... Nazwa (firma) wykonawcy albo wykonawców ubiegających się wspólnie o udzielenie zamówienia Załącznik nr 8a do SIWZ (Załącznik nr 2 do OPZ) Formularz Oferty Technicznej nr 2 (Urządzenia firewall) Część II zamówienia 1. Wymagania techniczne Nazwa/typ/model/ oferowanego urządzenia wraz z kartami rozszerzeń:...... 1.1. Parametry i funkcjonalności wymagane dla urządzeń firewall Lp. Nazwa parametru Typ wymagania* 1. Urządzenie musi realizować zadania kontroli dostępu (filtracji ruchu sieciowego), wykonując kontrolę na poziomie warstwy sieciowej, transportowej oraz aplikacji. Potwierdzenie spełniania wymagania** 2. Urządzenie musi zapewniać obsługę dla IPv6. 3. Urządzenie musi zapewnić możliwość statycznej i dynamicznej translacji adresów NAT między IPv4 i IPv6. 4. Urządzenie nie może posiadać ograniczeń licencyjnych dotyczących liczby chronionych komputerów w sieci wewnętrznej. 5. Reguły zabezpieczeń firewall zgodnie z ustaloną polityką opartą o profile oraz obiekty. Polityki muszą być definiowane pomiędzy określonymi strefami bezpieczeństwa. Konsola zarządzania posiada możliwości automatycznej weryfikacji spójności i niesprzeczności wprowadzonej polityki bezpieczeństwa. 6. Urządzenie musi zapewniać inspekcję komunikacji szyfrowanej HTTPS (HTTP szyfrowane protokołem SSL) dla ruchu wychodzącego do serwerów zewnętrznych (np. komunikacji użytkowników surfujących w Internecie) oraz ruchu przychodzącego do serwerów firmy. System 1
musi mieć możliwość deszyfracji niezaufanego ruchu HTTPS i poddania go właściwej inspekcji nie mniej niż: wykrywanie i blokowanie ataków typu exploit (ochrona Intrusion Prevention), wirusy i inny złośliwy kod (ochrona anty-wirus i any-spyware), filtracja plików, danych i URL. 7. Urządzenie musi zapewnić możliwość wykluczenia z inspekcji komunikacji szyfrowanej ruchu wrażliwego na bazie co najmniej: kategoryzacji stron URL, dodania własnych wyjątków. 8. Urządzenie musi zapewnić możliwość skanowania całości ruchu pod kątem zaistnienia podatności, a nie wyłącznie wybranych próbek ruchu. 9. Urządzenie musi identyfikować co najmniej 1000 różnych aplikacji, w tym aplikacji tunelowanych w protokołach HTTP i HTTPS m.in.: Skype, Gadu-Gadu, Tor, BitTorrent, emule. 10. Urządzenie musi zapewnić możliwość definiowania własnych wzorców aplikacji poprzez zaimplementowane mechanizmy lub z wykorzystaniem serwisu producenta. 11. Urządzenie musi zapewnić możliwość dodania własnej lub zmiany predefiniowanej kategoryzacji URL. 12. Urządzenie musi posiadać możliwość rozbudowy o funkcjonalność podmieniania adresów domen uznanych za złośliwe na zdefiniowany adres lokalny w odpowiedziach na zapytania DNS w celu wykrycia hostów z sieci wewnętrznej które próbują nawiązać komunikacje ze złośliwymi domenami. 13. Urządzenie musi umożliwiać zestawianie zabezpieczonych kryptograficznie tuneli VPN w oparciu o standardy IPSec i IKE w konfiguracji site-to-site. Dostęp VPN dla użytkowników mobilnych musi odbywać się na bazie technologii SSL VPN. 14. Urządzenie musi posiadać możliwość uruchomienia modułu wykrywania i blokowania ataków intruzów w warstwie 7 modelu OSI (IPS). W ramach zamówienia Zamawiający wymaga subskrypcji tej usługi na okres 36 miesięcy. 15. Urządzenie musi posiadać możliwość uruchomienia modułu inspekcji antywirusowej, kontrolującego przynajmniej protokoły: SMTP, HTTP i HTTPS oraz podstawowe rodzaje plików. Baza AV musi być przechowywana na urządzeniu i regularnie aktualizowana w sposób automatyczny. W ramach zamówienia Zamawiający wymaga subskrypcji tej usługi na okres 36 miesięcy. 16. Urządzenie musi posiadać możliwość uruchomienia w przyszłości modułu filtrowania stron WWW w zależności 2
od kategorii treści stron HTTP bez konieczności dokupywania jakichkolwiek komponentów, poza subskrypcją. Baza kategorii stron musi być przechowywana na urządzeniu i regularnie aktualizowana w sposób automatyczny. 17. Urządzenie musi transparentnie ustalać tożsamość użytkowników sieci w oparciu o Active Directory. Polityka kontroli dostępu (firewall) musi precyzyjnie definiować prawa dostępu użytkowników do określonych usług sieci i jest utrzymana nawet gdy użytkownik zmieni lokalizację i adres IP. W przypadku użytkowników pracujących w środowisku terminalowym, tym samym mających wspólny adres IP, ustalanie tożsamości musi odbywać się również transparentnie. 18. Urządzenie musi wykonywać statyczną i dynamiczną translację adresów NAT. Mechanizmy NAT muszą umożliwiać co najmniej dostęp wielu komputerów posiadających adresy prywatne do Internetu z wykorzystaniem jednego publicznego adresu IP oraz udostępnianie usług serwerów o adresacji prywatnej w sieci Internet. 19. Urządzenie musi działać w trybie routera (tzn. w warstwie 3 modelu OSI), w trybie transparentnym (tzn. w warstwie 2 modelu OSI) oraz trybie pasywnego nasłuchu (tzn. TAP). Funkcjonując w trybie transparentnym urządzenie nie może posiadać skonfigurowanych adresów IP na interfejsach sieciowych. 20. W architekturze rozwiązania musi występować moduł zarządzania i moduł przetwarzania danych. 21. Urządzenie musi posiadać możliwość pracy w konfiguracji odpornej na awarie w trybie Active-Passive i Active-Active. 22. Urządzenie musi umożliwiać zarządzanie pasmem sieci (QoS) w zakresie oznaczania pakietów znacznikami DiffServ, a także ustawiania dla dowolnych aplikacji priorytetu, pasma maksymalnego i gwarantowanego. Urządzenia muszą umożliwiać stworzenie co najmniej 8 klas dla różnego rodzaju ruchu sieciowego. 23. Urządzenie musi być fabrycznie nowe, aktualnie obecne w linii produktowej producenta. 24. Urządzenie musi pochodzić z autoryzowanego kanału sprzedażowego producenta na terenie Unii Europejskiej. 25. Urządzenie musi być monitorowane przez posiadany przez Zamawiającego system Tufin Secure Track oraz Tufin Secure Change. Wykonawca dostarczy wymagane licencje do systemu Tufin. 26. Interfejs administracyjny urządzenia musi być w języku 3
polskim lub angielskim. 27. Urządzenie musi być dostarczone jako dedykowane urządzenie zabezpieczeń sieciowych (appliance). 28. Urządzenie musi być urządzeniem o uznanej na rynku pozycji i muszą znajdować się w kwadracie Leaders lub Chellengers raportu Gartnera pt. Magic Quadrant of Network Enterprise Firewalls - Kwiecień 2014 lub Magic Quadrant of Network Enterprise Firewalls Kwiecień 2015. 29. Urządzenie nie może znajdować się na liście end-ofsale oraz end-of-support producenta. 30. Urządzenie musi być w obudowie typu rack 31. W lokalizacji Warszawa - DC1 zostanie zainstalowane minimum jedno urządzenie 32. W lokalizacji Warszawa - DC2 - zostanie zainstalowane minimum jedno urządzenie 33. Urządzenie musi mieć budowę modularną umożliwiającą instalację minimum 1 karty zarządzającej oraz minimum 6 kart z interfejsami liniowymi 34. Przepustowość matrycy przełączającej (backplane) urządzenia musi wynosić minimum 1 Tbps. 35. Urządzenie musi być dostarczone w konfiguracji z minimum 12 portami 1000 BaseT, 8 portami Gigabit SFP, 4 portami 10 Gigabit SFP+ oraz 2 portami 40Gb. Wymagane jest dostarczenie następujących typów wkładek do każdego z urządzeń: a) SFP+10Gb-LR 2 szt. b) SFP+10Gb-SR 4 szt. 36. System zabezpieczeń firewall musi mieć możliwość zwiększenia liczby interfejsów poprzez dodanie dodatkowych modułów bądź kart rozszerzeń o dodatkowo (w stosunku do konfiguracji minimalnej opisanej w punkcie poprzednim): minimum 4 interfejsy optyczne 1Gb (SFP) oraz minimum 20 interfejsów optycznych 10Gb (SFP+). Dopuszcza się użycie kabli rozszywających 40Gb QSFP na 10Gb SFP+. 37. Każde urządzenie musi zapewniać wydajność przynajmniej 8 Gbps dla ruchu IPSec VPN. 38. Każde urządzenie musi posiadać przepustowość w ruchu nie mniej niż 20 Gbps dla kontroli firewall z włączoną funkcją kontroli aplikacji oraz akceptować nie mniej niż 110 000 połączeń na sekundę. Przepustowość dla ruchu rzeczywistego z włączoną pełną funkcjonalnością (ochrona Intrusion Prevention, antywirus, filtracja aplikacji i kategoryzacja URL) nie może być mniejsza niż 10 Gbps. 4
39. Każde urządzenie musi posiadać możliwość rozbudowy przepustowości w ruchu do nie mniej niż 100 Gbps dla kontroli firewall z włączoną funkcją kontroli aplikacji oraz akceptować nie mniej niż 600 000 nowych połączeń na sekundę i obsługiwać min. 20 000 000 jednoczesnych sesji. 40. Urządzenie musi obsługiwać protokół Ethernet z obsługą sieci VLAN poprzez tagowanie zgodne z IEEE 802.1q. Subinterfejsy VLAN mogą być tworzone na interfejsach sieciowych pracujących w trybie L2 i L3. Urządzenie musi obsługiwać protokoły routingu dynamicznego, nie mniej niż BGP i OSPF. 41. Rozwiązanie musi posiadać możliwość podłączenia urządzeń firewall w klastrze pod scentralizowany system zarządzania. 42. Zarządzanie systemu zabezpieczeń musi odbywać się z linii poleceń (CLI) oraz z graficznej konsoli GUI. Dostęp do urządzenia i zarządzanie z sieci muszą być zabezpieczone kryptograficznie (poprzez szyfrowanie komunikacji). System zabezpieczeń musi pozwalać na zdefiniowanie wielu administratorów o różnych uprawnieniach. Dopuszcza się, aby polityki mogły być tworzone tylko z graficznej konsoli GUI. 43. Urządzenie firewall musi posiadać koncept konfiguracji kandydackiej którą można dowolnie edytować na urządzeniu bez automatycznego zatwierdzania wprowadzonych zmian w konfiguracji urządzenia do momentu gdy zmiany zostaną zaakceptowane i sprawdzone przez administratora systemu. 44. Serwis dostępu do najnowszej wersji oprogramowania, serwis sprzętowy i ewentualne licencje/subskrypcje na aktualizajcę bazy aplikacji muszą być ważne przynajmniej przez okres trzech lat. 45. Urządzenie musi być wyposażone w dedykowany port zarządzania out-of-band. 46. Urządzenie musi umożliwiać stworzenie i konfigurację min. 25 wirtualnych firewalli. Musi istnieć możliwość rozbudowy urządzenia dla osiągnięcia możliwości definicji min. 200 wirtualnych firewalli. 47. W przypadku gdy urządzenie pozwala na jednoczesną pracę dwu lub więcej administratorów musi istnieć wbudowany w system mechanizm umożliwiający jednemu z administratorów uzyskanie wyłączności na wprowadzanie zmian. W tym czasie pozostali zalogowani użytkownicy nie mogą być w stanie dokonać żadnych zmian w konfiguracji. 48. Urządzenie musi umożliwiać przesyłanie logów do kilku 5
zdefiniowanych serwerów Syslog. Administrator urządzenia musi mieć możliwość zdefiniowania, dla każdej reguły bezpieczeństwa, innego serwera Syslog. 49. Administrator urządzenia musi mieć możliwość przeglądania z poziomu urządzenia informacji o plikach które zostały wysłane do analizy w systemie "Sand-Box", informacji jak przesłane pliki zachowywały się w środowisku testowym, które z nich i z jakiego powodu zostały uznane za złośliwe, jak również sprawdzić którzy użytkownicy te pliki przesyłali. 50. Urządzenie musi mieć możliwość czytania oryginalnych adresów IP stacji końcowych z nagłówka X-Forwarded- For i wykrywania na tej podstawie użytkowników generujących daną sesje w przypadku gdy ruch przechodzi przez serwer Proxy zanim dojdzie do urządzenia. 51. Pomoc techniczna oraz szkolenia z produktu muszą być dostępne w Polsce. Usługi te muszą być świadczone w języku polskim w autoryzowanym ośrodku edukacyjnym 52. Wraz z system zabezpieczeń firewall musi zostać dostarczona fizyczna platforma w postaci urządzenia sieciowego (lub urządzeń sieciowych) pozwalająca na centralne zarządzanie, logowanie i raportowanie zdarzeń z 25 urządzeń fizycznych i logicznych instancji systemów bezpieczeństwa o pojemności dysku nie mniejszej niż 1 TB w RAID 1 (2 x 1 TB). Musi istnieć możliwość rozbudowy systemu zarządzania do obsługi minimum 150 urządzeń fizycznych bez konieczności wymiany platformy sprzętowej. 53. Konsola zarządzająca, logująca i raportująca musi mieć możliwość korelowania zbieranych zdarzeń i informacji oraz budowania na ich podstawie wielu, dostosowanych do potrzeb Zamawiającego raportów. Zbierane dane powinny zawierać informacje co najmniej o: ruchu sieciowym, użytkownikach, aplikacjach, zagrożeniach i filtrowaniu stron WWW. Musi istnieć możliwość zapisania stworzonych raportów i uruchamianie ich w sposób ręczny lub automatyczny w określonych przedziałach czasu oraz wysyłania ich w postaci wiadomości e-mail do wybranych osób. 54. Konsola zarządzająca, logująca i raportująca musi móc pracować w trybie kolektora logów zbierającego jedynie dane z systemów bezpieczeństwa lub w trybie pełnej analizy w celu optymalizacji procesu zbierania logów. Powinna istnieć możliwość rozbudowy systemu zarządzającego, logującego i raportującego o kolejne 6
urządzenia tak aby umożliwić zwiększenie pojemności lub/i wydajności całego systemu w przyszłości. Nie dopuszcza się systemu w którym występuje konieczność rozdzielenia funkcji raportowania i logowania oraz funkcji zarządzania na dwa rózne systemy fizyczne lub logiczne. 55. Konsola zarządzająca, logująca i raportująca musi umożliwiać centralne budowanie i dystrybucję polityk bezpieczeństwa, aktualizację oprogramowania i sygnatur oraz funkcje audytu i backupu konfiguracji. Konsola zarządzania posiada możliwości automatycznej weryfikacji spójności i niesprzeczności wprowadzonej polityki bezpieczeństwa. 7
1.2. Parametry i funkcjonalności dodatkowe Lp Nazwa parametru 1. Pojedyncza, logiczna instancja systemu musi pozwalać na pracę w trybie routera (tzn. w warstwie 3 modelu OSI), w trybie transparentnym (tzn. w warstwie 2 modelu OSI) lub trybie pasywnego nasłuchu (tzn. TAP) w tym samym czasie. Tryb pracy zabezpieczeń musi być ustalany w konfiguracji interfejsów inspekcyjnych. 2. Urządzenie musi umożliwiać definiowanie i przydzielanie innych profili ochrony (AV, IPS, AS, URL) dla aplikacji pracujących na tym samym porcie UDP lub TCP. 3. Urządzenie musi umożliwiać definiowanie i przydzielanie odmiennych profili kontrolujących transfer różnych rodzajów plików dla aplikacji pracujących na tym samym porcie UDP lub TCP. 4. Urządzenie musi posiadać funkcjonalność odczytywania informacji o adresie IP hosta i korzystającym z tego hosta użytkowniku na podstawie komunikacji Syslog wysyłanej do firewalla. 5. Urządzenie musi mieć możliwość uruchomienia kilku, odrębnych tablic routingu w pojedynczej, logicznej instancji systemu. 6. Urządzenie musi posiadać funkcjonalność pozwalającą administratorowi urządzenia na konfigurację rodzaju pliku (exe, dll), użytej aplikacji oraz kierunku przesyłania (wysyłanie, odbieranie, oba) do określenia ruchu poddanego analizie typu Sand-Box. Musi istnieć możliwość rozbudowy funkcjonalności o analizę plikó pdf, msoffice. 7. Urządzenie musi mieć możliwość przekierowania ruchu (PBR - policy base routing) dla wybranych aplikacji i konkretnych użytkowników z pominięciem tablicy routingu. 8. Urządzenie musi posiadać interfejs API który musi być jego integralną częścią i umożliwiać Typ wymagania* Liczba punktów za spełnienie wymagania Potwierdzenie spełniania wymagania** Opcjonalne 3 /NIE Opcjonalne 2 /NIE Opcjonalne 1 /NIE Opcjonalne 1 /NIE Opcjonalne 1 /NIE Opcjonalne 3 /NIE Opcjonalne 2 /NIE Opcjonalne 3 /NIE 8
konfigurowanie i sprawdzanie stanu urządzenia bez użycia konsoli do zarządzania lub linii poleceń (CLI). 9. Urządzenie musi mieć możliwość tworzenia dynamicznych obiektów adresowych do których, na podstawie zdefiniowanych etykiet, można w automatyczny sposób przypisywać adresy IP. Powinna istnieć możliwość ręcznego tworzenia etykiet bezpośrednio na urządzeniu lub automatycznego pobierania ich z zewnętrznych systemów np. VMware vcenter lub ESX(i) oraz skojarzonych z tymi etykietami adresów IP. Powinna istnieć możliwość wykorzystania tak zbudowanych obiektów adresowych w politykach bezpieczeństwa. 10. Urządzenie musi mieć możliwość wyboru sposobu blokowania ruchu w politykach bezpieczeństwa. Powinna istnieć możliwość ustawienia cichego blokowania ruchu bez wysyłania RST, blokowanie z wysłaniem RST tylko do klienta, blokowanie z wysłaniem RST tylko do serwera, blokowanie z wysłaniem RST do klienta i serwera jednocześnie. 11. System zarządzania urządzeniami dostarczony w ramach Zamówienia musi zarządzać posiadanymi przez Zamawiającego firewallami Palo Alto PA3050 (2 sztuki) - w zakresie nie mniejszym niż wymagany dla zarządzania nowo dostarczanymi urządzeniami. 12. Wydajność Maksymalna przepustowość dla ruchu rzeczywistego z włączoną pełną funkcjonalnością (ochrona Intrusion Prevention, antywirus, filtracja aplikacji, Anti- Bot). Minimalna wymagana przepustowość: 15 Gbps. Opcjonalne 1 /NIE Opcjonalne 3 /NIE Opcjonalne 5 /NIE Opcjonalne Za przepustow ość powyżej 15 Gbps lecz nie więcej niż 30 Gbps zostaną przyznane dodatkowe punkty: Za każdy 1 Gbps 1 pkt /NIE Deklarowana przepustowość:... 9
max 15 pkt * Wymaganie oznacza, że w przypadku niespełniania dowolnego wymagania oznaczonego jako bezwzględne, Oferta będzie odrzucana. Wymaganie Opcjonalne oznacza, że oferent może ale nie musi zaoferować wyższe parametry. Wyższe parametry będą dodatkowo punktowane na etapie oceny Oferty. ** Potwierdzić spełnianie wymagania, poprzez pozostawienia Tak dla wymagań Bezwzględnych lub skreślić niepotrzebne dla wymagań Opcjonalnych. UWAGA: Zamawiający w kryteriach oceny ofert punktować będzie udzielone przez oferenta odpowiedzi w zakresie tabeli 1.2 Parametry i funkcjonalności dodatkowe :. Szczegółowe zasady przyznawania punktacji zostały określone w cz. XVII SIWZ. UWAGA: Zamawiający w celu dokonania weryfikacji spełniania przez oferowane urządzenia wymaganych parametrów, wezwie każdego z oferentów do dostarczenia testowego urządzenia o konfiguracji zgodnej z ofertą oraz wykazania podczas testu, że parametry te są spełniane. Zamawiający wymaga gotowości oferenta do przeprowadzenia testów w terminie nie dłuższym niż 14 dni kalendarzowych liczonym od dnia otwarcia ofert. Zamawiający oddzielnym pismem wyznaczy każdemu z oferentów dokładny termin przeprowadzenia testów. 10