SIM, é possivel. Brasília, 24 de Março de 2015

Transcrição

1 À CGU - Controladoria Geral da União CGRL Coordenação Geral de Recursos Logísticos Comissão de Licitação A/C Sr. Márcio David e Souza Nesta Brasília, 24 de Março de 2015 REF.: RESPOSTA DILIGÊNCIA PREGÃO ELETRÔNICO Nº 02/ CGU Prezado Sr. Pregoeiro, Conforme solicitado seguem nossos esclarecimentos. Item O serviço deve permitir a criação de regras baseadas em tempo de conexão consumido, por usuário ou grupo de usuário, ou por volume de dados por usuário; Conforme documentação apresentada, para o funcionamento de quota por usuários, será necessário que o usuário se autentique provendo seu login/senha para que o FortiGate o reconheça e determine a quota permitida para este usuário. Essa autenticação será realizada por meio de um prompt que será apresentado no primeiro acesso à URL: Porém, no item 1.13 deste edital, requer-se que a autenticação do usuário seja realizada de forma transparente. Assim, solicita-se responder o seguinte questionamento: a) É possível realizar a utilização do sistema de quota com autenticação transparente via NTLM? SIM, é possivel.

2 O Fortigate possui um mecanismo próprio para autenticação transparente, chamado FSSO (Fortinet Single Sign-on) que funciona da seguinte maneira: 1. O agente do FSSO (Collector) detecta o evento de login e registra o nome da estação de trabalho, domínio e usuário. 2. Resolve o nome da estação de trabalho para um endereço IP. 3. Determina a que grupos o usuário pertence. 4. Envia as informações de logon do usuário, incluindo o endereço IP e grupos para o Fortigate. 5. O Fortigate cria uma entrada em sua tabela de usuários autenticados. Então quando o usuário trafegar por uma regra que exige autenticação, o fortigate irá conferir o IP com a sua tabela, determinando assim os seus respectivos perfis de acesso. As quotas se aplicam a todos os usuários autenticados no Fortigate, seja via NTLM, autenticação local ou FSSO. Figura 1 - Figura retirada de documento oficial (Handbook) página 563 e 564.

3 Figura 2 - Figura de documento oficial (Handbook) página Deste texto acima depreende-se que as quotas só funcionam para usuários autenticados. Não há exigências quanto ao tipo de autenticação, apenas que o usuário esteja autenticado. Por tanto, a autenticação via NTLM é feita por meio da interação entre o Navegador e o controlador de domínio. Para melhor entendimento seguem exemplos dos métodos de autenticação do FSSO. Seguem links de vídeos públicos disponíveis no site da Fortinet: 1) Método de Single Sign-On (FSSO) in Polling Mode 2) Método de Single Sign-On (FSSO) usando controlador de domínio AD 3) Método de Single Sign-On (FSSO) usando Collector Agent

4 Item O serviço deve permitir a liberação/bloqueio de canais específicos do site Os canais do Youtube.com não podem ser liberados ou bloqueados apenas por meio do URL filter. Conquanto a página inicial possua parâmetros estáticos como user ou channel, cada vídeo do canal possui um identificador único em sua URL. Exemplo: Página do canal do STF: Exemplos de URL de vídeos do canal do STF: o o o Além disso, páginas que possuem vídeos embutidos de canais liberados também deverão ser liberados. Tais vídeos também possuem URLs diferentes da URL do canal. Assim, solicita-se: a) comprovar a possibilidade de liberação/bloqueio de canais específicos do site Inicialmente, o item 2.20 não especifica o método de liberação/bloqueio a ser utilizado. Os canais do Youtube.com não podem ser liberados ou bloqueados apenas por meio do URL filter. Conquanto a página inicial possua parâmetros estáticos como user ou channel, cada vídeo do canal possui um identificador único em sua URL. A maneira mais simples de controlar o acesso ao canal do Youtube é liberando/bloqueando o canal usando o link diretamente ou expressões regulares conforme exemplificado anteriormente. Uma outra maneira é listar todos os vídeos que estão disponíveis em cada canal e fazer o controle individual. É possível controlar o acesso por liberação/bloqueio de categoria do tipo Streaming de vídeo. O Google retirou qualquer informação do header dos vídeos do Youtube por motivo de licenciamento e não é possível identificar a qual canal o vídeo pertence, dessa maneira a liberação deve ser feita manualmente ou semi-automático. Essa é uma prática bem comum das principais ferramentas de mercado, que seria listar todos os vídeos com link no canal e usar um aplicativo/script/api Google para adicionar as regras de controle (bloquear/liberar) do "user" ou "Uploader", categoria, titulo e palavras chaves. Vide o link Uma das maneiras utilizadas pela Fortinet é, após a criação da regra (bloquear/liberar), adiciona-se sensores de controle, criando Filtros e Perfis WEB e adicionando um verificador do "Header" e o ID do canal. Usando essa "feature" é possível liberar o canal especifico no Youtube e bloquear o restante, além da possibilidade de trabalhar com expressões regulares para controlar o acesso a determinados canais.

5 Um exemplo pode ser visualizado quando somente canais de conteúdo educativo, podem ser exibidos quando utilizado a detecção pelo tipo de Header. Quando usando uma conta oficial do Youtube é possível criar um Header nos links dos arquivos, como no exemplo: Para entender melhor o métodos segue link de vídeo público demonstrando essa ação. Além dessa facilidade, a Fortinet ainda oferece o controle de acesso verificando de maneira mais profunda, usando o acesso direto aos pacotes criptografados via certificado SSL. Devido a facilidade de burlar as regras de bloqueio utilizando o acesso diretamente via HTTPS o Fortigate utiliza um método chamado de Fortinet "Deep Scanning" (Conforme imagens abaixo), que faz a inspeção SSL e garante a inspeção segura dos dados trafegados em links usando HTTPS para burlar os filtros de conteúdo, e para garantir a segurança nas ferramentas de pesquisas é possível ainda habilitar a feature "Safe Search". Mais informações sobre os métodos acima podem ser verificadas no documento online "Inside FortiOS 5" no link Método de bloqueio por uso do método "SafeSearch" apter html Para melhorar o entendimento, é possível visualizar um vídeo explicativo no endereço

6 Figura 3 - Habilitar Deep Inspection of Cloud Applications e métodos de bloqueio Figura 4 - Criação de regra para SSL Inspection

7 Figura 5 - Criação de Filtro para conteúdo educacional Para melhorar o entendimento, segue um vídeo público da Fortinet que demonstra o bloqueio e a liberação de canais com o uso de reconhecimento por Header De qualquer maneira, Independente de como vai ser feito o bloqueio de canais específicos do Youtube, será necessário a criação de uma regra/filtro de bloqueio por URL, e somente será liberado o canal e os vídeos disponibilizados a partir do endereço do canal desde que o site tenha uma Header um cabeçalho especifico para cada tipo.

8 Item 4.2 O serviço deve disponibilizar ferramenta para geração de relatórios, fornecendo informações gerenciais a partir dos logs gerados pela solução, permitindo a extração de informações detalhadas sobre usuários, sites e categorias acessadas, rede de origem, IP de origem, grupos de usuários, protocolos e tempo de navegação; Quanto a este item, a proponente informou que O FortiAnalyser é capaz de gerar tais relatórios com as informações solicitadas. Os "Templates" serão fornecidos usando pesquisas customizadas através de "Queries" diretamente nas informações fornecidas nos LOG's.... Tendo em vista o conteúdo da transcrição acima, entendemos que serão fornecidos e implementados pela empresa tanto os "Templates" quanto as "Queries" por eles utilizadas. Assim, solicita-se: a) confirmar se o entendimento acima está correto. Sim o entendimento esta correto, a NCT criará todas as "Queries" para criação dos "Templates". Os exemplos das "Queries" podem ser verificadas nas imagens de demonstração do item diligenciado 4.7

9 Item O serviço deve permitir a customização de relatórios fornecendo apenas informações restritas a grupos de usuários definidos previamente ou de grupos de usuários existentes no Serviço de Diretório da CONTRATANTE; Quanto a este item, a proponente informou que Como já foi informado, este relatório será criado por meio de datasets customizados. Um relatório é composto por datasets e layouts, então podem ser customizados diferentes datasets para atender várias necessidades em um mesmo relatório. Tendo em vista o conteúdo da transcrição acima, entendemos que serão fornecidos e implementados pela empresa tanto os "Templates" quanto os layouts citados. Assim, solicita-se: a) confirmar se o entendimento acima está correto; Sim, o entendimento esta correto. Será implementado no modo de suporte, a criação dos relatórios customizados conforme solicitado no item. b) encaminhar imagens exemplificativas dos layouts a serem utilizados. Seguem imagens demonstrativas Figura 6 - Exemplo de DataSets já definidas

10 Figura 7 - Imagem exemplificativa de modelo de relatório

11 Figura 8 - Imagem exemplificativa de modelo de relatório

12 Figura 9 - Imagem exemplificativa de modelo de relatório

13 Item O serviço deve oferecer "Templates" pré-formatados de relatórios com, no mínimo, as seguintes opções: Item Sites mais acessados; Item Sites mais acessados por volume de dados; Item Usuários com maior volume de dados; Item Usuários com maior número de acessos; Item Usuários com maior número de acessos por categoria de URL; Item Usuários com maior número de acessos por URL; Item Grupos com maior volume de dados; Item Grupos com maior número de acessos; Item Grupos com maior número de acessos por categoria de URL; Item Grupos com maior número de acessos por URL; Item Endereço de rede com maior volume de dados; Item Endereço de rede com maior número de acessos; Item Endereço de rede com maior número de acessos por categoria de URL; Item Endereço de rede com maior número de acessos por URL; Item Categorias mais acessadas; Item Sites maliciosos mais acessados; Item Volume de dados por Rede; Item Utilização de banda por site; Item Utilização de banda por categoria de URL; Item Sites bloqueados por categoria de URL; Quanto a este item, a proponente informou que Os "Templates" serão fornecidos usando pesquisas customizadas através de "Queries" diretamente nas informações fornecidas nos LOG's, a base de pesquisa é exatamente como demonstrado no arquivo de índice "I" "Fortigate Log Message Reference" com esse documento é possível gerar consultas através de pesquisa em campos específicos e compilação de dados. Tendo em vista o conteúdo da transcrição acima, entendemos que serão fornecidos e implementados pela empresa tanto os "Templates" quanto as "Queries" citadas. Assim, solicita-se:

14 a) confirmar se o entendimento acima está correto, encaminhando imagens exemplificativas dos relatórios a serem fornecidos; Sim o entendimento esta correto, a NCT criará todas as "Queries" para criação dos "Templates". Os exemplos das "Queries" podem ser verificadas nas imagens dos itens demonstradas abaixo. b) Solicita-se confirmar o nome da ferramenta que será utilizada para gerar os relatórios. A própria interface interna do produto FortiManager com função de FortiAnalyzer gerará os relatórios, sem a necessidade de ferramentas de terceiros. Figura 10 - Interface básica de relatórios do FortiAnalyzer

15 Item Sites mais acessados;

16 Item Sites mais acessados por volume de dados;

17 Item Usuários com maior volume de dados;

18 Item Usuários com maior número de acessos;

19 Item Usuários com maior número de acessos por categoria de URL;

20 Item Usuários com maior número de acessos por URL;

21 Item Grupos com maior volume de dados;

22 Item Grupos com maior número de acessos;

23 Item Grupos com maior número de acessos por categoria de URL;

24 Item Grupos com maior número de acessos por URL;

25 Item Endereço de rede com maior volume de dados;

26 Item Endereço de rede com maior número de acessos;

27 Item Endereço de rede com maior número de acessos por categoria de URL;

28 Item Endereço de rede com maior número de acessos por URL;

29 Item Categorias mais acessadas;

30 Item Sites maliciosos mais acessados;

31 Item Volume de dados por Rede;

32 Item Utilização de banda por site;

33 Item Utilização de banda por categoria de URL;

34 Item Sites bloqueados por categoria de URL;