zamawiającemu nowych wersji BIOS, firmware, sterowników oraz innego oprogramowania niezbędnego do działania Rozwiązania (na płytach CD/DVD lub stronach internetowych). 5.13. usługa gwarancyjna nie obejmuje elementów infrastruktury, które Zamawiający zamierza przeznaczyć do realizacji Zamówienia, opisanych w pkt 2.2 z wyłączeniem wykonywania aktualizacji (wgrywania poprawek udostępnianych przez producenta systemu operacyjnego, bazy danych w ramach posiadanych przez Zamawiającego licencji) systemów operacyjnych (o których jest mowa w pkt 2.2) na wszystkich serwerach, na których jest zainstalowane Rozwiązanie, 5.14. W ramach gwarancji, Wykonawca zapewni Zamawiającemu prawo do aktualizacji wersji oprogramowania, występującego we wszystkich dostarczanych Produktach oraz pomocy technicznej, ich producentów i na warunkach określonych przez producenta 5.15. Wykonawca ma obowiązek pomocy na telefon (hot Line) w godzinach pracy Zamawiającego. 5.16. Wykonawca jest zobowiązany do świadczenia pomocy pracownikom Zamawiającego bezpośrednio w miejscu instalacji Systemu przez inżynierów zaoferowanych produktów w ilości 2 man days miesięcznie przez okres 3 miesięcy od dnia dokonania odbioru rozwiązania. 5

5.17. W przypadku, gdy Zamawiający będzie chciał skorzystać z ww. pomocy, wówczas poinformuje Wykonawcę o takiej potrzebie z co najmniej 5 dniowym wyprzedzeniem. Pomoc ta będzie realizowana w Dniach roboczych Zamawiającego. 6. Szczegółowy opis przedmiotu zamówienia 6.1. W ramach realizacji Zamówienia dostarczy następujące Produkty: 6.1.1. FireWall brzegowy; 6.1.2. Oprogramowanie zapewniające ochronę stacji roboczych; 6.1.3. Web Application Firewall - WAF. 6.2. Wymagania dla Produktu FireWall brzegowy szt. 2, każdy o następujących parametrach: 6.2.1. Urządzenie musi być dostarczone jako dedykowane urządzenie typu appliance, przystosowane do montażu w szafie Rack 19 o wysokości maksymalnej 3U. Całość sprzętu musi być zarządzana przez jednego producenta. 6.2.2. Urządzenie musi być wyposażone w 6.2.2.1. 8 interfejsów typu 100/1000GBase-T Ethernet (RJ45) 6.2.2.2. 8 interfejsów typu 1/10GE SFP+ obsadzone modułami 10GE SFP+ SR (4 szt.) wraz z patchcordami LC/PC-LC/PC duplex o długości 2m (4 szt.). 6.2.2.3. 4 interfejsy typu 40GE QSFP+ obsadzone modułami pozwalającymi na transmisję na odległość minimum 100m (2szt.). 6.2.2.4. Ponadto Wykonawca dostarczy 2 szt. wkładek 40GE QSFP+ (odległość transmisji minimum 100m) do przełącznika Juniper QFX5100-96S wraz z odpowiednimi patchcordami OM3/OM4 o długości 2 m. tak aby uzyskać stosowne połączenia z dostarczonym firewallem brzegowym. 6.2.3. Urządzenie musi być wyposażone w twardy dysk do przechowywania logów i raportów o pojemności nie mniejszej niż 2 TB podczas działania w trybie RAID 1 lub RAID 10. 6.2.4. Urządzenie musi być wyposażone w dedykowany port konsoli/zarządzania. Port ten musi być wydzielony co najmniej logicznie i musi pracować w innej instancji routingu co porty obsługujące ruch poddawany inspekcji. 6.2.5. Urządzenie musi spełniać co najmniej następujące parametry wydajnościowe: 6.2.5.1. Minimum 17 Gbps dla inspekcji ruchu z włączoną kontrolą aplikacji, 6.2.5.2. Minimum 8,5 Gbps dla inspekcji ruchu z włączonymi funkcjami IPS, Antywirus, kontrola aplikacji, 6.2.5.3. Minimum 2 Gbps dla inspekcji ruchu SSL (deszyfracja ruchu szyfrowanego) z włączonymi funkcjami IPS, Antywirus, kontrola aplikacji dla sesji 64kB. 6.2.5.4. Minimum 150 tys. nowych połączeń na sekundę. 6.2.5.5. Minimum 4.000.000 równoległych sesji 6.2.5.6. Minimum 400 tys. równoległych sesji dla połączeń SSL (deszyfracja ruchu szyfrowanego) 6.2.6. Urządzenie musi umożliwiać działanie co najmniej w trzech trybach pracy 6.2.6.1. rutera (tzn. w warstwie 3 modelu OSI), 6.2.6.2. przełącznika (tzn. w warstwie 2 modelu OSI), 6.2.6.3. w trybie pasywnego nasłuchu (sniffer). 6.2.7. Tryb pracy urządzenia musi być ustalany bądź w konfiguracji interfejsu sieciowego bądź w ustawieniach systemu, a system musi umożliwiać pracę we wszystkich wymienionych powyżej trybach jednocześnie na różnych interfejsach inspekcyjnych w pojedynczej logicznej instancji systemu (np. wirtualny kontekst/system/firewall/wirtualna domena, itp.) 6

6.2.8. Urządzenie musi obsługiwać protokół Ethernet z obsługą sieci VLAN. Urządzenie musi obsługiwać 4094 znaczników VLAN zgodnych z 802.1q. Urządzenie musi pozwalać na tworzenie tzw. subinterfejsów na interfejsach pracujących w trybie L2 i L3. 6.2.9. Urządzenie musi umożliwiać translację adresów IP (NAT, PAT) zarówno statyczną jak i dynamiczną. Reguły dotyczące NAT muszą być odrębne od reguł definiujących polityki bezpieczeństwa tak aby reguły dotyczące translacji nie powodowały w żaden sposób zależności od konfiguracji tych polityk. 6.2.10. Mechanizmy NAT muszą umożliwiać co najmniej dostęp wielu komputerów posiadających adresy prywatne do Internetu z wykorzystaniem jednego publicznego adresu IP oraz udostępnianie usług serwerów o adresacji prywatnej w sieci Internet. 6.2.11. Urządzenie musi umożliwiać zestawianie tuneli VPN w oparciu o standardy IPSec i IKE w konfiguracji site-to-site. 6.2.12. Konfiguracja VPN musi odbywać się w oparciu o ustawienia routingu (tzw. routing-based VPN). Dostęp VPN dla użytkowników mobilnych musi odbywać się na bazie technologii SSL VPN. 6.2.13. Urządzenie musi spełniać co najmniej następujące parametry wydajnościowe: 6.2.13.1. Minimum 8Gbps 6.2.13.2. Minimum 2000 tuneli IPSEC VPN 6.2.13.3. Minumum 2000 tuneli SSL VPN Remote Access 6.2.14. Jeżeli wykorzystanie funkcji VPN (IPSec i SSL) wymaga zakupu dodatkowych licencji należy je przewidzieć w ofercie dla maksymalnej jego wydajności tzn. dla 2000 jednoczesnych użytkowników 6.2.15. Urządzenie musi umożliwiać uwierzytelnienie dwuskładnikowe (MFA - multi factor authentiaction) i zastosowanie tego mechanizmu w politykach. 6.2.16. Polityki definiujące powinny umożliwiać wykorzystanie 6.2.16.1. adresów źródłowych, 6.2.16.2. adresów docelowych, 6.2.16.3. użytkowników, 6.2.16.4. numerów portów usług 6.2.16.5. kategorie URL, 6.2.16.6. rozpoznanych aplikacji, 6.2.16.7. protokołów sieciowych 6.2.17. System musi obsługiwać co najmniej następujące mechanizmy uwierzytelnienia zarówno Administratorów urządzenia jak i użytkowników sieci. 6.2.17.1. RADIUS lub TACACS+, 6.2.17.2. LDAP, 6.2.17.3. Kerberos lub SAML 2.0. 6.2.18. Urządzenie musi zapewniać zarządzanie pasmem sieci (QoS) w zakresie co najmniej 6.2.18.1. oznaczania pakietów znacznikami DiffServ, 6.2.18.2. ustawiania dla dowolnych aplikacji priorytetu, pasma maksymalnego i gwarantowanego. 6.2.18.3. kształtowania ruchu sieciowego (QoS) dla poszczególnych użytkowników. 6.2.18.4. kształtowania ruchu sieciowego (QoS) per sesja na podstawie znaczników DSCP. 6.2.18.5. przydzielania takiej samej klasy QoS dla ruchu wychodzącego i przychodzącego 6.2.19. Urządzenie musi posiadać funkcję ochrony przed atakami typu DoS wraz z możliwością limitowania ilości jednoczesnych sesji w odniesieniu do źródłowego lub docelowego adresu IP. 7

6.2.20. Urządzenie musi umożliwiać obsługę protokołów routingu minimum RIP, OSPF, BGP oraz routing statyczny. 6.2.21. Urządzenie musi obsługiwać nie mniej niż 20 wirtualnych routerów posiadających odrębne tabele routingu i umożliwiać uruchomienie więcej niż jednej tablicy routingu w pojedynczej instancji systemu zabezpieczeń. Zamawiający dopuszcza rozwiązania, gdzie system urządzenia wymaga, aby tablica routingu była powiązana z wirtualnym systemem w relacji 1:1 wówczas należy przewidzieć w ofercie trzykrotnie większą liczbę wirtualnych firewalli obsługiwanych przez urządzenie aniżeli wymagana w pozostałych wymaganiach dla urządzenia oraz odpowiednio większą instalację systemu zarządzania (dotyczy liczby zarządzanych firewalli logicznych) 6.2.22. Urządzenie musi obsługiwać nie mniej niż 10 wirtualnych firewalli/systemów/domen/kontekstów i posiadać możliwość rozbudowy do 20 takich systemów. Każdy firewall wirtualny musi mieć możliwość konfiguracji indywidualnych, niezależnych i odrębnych: 6.2.22.1. tablic routingu (przy czym system musi umożliwiać uruchomienie więcej niż jednej tablicy routingu w pojedynczej instancji systemu zabezpieczeń, lub zapewnić odpowiednio więcej systemów wirtualnych) 6.2.22.2. Polityk bezpieczeństwa obejmujących 6.2.22.2.1. Listy ACL 6.2.22.2.2. System IPS 6.2.22.2.3. System ochrony antymalware/antyspyware 6.2.22.2.4. System ochrony antywirus 6.2.22.2.5. Koncentratorów VPN dla zdalnego dostępu 6.2.23. (Funkcjonalność opcjonalna) - urządzenie musi posiadać koncept konfiguracji kandydackiej którą można dowolnie edytować na urządzeniu bez automatycznego zatwierdzania wprowadzonych zmian w konfiguracji urządzenia do momentu, gdy zmiany zostaną zaakceptowane i sprawdzone przez administratora systemu w tym. 6.2.23.1. Możliwość edytowania konfiguracji kandydackiej przez wielu administratorów pracujących jednocześnie i pozwalać im na zatwierdzanie i cofanie zmian których są autorami. 6.2.23.2. Możliwość blokowanie wprowadzania i zatwierdzania zmian w konfiguracji systemu przez innych administratorów w momencie edycji konfiguracji 6.2.24. wykreślono 6.2.25. Urządzenie musi umożliwiać obsługę klastra niezawodnościowego tworzenia konfiguracji odpornej na awarie dla urządzeń. Urządzenia w klastrze muszą funkcjonować w trybie Active/Passive i Active/Active. 6.2.26. Polityka bezpieczeństwa systemu zabezpieczeń musi prowadzić kontrolę ruchu sieciowego i uwzględniać strefy bezpieczeństwa, adresy IP klientów i serwerów, protokoły i usługi sieciowe, aplikacje, użytkowników aplikacji, kategorie URL, reakcje zabezpieczeń, rejestrowanie zdarzeń oraz zarządzanie pasmem QoS. Urządzenie musi umożliwiać zdefiniowanie nie mniej niż 20 000 reguł polityki bezpieczeństwa 8

6.2.27. Urządzenie musi umożliwiać rozpoznawanie aplikacji bez względu na numery portów, protokoły tunelowania i szyfrowania (włącznie z P2P i IM). Identyfikacja aplikacji musi odbywać się co najmniej poprzez sygnatury. Identyfikacja aplikacji nie może wymagać podania w konfiguracji urządzenia numeru lub zakresu portów na których dokonywana jest identyfikacja aplikacji. Należy założyć, że wszystkie aplikacje mogą występować na wszystkich 65 535 dostępnych portach. Wydajność kontroli firewalla stanowego i kontroli aplikacji musi być taka sama i wynosić w ruchu full-duplex nie mniej niż wskazano w wymaganiach wydajnościowych. 6.2.28. (Funkcjonalność opcjonalna ) - identyfikacja aplikacji poprzez analizę heurystyczną. 6.2.29. Urządzenie musi wykrywać co najmniej 2500 predefiniowanych aplikacji wspieranych przez producenta (takich jak Skype, Tor, BitTorrent, emule, UltraSurf, TeamViewer, WebEx ) wraz z aplikacjami tunelującymi się w HTTP lub HTTPS oraz pozwalać na ręczne tworzenie sygnatur dla nowych aplikacji bezpośrednio na urządzeniu bez użycia zewnętrznych narzędzi lub poprzez konsolę zarządzającą. 6.2.30. Urządzenie musi przeprowadzać kontrolę aplikacji w sposób umożliwiający potraktowanie informacji o niej jako atrybutu a nie jako wartości w polityce bezpieczeństwa. W szczególności dotyczy to implementacji w modułach innych jak firewall (np. w IPS lub innym module UTM) w których informacja o aplikacji będzie mogła być tylko wykorzystana jako wartość w polityce. 6.2.31. Urządzenie musi pozwalać na blokowanie transmisji plików, nie mniej niż: bat, cab, pliki MS Office, rar, zip, exe, gzip, hta, pdf, tar, tif. Rozpoznawanie pliku musi odbywać się na podstawie nagłówka i typu MIME, a nie na podstawie rozszerzenia. 6.2.32. (Funkcjonalność opcjonalna ) - urządzenie pozwali na blokowanie transmisji plików szyfrowanych co najmniej: doc, xls, ppt, zip, rar. 6.2.33. Urządzenie musi pozwalać na analizę i blokowanie plików przesyłanych w zidentyfikowanych aplikacjach. 6.2.34. Urządzenie musi zapewniać ochronę przed atakami typu Drive-by-download 6.2.35. Urządzenie musi posiadać możliwość zdefiniowania ruchu SSL który należy poddać lub wykluczyć z operacji deszyfrowania i głębokiej inspekcji rozdzielny od polityk bezpieczeństwa. 6.2.36. Dla ruchu deszyfrowanego urządzenie musi posiadać możliwość podstawiania certyfikatu wygenerowanego bezpośrednio na urządzeniu lub wygenerowanego przez Zamawiającego i zaimportowanego do systemu w powszechnie uznanych formatach. 6.2.37. Urządzenie musi zapewniać inspekcję szyfrowanej komunikacji SSH (Secure Shell) dla ruchu wychodzącego w celu wykrywania tunelowania innych protokołów w ramach usługi SSH 6.2.38. Rozwiązanie musi umożliwiać uwierzytelnienie użytkowników lub transparentne ustalenie jego tożsamości w oparciu o: 6.2.38.1. Microsoft Active Directory, 6.2.38.2. serwery Terminal Services. 6.2.38.3. LDAP 6.2.39. Polityka kontroli dostępu urządzenia musi precyzyjnie definiować prawa dostępu użytkowników do określonych usług sieci i musi być utrzymywana nawet gdy użytkownik zmieni lokalizację i adres IP. 6.2.40. Urządzenie musi posiadać możliwość zbierania i analizowania informacji Syslog z urządzeń sieciowych i systemów innych niż MS Windows (np. Linux lub Unix) w celu łączenia nazw użytkowników z adresami IP hostów, z których ci użytkownicy nawiązują połączenia. 9

6.2.41. Funkcja musi umożliwiać wykrywanie logowania jak również wylogowania użytkowników do stacji roboczych. Dopuszcza się zastosowanie innego mechanizmu wbudowanego w urządzenie, który technicznie pozwoli na uzyskanie równoważnej funkcjonalności dotyczącej śledzenia logowania użytkowników. 6.2.42. Urządzenie musi posiadać funkcjonalność Intrusion Prevention System (IPS) wraz z aktualizacją sygnatur w okresie gwarancji. 6.2.43. System IPS musi działać w warstwie 7 modelu OSI. 6.2.44. Baza sygnatur IPS/IDS musi być przechowywania na urządzeniu, regularnie aktualizowana w sposób automatyczny. 6.2.45. Moduł IPS/IDS musi mieć możliwość uruchomienia per reguła polityki bezpieczeństwa firewall lub dla zadanego ruchu opisanego w regule bezpieczeństwa. Nie jest dopuszczalne, aby funkcja IPS/IDS uruchamiana była per całe urządzenie lub jego interfejs fizyczny/logiczny (np. interfejs sieciowy, interfejs SVI, strefa bezpieczeństwa) 6.2.46. Urządzenie musi zapewniać możliwość ręcznego tworzenia sygnatur IPS. 6.2.47. Urządzenie musi posiadać funkcjonalność Antywirus (AV) wraz z aktualizacją sygnatur w okresie gwarancji 6.2.48. Moduł AV musi być uruchamiany per aplikacja oraz wybrany dekoder taki jak http, smtp, imap, pop3, ftp, smb 6.2.49. Baza sygnatur AV musi być przechowywania na urządzeniu, regularnie aktualizowana w sposób automatyczny nie rzadziej niż co 24 godziny. 6.2.50. Moduł AV musi uruchamiany per reguła polityki bezpieczeństwa firewall lub dla zadanego ruchu opisanego w regule bezpieczeństwa. Nie jest dopuszczalne, aby modułu inspekcji antywirusowej uruchamiany był per całe urządzenie lub jego interfejs fizyczny/logiczny (np. interfejs sieciowy, interfejs SVI, strefa bezpieczeństwa). 6.2.51. Urządzenie musi zapewniać ochronę przed atakami typu Spyware Zamawiający dopuszcza by odbywało się to poprzez silnik AV lub silnik IPS lub silnik antymalware lub dedykowany silnik antyspyware. 6.2.52. Baza sygnatur anty-spyware musi być przechowywania na urządzeniu, regularnie aktualizowana w sposób automatyczny i pochodzić od tego samego producenta co producent systemu zabezpieczeń. 6.2.53. Reguły/silnik anty-spyware musi uruchamiany per reguła polityki bezpieczeństwa firewall lub dla zadanego ruchu opisanego w regule bezpieczeństwa. Nie jest dopuszczalne, aby funkcja ta była uruchamiana była per całe urządzenie lub jego interfejs fizyczny/logiczny (np. interfejs sieciowy, interfejs SVI, strefa bezpieczeństwa). 6.2.54. Urządzenie musi zapewniać możliwość ręcznego tworzenia sygnatur antymalware lub antyspyware bezpośrednio na urządzeniu bez użycia zewnętrznych narzędzi i wsparcia producenta lub mieć możliwość tworzenia reguł antymalware lub antyspyware poprzez tworzenie sygnatur bazujących na sygnaturach IOC tworzonych centralnie lub poprzez konsolę zarządzającą. 6.2.55. Urządzenie musi posiadać narzędzia wykrywające i blokujące ruch do domen uznanych za złośliwe (sygnatury DNS). Rozwiązanie musi umożliwiać podmianę adresów IP w odpowiedziach DNS dla domen uznanych za złośliwe w celu łatwej identyfikacji stacji końcowych pracujących w sieci LAN zarażonych złośliwym oprogramowaniem (tzw. DNS Sinkhole). 6.2.56. Urządzenie musi posiadać funkcję wykrywania aktywności sieci typu Botnet na podstawie analizy behawioralnej 10

6.2.57. Urządzenie musi posiadać funkcjonalność URL Flitering wraz z aktualizacjami. 6.2.58. Baza web filtering musi być regularnie aktualizowana w sposób automatyczny i posiadać nie mniej niż 50 milionów rekordów URL. 6.2.59. Moduł filtrowania stron WWW musi mieć możliwość uruchomienia per reguła polityki bezpieczeństwa firewall lub dla zadanego ruchu opisanego w regule bezpieczeństwa. Nie jest dopuszczalne, aby funkcja filtrowania stron WWW uruchamiana była tylko per całe urządzenie lub jego interfejs fizyczny/logiczny (np. interfejs sieciowy, interfejs SVI, strefa bezpieczeństwa). 6.2.60. Moduł filtrowania stron WWW musi mieć możliwość uruchomienia różnych zakresów filtrowania stron WWW dla różnych reguł polityki bezpieczeństwa firewall lub dla zadanego ruchu opisanego w różnych regułach bezpieczeństwa. 6.2.61. Moduł filtrowania stron WWW musi zapewniać możliwość ręcznego tworzenia własnych kategorii filtrowania stron WWW i używania ich w politykach bezpieczeństwa bez użycia zewnętrznych narzędzi i wsparcia producenta. 6.2.62. Moduł filtrowania oprócz blokowania dostępu do stron wybranych kategorii musi umożliwiać wyświetlenie na ekranie użytkownika informacji, iż strona, którą chce wyświetlić jest zabroniona przez politykę bezpieczeństwa. Zamawiający musi mieć możliwość określania treści wyświetlanych informacji przy blokowaniu strony przez moduł filtrowania. 6.2.63. Moduł filtrowania musi mieć możliwość skonfigurowania które algorytmy szyfrowania SSL mają być obsługiwane 6.2.64. Moduł filtrowania musi mieć możliwość blokowania dostępu do stron internetowych korzystających z wybranych wersji protokołu TLS (np. TLS v1.0) 6.2.65. Moduł filtrowania musi mieć możliwość blokowania dostępu do stron na podstawie błędów w certyfikacie SSL (np. wygaśnięcie certyfikatu, niezaufany certyfikat serwera) 6.2.66. Urządzenie musi posiadać funkcjonalność ochrony przed atakami day 0 i współpracy z sandboxem. 6.2.67. Urządzenie musi umożliwiać przechwytywanie i przesyłanie do zewnętrznych systemów typu Sand-Box plików różnych typów (exe, dll, pdf, msofffice (doc, docx, xls, xlsx.), java, swf, apk) przechodzących przez firewall z wydajnością modułu antywirus (zdefiniowaną w szczegółowych wymaganiach wydajnościowych) w celu ochrony przed zagrożeniami typu zero-day. System zewnętrzny musi znajdować się na terenie Unii Europejskiej, a wydajność usługi w chmurze musi zapewniać do 10 000 próbek na dobę. 6.2.68. Systemy zewnętrzne, na podstawie przeprowadzonej analizy, muszą aktualizować system firewall sygnaturami nowo wykrytych złośliwych plików i ewentualnej komunikacji zwrotnej generowanej przez złośliwy plik po zainstalowaniu na komputerze końcowym. 6.2.69. Zarządzanie urządzeniem musi odbywać się z linii poleceń (CLI) oraz graficznej konsoli Web GUI dostępnej przez przeglądarkę WWW. 6.2.70. Dostęp do urządzenia i zarządzanie z sieci muszą być zabezpieczone kryptograficznie (poprzez szyfrowanie komunikacji). 6.2.71. System zabezpieczeń musi pozwalać na zdefiniowanie wielu administratorów o różnych uprawnieniach 6.2.72. Urządzenie musi umożliwiać uwierzytelnianie administratorów za pomocą 6.2.72.1. bazy lokalnej, 6.2.72.2. serwera LDAP, 6.2.72.3. RADIUS lub TACACS+ 11

6.2.73. Musi być zapewniona możliwość stworzenia sekwencji uwierzytelniającej posiadającej co najmniej trzy metody uwierzytelniania (np. baza lokalna, LDAP i RADIUS) 6.2.74. Urządzenie musi zapewniać interfejs API (JSON, REST, XML lub inny) będący integralną częścią systemu zabezpieczeń za pomocą którego możliwa jest konfiguracja i monitorowanie stanu urządzenia bez użycia konsoli zarządzania lub linii poleceń (CLI) 6.2.75. Urządzenie musi zapewniać możliwość zapisania min. 20 poprzednich wersji konfiguracji na dysku twardym urządzenia. Przywrócenie jednej z poprzednich wersji konfiguracji jako konfiguracji aktywnej nie może powodować konieczności restartu urządzenia. 6.2.76. Urządzenie musi zapewniać możliwość eksportu i importu konfiguracji urządzenia do/z pliku. 6.2.77. Urządzenie musi zapewniać możliwość zatwierdzania zmian per pojedynczy system/firewall/kontekst wirtualny. Zmiany zatwierdzane w pojedynczym firewallu wirtualnym nie mogą być w jakikolwiek sposób widoczne w innych systemach wirtualnych, w szczególności niedopuszczalne jest aby zatwierdzenie zmian w pojedynczym systemie/kontekście wpływało w jakikolwiek sposób na ciągłość komunikacji, filtrację, reguły, polityki etc. w innych systemach wirtualnych 6.2.78. Urządzenie musi umożliwiać eksportowanie logów do zewnętrznych serwerów SYSLOG. Minimalne informacje eksportu to: data i czas, adres źródłowy, adres docelowy, protokół sieciowy, numery portów źródłowy i docelowy, podjęte działanie, strefa/interfejs, o ile są znane to (URL/URI,aplikacja, nazwa użytkownika) 6.2.79. Urządzenie musi posiadać funkcję automatycznego przeglądania logowanych informacji oraz pobierania z nich źródłowych i docelowych adresów IP hostów biorących udział w konkretnych zdarzeniach zdefiniowanych według wybranych atrybutów. Na podstawie zebranych informacji musi istnieć możliwość tworzenia obiektów wykorzystywanych w konfiguracji urządzenia w celu zapewnienia automatycznej ochrony lub dostępu do zasobów reprezentowanych przez te obiekty. 6.2.80. Urządzenie musi pozwalać na usuwanie logów i raportów przetrzymywanych na urządzeniu po upływie określonego czasu. 6.2.81. (Funkcjonalność opcjonalna) - urządzenie musi zapewniać wydzielenie modułu zarządzania i modułu przetwarzania danych na poziomie sprzętowym lub fizycznym. 6.2.82. (Funkcjonalność opcjonalna) - urządzenie musi umożliwiać sprawdzenie wpływu nowo pobranych aktualizacji sygnatur (przed ich zatwierdzeniem na urządzeniu) na istniejące polityki bezpieczeństwa, polityki Policy Based Routing oraz polityki QoS - funkcja ta musi być wbudowana w firewall i nie może wymagać korzystania z rozwiązań trzecich. 6.2.83. (Funkcjonalność opcjonalna) - w przypadku utraty komunikacji z centralną konsolą zarządzania urządzenie musi pozwalać na: 6.2.83.1. Lokalne zbieranie i analizowanie logów 6.2.83.2. korelowanie zbieranych informacji oraz budowania raportów na ich podstawie. Zbierane dane powinny zawierać informacje co najmniej o: 6.2.83.2.1. ruchu sieciowym, 6.2.83.2.2. aplikacjach, 6.2.83.2.3. zagrożeniach 6.2.83.2.4. filtrowaniu stron www. 6.2.83.3. tworzenie raportów dostosowanych do wymagań Zamawiającego, zapisania ich w systemie i uruchamiania w sposób ręczny lub automatyczny w określonych przedziałach czasu. Wynik działania raportów musi być dostępny w formatach co najmniej PDF, CSV i XML. 12

6.2.83.4. tworzenie raportów o aktywności wybranego użytkownika lub grupy użytkowników na przestrzeni wskazanego okresu czasu. 6.2.84. Urządzenie musi być wyposażone w zasilacze typu AC pracujące redundantnie. 6.2.85. Konsola zarządzająca: 6.2.85.1. Wraz z urządzeniami Firewall konieczne jest dostarczenie centralnego systemu zarządzania. 6.2.85.2. Zamawiający dopuszcza budowę systemu w oparciu o kilka komponentów zarządzania oferowanych przez producenta firewalli i systemu zarządzania pod warunkiem, iż będą one pochodziły od jednego producenta i będą przez niego w całości serwisowane. 6.2.85.3. System musi pracować w trybie kolektora logów zbierającego jedynie dane z systemów bezpieczeństwa lub w trybie pełnej analizy w celu optymalizacji procesu zbierania logów. 6.2.85.4. System zarządzania, logowania i raportowania musi zostać dostarczony w postaci maszyny wirtualnej instalowanej w środowisku VMWare i Hyper-V. Zamawiający dopuszcza zastosowanie rozwiązania w postaci dedykowanego appliance przy spełnieniu wszystkich podanych poniżej wymagań. 6.2.85.5. System zarządzania, logowania i raportowania musi spełnić następujące wymagania minimalne 6.2.85.5.1. obsługa nie mniej niż 10 firewalli fizycznych 6.2.85.5.2. obsługa nie mniej niż 100 firewalli wirtualnych 6.2.85.5.3. zapewnienie przestrzeni dyskowej o pojemności nie mniejszej niż 16 TB. 6.2.85.5.4. Możliwość rozbudowy o dodatkową przestrzeń dyskową przeznaczonej na logowanie (dopuszcza się rozbudowę poprzez dokupienie dodatkowej licencji) 6.2.85.5.5. System zarządzania, logowania i raportowania musi umożliwiać zbieranie logów zdarzeń z systemów firewall. Zbierane dane powinny zawierać informacje co najmniej o: ruchu sieciowym, użytkownikach, aplikacjach, zagrożeniach i filtrowanych stronach WWW. 6.2.85.5.6. System musi umożliwiać korelację logów zdarzeń z zarządzanych firewalli. 6.2.85.6. System zarządzania, logowania i raportowania musi zapewniać narzędzia dla szybkiej i skutecznej analizy informacji w tym co najmniej 6.2.85.6.1. umożliwiać tworzenie, zapisywanie i ponowne wykorzystywanie filtrów służących do wyszukiwania informacji w zebranych danych. 6.2.85.6.2. tworzenie własnych raportów przez Zamawiającego. 6.2.85.6.3. zapisywanie stworzonych raportów i uruchamianie ich w sposób ręczny lub automatyczny w określonych przedziałach czasu oraz wysyłania ich w postaci wiadomości e-mail do wybranych osób. 6.2.85.6.4. tworzenie dynamicznych raportów. 6.2.85.6.5. eksportu raportów do formatów PDF i CSV. 6.2.85.7. System zarządzania, logowania i raportowania musi umożliwiać centralne zarządzanie wieloma firewallami fizycznymi i logicznymi w tym co najmniej: 6.2.85.7.1. budowanie i dystrybucję polityk bezpieczeństwa o różnym zasięgu. a. Lokalnych (dla wybranych firewalli lub logicznych systemów firewalla) b. globalnych (dla grup firewalli lub kilku systemów logicznych wybranych firewalli). 13

6.2.85.7.2. umożliwiać grupowanie firewalli i systemów z poszczególnych firewalli w logiczne kontenery lub logiczne grupy urządzeń umożliwiające wspólne zarządzanie (konfigurowanie polityk bezpieczeństwa, konfigurowanie ustawień sieciowych, wykorzystanie tych samych obiektów). 6.2.85.7.3. Pozwalać na tworzenie raportów na podstawie zbudowanych kontenerów lub grup urządzeń 6.2.85.7.4. umożliwiać przechowywanie i zarządzanie obiektami używanymi przez wszystkie firewalle w jednym, centralnym repozytorium. 6.2.85.7.5. umożliwiać odseparowanie konfiguracji urządzeń i ich ustawień sieciowych od konfiguracji reguł bezpieczeństwa i obiektów w nich użytych. 6.2.85.7.6. umożliwiać dzielenie obiektów pomiędzy firewallami i systemami logicznymi. 6.2.85.8. System zarządzania, logowania i raportowania musi umożliwiać centralne narzędzia inwentury i audytu oraz zarządzania konfiguracjami w tym co najmniej musi 6.2.85.8.1. (funkcjonalność opcjonalna) - umożliwiać dystrybucję i zdalną instalację nowych wersji systemu oraz poprawek 6.2.85.8.2. umożliwiać tworzenie kopii zapasowych zarządzanych firewalli. 6.2.85.8.3. umożliwiać dystrybucję i zdalną instalację nowych sygnatur. 6.2.85.8.4. umożliwiać audytowanie/sprawdzanie poprawności konfiguracji urządzenia/logicznego systemu przed jej zatwierdzeniem. 6.2.85.8.5. pozwalać na zapisywanie różnych wersji konfiguracji zarządzanych firewalli/logicznych systemów. 6.2.85.8.6. umożliwiać wykonanie procedury wymiany uszkodzonego urządzenia na nowe tak aby system zarządzania, logowania i raportowania zrozumiał, iż nowe urządzenie zastępuje urządzenie uszkodzone 6.2.85.8.7. informować o zmianach konfiguracji systemu 6.2.85.9. System zarządzania, logowania i raportowania musi umożliwiać tworzenie i używanie ról administracyjnych różniących się poziomem dostępu do danego urządzenia lub grupy urządzeń/logicznych systemów. 6.2.85.10. (Funkcjonalność opcjonalna) - system zarządzania, logowania i raportowania musi posiadać taki sam graficzny Interfejs Użytkownika (GUI) jak zarządzane firewalle. 6.3. Wymagania dla Produktu Oprogramowanie zapewniające ochronę stacji roboczych. 6.3.1. Oprogramowanie musi chronić komputery i serwery przed zaawansowanymi zagrożeniami, między innymi przed niesygnaturowym złośliwym oprogramowaniem i atakami typu 0-day, bez względu na to, czy zagrożenie pochodzi z obszaru plików, urządzeń i systemów końcowych, ruchu sieciowego, czy też z obszaru aktywności użytkowników 6.3.2. Oprogramowanie musi zapobiegać atakom, uwzględniać behawiorystkę, umożliwiać wykrycie szkodliwych aktywności, wykorzystując zaawansowane metody analityczne, sandboxing oraz usługi SOC (ang.security Operations Center) dostarczane bezpośrednio przez producenta, które są świadczone w trybie 24/7 wraz z dedykowaną obsługą analiz wykrytego szkodliwego oprogramowania 6.3.3. Oprogramowanie musi wykorzystywać moduły zapobiegania i blokowania technik ataków. Jego działanie nie może być oparte o metodę sygnaturową. Musi istnieć możliwość zastosowania modułów blokowania technik ataków zarówno dla powszechnie znanych i popularnych aplikacji jak również aplikacji własnych. 14

6.3.4. Oprogramowanie będzie zainstalowane na stacjach końcowych oraz serwerach Zamawiającego w ilości sztuk 3500 w tym: 6.3.4.1. stacje robocze 6.3.4.2. serwery MS Windows 6.3.4.3. serwery Linux 6.3.5. Oprogramowanie musi być dostępne co najmniej na poniższe systemy operacyjne 6.3.5.1. MS Windows 7, 8, 8.1, 10 6.3.5.2. MS Windows Server 2008, 2008 R2, 2012, 2012 R2, 2016 6.3.5.3. CentOS 7 6.3.5.4. Ubuntu 16.04 LTS, 18.04 LTS 6.3.5.5. Debian 8, 9 6.3.6. Oprogramowanie musi współegzystować z istniejącymi u Zamawiającego rozwiązaniami zabezpieczeń stacji końcowych typu oprogramowanie antywirusowe w zakresie ochrony przed atakami aplikacyjnymi oraz złośliwymi kodami wykonywalnymi. Zamawiający rozumie słowo współegzystować, jako możliwość korzystania z tych zabezpieczeń jednocześnie (uruchomione i działające zgodnie z przeznaczeniem na stacji końcowej w tym samym czasie) wraz dostarczanym Oprogramowaniem. 6.3.7. Oprogramowanie musi być zarządzane poprzez graficzny interfejs użytkownika typu Web (Web GUI). 6.3.8. Zarządzanie stacjami końcowymi musi odbywać z jednej konsoli. 6.3.9. Agent na stacji końcowej musi być aktualizowany z poziomu konsoli zarządzającej i proces ten musi odbywać się w sposób zautomatyzowany 6.3.10. Komunikacja agentów z konsolą zarządzającą musi odbywać się w sposób szyfrowany protokołem TLS. 6.3.11. Oprogramowanie musi umożliwiać tworzenie konfigurowalnych grup umożliwiających przypisanie urządzeń i polityk. 6.3.12. Oprogramowanie musi umożliwiać tworzenie wyjątków konfiguracyjnych dla określonych stacji końcowych i działających na nich procesów bezpośrednio z poziomu i na bazie zebranych po stronie konsoli zarządzającej logów 6.3.13. Oprogramowanie musi umożliwiać tworzenie tzw. białych list (ang. White Lists) znanych i zaufanych plików lub wykrytych jako potencjalnie niebezpieczne na każdym monitorowanym urządzeniu lub globalnie w celu obniżenia poziomu fałszywych alarmów i poprawy wydajności działania całego rozwiązania 6.3.14. Oprogramowanie musi zapewniać ochronę przed atakami aplikacyjnymi typu exploit w tym co najmniej: 6.3.14.1. ochronę procesów i aplikacji z możliwością dodawania do listy chronionych procesów aplikacji własnych 6.3.14.2. zapewniać funkcję monitorowania i uczenia się środowiska aplikacyjnego Zamawiającego (tj. rozpoznania procesów i aplikacji działających na stacjach końcowych użytkowników). 6.3.14.3. ochronę w czasie rzeczywistym przed możliwością wykorzystania jakiegokolwiek błędu bezpieczeństwa aplikacji poprzez blokowanie technik wykonania ataku (technik exploitacji ). 6.3.14.4. zapewniać skuteczną ochronę przed atakami wykonywanymi z użyciem exploit ów dnia zerowego lub exploitów nieznanych wykorzystujących dowolny błąd bezpieczeństwa aplikacji poprzez blokowanie technik ataków 15

6.3.14.5. zapewniać możliwości monitorowania i zapobiegania atakom poprzez blokowanie szeregu technik ataków bez konieczności połączenia do konsoli zarządzającej i nie bazując na metodzie sygnaturowej 6.3.14.6. W sytuacji wykrycia techniki ataku ukierunkowanej na podatną aplikację, celem zablokowania ataku oprogramowanie musi zatrzymać proces atakowanej aplikacji, zebrać pełen zestaw danych dowodowych (takich jak nazwa atakowanego procesu, źródło pochodzenia pliku, znacznik czasowy, zrzut pamięci, wersja systemu operacyjnego, tożsamość użytkownika, wersja podatnej aplikacji, itp.) oraz zakończyć działanie tylko tego konkretnego procesu. 6.3.14.7. umożliwiać jednoczesną ochronę wielu aplikacji i procesów przed technikami ataków, które mogą być na nich wykonane 6.3.14.8. umożliwiać tworzenie wyjątków konfiguracyjnych dla określonych stacji końcowych celem wykluczenia ich z ogólnych reguł ochrony bezpośrednio z poziomu i na bazie zebranych po stronie konsoli zarządzającej logów 6.3.15. Oprogramowanie nie może stosować technik analizy exploit ów wykorzystujących zasoby sprzętowe, takich jak lokalne środowisko symulacyjne typu sandbox lub zwirtualizowany kontener 6.3.16. Oprogramowanie musi zapewniać ochronę przed złośliwymi plikami wykonywalnymi w tym co najmniej: 6.3.16.1. Zapewniać funkcję monitorowania i uczenia się środowiska aplikacyjnego Zamawiającego (tj. rozpoznania procesów i aplikacji działających na stacjach końcowych użytkowników). 6.3.16.2. umożliwiać ustalanie restrykcji parametrów i sposobu uruchamiania plików wykonywalnych (np. możliwość uruchamiania plików nie posiadających podpisu cyfrowego wystawcy) 6.3.16.3. umożliwiać zapobieganie uruchamianiu złośliwego oprogramowania poprzez użycie modułów blokujących typowe zachowania złośliwych kodów wykonywalnych 6.3.16.4. umożliwiać tworzenie wyjątków konfiguracyjnych dla określonych stacji końcowych celem wykluczenia ich z ogólnych reguł ochrony bezpośrednio z poziomu i na bazie zebranych po stronie konsoli zarządzającej logów 6.3.17. Oprogramowanie musi zapewniać wykrywanie złośliwych kodów wykonywalnych w tym co najmniej musi 6.3.17.1. posiadać opcję integracji ze stosowanym w organizacji chmurowym środowiskiem wykrywania ataków typu APT (Advanced Persistent Threat) lub posiadać własne środowisko chmurowe. Jednocześnie oprogramowanie musi zapewniać skuteczną ochronę przeciwko złośliwemu oprogramowaniu oraz atakom aplikacyjnym nawet jeśli nie posiada połączenia do środowiska chmurowego. 6.3.17.2. posiadać możliwość weryfikacji w chmurowym środowisku anty-apt czy dany plik jest złośliwy, czy nieszkodliwy na bazie skrótu cyfrowego pliku 6.3.17.3. posiadać możliwość wysłania poprzez konsolę zarządzania lub portal producenta rozwiązania potencjalnie złośliwego pliku do analizy w chmurowym środowisku anty-apt 6.3.17.4. posiadać możliwość wglądu w raport wynikowy analizy pliku w środowisku chmurowym anty-apt bezpośrednio z poziomu konsoli zarządzania oprogramowaniem zabezpieczeń stacji końcowych 16

6.3.17.5. posiadać możliwość zapobiegania nieznanym złośliwym plikom wykonywalnym poprzez zastosowanie chmurowego środowiska anty-apt typu sandbox. Dodatkowo powinna istnieć możliwość przedstawienia wyniku analizy pliku wraz z pełnym raportem z analizy. Oprogramowanie nie powinno analizować w środowisku chmurowym plików, które były w nim analizowane uprzednio. Musi działać mechanizm powiadamiania, iż dany plik był już wcześniej poddawany analizie 6.3.17.6. posiadać możliwość ręcznego dostrojenia lub nadpisania werdyktu będącego wynikiem analizy w środowisku chmurowym dla konkretnego skrótu cyfrowego pliku 6.3.17.7. zapewniać możliwość zablokowania uruchomienia pliku wykonywalnego jeśli skrót cyfrowy pliku jest nieznany, tj. plik ten nie był uprzednio analizowany w środowisku chmurowym anty-apt producenta 6.3.17.8. zapewniać możliwość zablokowania uruchomienia pliku wykonywalnego jeśli stacja końcowa nie może skomunikować się z symulacyjnym środowiskiem chmurowym, a skrót cyfrowy pliku jest nieznany lokalnie z poziomu konsoli zarządzania. 6.3.17.9. Zapewniać możliwość uruchomienia analizy statycznej pliku opartej o algorytmy uczenia maszynowego w przypadku braku połączenia do symulacyjnego środowiska chmurowego. 6.3.18. Oprogramowanie musi zapewniać wbudowane mechanizmy raportowania w tym co najmniej musi 6.3.18.1. posiadać wbudowane widoki do monitorowania poziomu i stanu bezpieczeństwa Zamawiającego: 6.3.18.2. zapewniać raporty dotyczące operacji dokonywanych na ochranianym systemie 6.3.18.3. zapewniać raporty dotyczące zdarzeń bezpieczeństwa wraz z widokami szczegółowymi 6.3.18.4. posiadać widoki werdyktów na skanowanych plikach 6.3.18.5. zapewniać widoki do monitorowania stanu poszczególnych stacji końcowych Zamawiającego- co najmniej widok Szczegółowego Stanu/Statusu Stacji Końcowych oraz widok Zmian Reguł Bezpieczeństwa Stacji Końcowych 6.3.18.6. wyświetlać informacje, za pomocą przeglądarki www, na temat wykrytych zagrożeń i złośliwego oprogramowania oraz umożliwiać eksport dziennika zdarzeń zagrożeń i stanu stacji końcowych w formacie CSV 6.3.18.7. umożliwiać wyszukiwanie stacji końcowych po nazwach urządzenia. 6.3.19. Oprogramowanie musi zapewniać zbieranie informacji do dokumentacji dowodowej (Forensics) w tym co najmniej: 6.3.19.1. umożliwiać zbieranie dokumentacji dowodowej i danych ze stacji końcowych w jednym centralnym punkcie 6.3.19.2. umożliwiać przesyłanie danych powiązanych z dokumentacją dowodową za pomocą szyfrowanego połączenia 6.3.19.3. zapewniać możliwość wyświetlenia wysokopoziomowych informacji systemowych na temat stacji końcowej po wykryciu zagrożenia oraz zapewnić możliwość zebrania danych odnoszących się do zastosowanego mechanizmu ochrony celem dalszej analizy i śledztwa 6.3.19.4. umożliwiać automatyczne tworzenie wyjątków odnośnie reguł oraz skrótów cyfrowych bezpośrednio z raportu dotyczącego wykrytego zagrożenia w celu umożliwienia uruchomienia danego procesu na poszczególnych stacjach końcowych. 17