1x CPU Type Intel Xeon E V2 (Ivy Bridge), 3.2GHz (4 cores) RAM Size 8GB (DDR3 4Gx2) Brasília, 31 de Março de 2015

Transcrição

1 À CGU - Controladoria Geral da União CGRL Coordenação Geral de Recursos Logísticos Comissão de Licitação A/C Sr. Márcio David e Souza Nesta Brasília, 31 de Março de 2015 REF.: RESPOSTA DILIGÊNCIA PREGÃO ELETRÔNICO Nº 02/ CGU Prezado Sr. Pregoeiro, Conforme solicitado seguem nossos esclarecimentos, comprovando que todos os itens solicitados atendem ao edital na íntegra, conforme amplamente explicado abaixo: Item O serviço deve ter funcionalidade de proxy transparente HTTP/HTTPS e de cache de dados com capacidade de armazenamento de no mínimo 100 GB; Após revisão das diligências, surgiu nova incerteza sobre esse item. a) Em caso positivo, o equipamento possui a capacidade de armazenamento do cache de 100GB? Sim, conforme descrito na pergunta anterior e verificado na Figura abaixo e pode ser encontrado no documento oficial "A: pág(6)". O documento referenciado traz a seguinte informação: Local Storage 120GB SSD. Entendemos que a solução não ocupa mais de 20 GB com outras informações, mesmo necessárias, como, por exemplo, o sistema operacional. Assim, dos referidos 120 GB, pelo 100GB estarão disponíveis apenas para o cache. Solicita-se confirmar se o entendimento acima está correto. Sim, está correto o entendimento. A solução ofertada oferece 120GB de espaço para cache, pois o appliance tem 16GB de memória Flash para armazenar o firmware e suas configurações e não utiliza do disco SSD para cache/local storage para o sistema operacional e outras informações. As especificações do hardware são as seguintes: Fortigate 500D 1x CPU Type Intel Xeon E V2 (Ivy Bridge), 3.2GHz (4 cores) RAM Size 8GB (DDR3 4Gx2)

2 Compact Flash Size 16GB MLC SATA BGA CP ASIC in the unit 2 X CP8 NP ASIC in the unit 1 X NP6 Local Built-in Storage 120GB MLC Tais informações podem ser confirmadas no fórum oficial do fabricante conforme link Figura 1 - Imagem da descrição do Fórum oficial do fabricante Segue imagem do esquema de hardware do Fortigate 500D. Essa imagem faz parte de um documento de estrutura de hardware da Fortinet.

3 Figura 2 - Esquema de hardware do Fortigate 500D Nos modelos 100 e superiores, os firmwares e arquivos de configuração são salvos em partições especificas da memória flash, tal informação pode ser confirmada no endereço de KB (Knowledge Base), como demonstrado abaixo. Segue link do KB do fabricante: =FD31908&sliceId=1&docTypeID=DT_KCARTICLE_1_1&dialogID= &stateId=0 %200%

4 Figura 3 - Dados a partir de link do KB da Fortinet Portanto, o sistema operacional não utiliza a área de disco SSD para armazenar outras informações.

5 Item O serviço deve permitir a liberação/bloqueio de canais específicos do site Inicialmente, o item 2.20 não especifica o método de liberação/bloqueio a ser utilizado. (...) uma outra maneira é listar todos os vídeos que estão disponíveis em cada canal e fazer o controle individual. É possível controlar o acesso por liberação/bloqueio de categoria do tipo Streaming de vídeo (...) Conquanto o item 2.20 não especifique o método que deva ser utilizado para realizar a liberação de canais do Youtube, entendemos que tal método deva ser algo mais específico que a simples criação de uma lista com todas as URLs de vídeos de um canal, de forma a justificar a criação de item específico. O requisito expresso no item 2.20, deixa clara a necessidade do equipamento possuir a funcionalidade de automatizar o controle de canais do site youtube.com. A funcionalidade de bloqueio manual de vídeos por URL já é um requisito inerente ao equipamento de filtro de conteúdo e a funcionalidade de bloqueio de canal é um requisito adicional para automatizar o bloqueio/liberação de vídeos. As listas de URLs são estáticas. Assim, caso o responsável pelo canal faça upload de um novo vídeo, este não será adicionado automaticamente à lista. Isto, por si só, desqualifica o uso de lista como equivalente à funcionalidade requerida em edital. (...) O Google retirou qualquer informação do header dos vídeos do Youtube por motivo de licenciamento e não é possível identificar a qual canal o vídeo pertence, dessa maneira a liberação deve ser feita manualmente ou semi-automático (...) (...) Uma das maneiras utilizadas pela Fortinet é, após a criação da regra (bloquear/liberar), adiciona-se sensores de controle, criando Filtros e Perfis WEB e adicionando um verificador do "Header" e o ID do canal. Da primeira parte do texto, depreende-se que não há informações sobre header dos vídeos e, por isso, não é possível identificar a qual o canal o vídeo pertence. Porém, na segunda parte, entende-se que a Fortinet realiza a liberação de canais adicionando um verificador do "Header" e o ID do canal, o que aparentemente contradiz a primeira afirmação. Sabe-se que o Youtube possui uma API que disponibiliza dezenas de informações sobre os vídeos apresentados e, uma delas, é o próprio canal, conforme link abaixo: Dessa forma, a dúvida que persiste é se a solução ofertada consegue, por meio de tais sensores, obter informações dos Headers e do ID do canal e, com tais

6 informações, efetuar a liberação de canais específicos do Youtube - sem a necessidade de criação manual de listas com todas as URLs de canal. Quando usando uma conta oficial do Youtube é possível criar um Header nos links dos arquivos, como no exemplo: Esclarecemos ainda que qualquer canal do Youtube deve ser passível de liberação por meio da solução e não apenas canais criados pela CGU por meio de uma conta oficial do Youtube e utilizando Headers específicos. Dessa forma, solicitamos que seja respondida a seguintes pergunta: a) É possível a criação de uma regra que permita a liberação de canais específicos do Youtube sem que todas as URLs dos vídeos pertencentes a esses canais tenham de ser cadastradas manualmente em uma lista? o Exemplos de canais do Youtube que podem ser liberados: o Exemplo de URLs que NÃO devem ser adicionadas manualmente na regra de liberação, mas também devem ser liberados por estarem contidas em um canal: Resposta: Não. As URLs dos vídeos pertencentes a esses canais devem ser cadastradas manualmente, através da criação de regras com filtros de análise do header HTML dos vídeos do canal. Dessa maneira é possível identificar a URL do USER e validar a liberação da URL. Portanto, a solução ofertada permite a liberação/bloqueio de canais específicos do site conforme exigido no edital. Ao resumo da regra, Será feito um bloqueio a todos os canais do youtube.com e depois será criado uma regra de Filtro de aplicação e IPS que checará o corpo HTML do vídeo do canal, esse Header do vídeo faz referência ao uploader/user do vídeo. Dessa maneira é possível liberar somente o acesso aos vídeos do determinado canal. O exemplo nesse caso será o canal do STF. Exemplo :

7 Figura 4 - Vídeo do Canal do STF com as informações do HTML Ao abrir o header do vídeo é possível identificar no texto HTML o uploader do vídeo, conforme imagem abaixo.

8 Figura 5 - Referente ao Header informando o Uploader do vídeo exemplo. Inclusive com esse tipo de analise de header é possível determinar outras informações referentes ao canais como, Youtube ID, linguagem, região de acesso e player do vídeo. Com essas informações é possível fazer regras e aplicar filtros com essas informações.

9 Figura 6 - Youtube ID do STF e linguagem do vídeo

10 CRIAÇÃO DAS REGRAS DE BLOQUEIO POR DETECÇÃO DE HEADER HTML Além da funcionalidade de Webfilter, URL Filter, Antivírus, a solução ofertada contempla a seguintes funcionalidades de controle de aplicação e IPS, dessa forma criaremos a regra. Passo 1a - Criar assinatura customizada de IPS - Liberação do canal Figura 7 - Criar assinatura customizada do IPS - Liberação F-SBID( --attack_id 1631; --name Channels.Youtube_libera; --protocol tcp; --pcre "/.*\/user\/stf.*/";-- context body; --flow from_server; --no_case;) Passo 1b - Criar assinatura customizada de IPS - bloqueio Figura 8 - Criar assinatura customizada do IPS - Bloqueio F-SBID( --attack_id 1630; --name Channels.Youtube.block; --protocol tcp; --pcre "/.*youtube\.com*/";-- context body; --flow from_server; --no_case;)

11 Passo 2 - Criar/Configurar sensor Figura 9 - Configuração do Sensor Passo 3 - Aplicar regra e definir sensor Figura 10 - Criação de regra

12 EXEMPLOS DE TESTES Figura 11 - (Esq) Bloqueio ao acesso ao Youtube.com, (Dir) Liberação de vídeo por reconhecimento de header Figura 12 - (Esq) Liberação do Canal por reconhecimento de header, (Dir) Liberação de vídeo por reconhecimento de header