ANEXO I TERMO DE REFERÊNCIA. DIE GIE Documento1 1/12

Transcrição

1 ANEXO I TERMO DE REFERÊNCIA DIE GIE Documento1 1/12

2 ANEXO I TERMO DE REFERÊNCIA OBJETO / ESPECIFICAÇÕES TÉCNICAS / QUANTIDADE 1. OBJETO: 1.1 Aquisição de Firewalls Appliance (hardware dedicado) com throughput de 100Mbps, incluindo sistema de segurança do tipo IDS (Intrusion Detection System), IPS (Intrusion Prevention System),gateway de antivírus e antispyware, suporte à adição de licença para filtro de conteúdo, bem como suporte instalação e assistência técnica especializada. 1.2 Aquisição de Firewalls Appliance (hardware dedicado) com throughput de 300Mbps, incluindo sistema de segurança do tipo IDS (Intrusion Detection System), IPS (Intrusion Prevention System), suporte à adição de licença para filtro de conteúdo e gateway de antivírus e antispyware, bem como suporte instalação e assistência técnica especializada. 1.3 Aquisição de Firewalls Appliance (hardware dedicado) com throughput de 1 Gbps, incluindo sistema de segurança do tipo IDS (Intrusion Detection System), IPS (Intrusion Prevention System), suporte à adição de licença para filtro de conteúdo e gateway de antivírus e antispyware, bem como suporte instalação e assistência técnica especializada. 1.4 Aquisição de licenças de filtro de conteúdo e gateway antivírus/antispyware, compatíveis com os equipamentos descritos nos itens 1.1, 1.2 e 1.3 acima 2. ESPECIFICAÇÃO TÉCNICA 2.1. FIREWALL 100 MBPS Quantidade: XX (xxxxx) TIPO DE FIREWALL: Firewall appliance (hardware), baseado na tecnologia Stateful Inspection, com funcionalidade de operação em modo de Alta Disponibilidade Deve utilizar a tecnologia de firewall Stateful Packet Inspection com licença de IDS/IPS inclusas no fornecimento Deve possuir no mínimo 03 segmentos de redes distintas, para atender as funções de: Segmento WAN, com 01 porta padrão, Ethernet, 10/100BaseTX Auto Sense; Segmento LAN, com no mínimo 01 porta padrão, Ethernet, Lan Switch 10/100BaseTX Auto Sense; DIE GIE Documento1 2/12

3 Segmento de LAN secundária ou DMZ com no mínimo 01 porta padrão, Ethernet, 10/100BaseTX Auto Sense Possuir suporte a número ilimitado de endereços IP nas redes internas Permitir a implementação de no mínimo 1000 polices Deverá suportar a criação de túneis VPN (Virtual Private Network) Site to Site e Client to Site sob os protocolos PPTP e IPSec. Deverão ser inclusas gratuitamente no mínimo 20 licenças para VPN Client to Site e 10 licenças Site to Site O equipamento deverá possuir certificação VPNC Basic Interop; Possuir performance de firewall Statefull Inspection de no mínimo 100Mbps; Possuir recurso habilitado incluso de IDS e IPS interno, capaz de detectar e evitar automaticamente (no mínimo), IP Source Spoofing, IP Source Routing, Tunel IPsec e ataques tipo DoS (Denial of Service) como Ping of Death, SYN Flood, LAND Attack, IP Spoofing, com a possibilidade de se atualizar as assinaturas automaticamente e carregar as novas sem interrupção, através da atualização do software de sistema operacional do equipamento (appliance); Implementar recurso de NAT (network address translation) do tipo um para um (one toone), um para muitos (one to many), muitos para um (many to one) e muitos paramuitos (many to many) e tradução simultânea de endereço IP e porta TCP de conexão (NAPT) Possuir DHCP Server e cliente interno Possibilitar o acesso via WEB ou interface gráfica (GUI), inclusive via interface WAN, para a configuração e administração remota, com total capacidade de administração sobre o sistema Suportar protocolo NTP para sincronismo de relógio do equipamento Suportar o protocolo SNMP, para checagem de status e TRAP para envio e notificação de alarmes Possibilitar a especificação de política por tempo, ou seja, permitir a definição de regras para determinado horário ou período (dia da semana e hora) Suportar NAT nos dois segmentos internos. DIE GIE Documento1 3/12

4 Deve possuir suporte a protocolos de roteamento (rotas estáticas e dinâmicas (OSPF, RIP E RIPv2), com possibilidade de programação de rotas para as interfaces Deve possuir fonte de alimentação operando nas tensões 110/220 V, com seleção automática de voltagem e freqüência de 50/60 Hz Possuir suporte a NAT simétrico.; Possuir estatística de utilização de CPU e memória do firewall Possuir capacidade de criar entradas ARP estáticas para fixação de endereço IP com um número MAC específico Deverá permitir backup remoto de configuração Capacidade de enviar e armazenar logs e eventos em um servidor remoto via protocolo syslog ou SNMP Deverá possuir a função de TOLERANCIA A FALHAS (Alta Disponibilidade, no modo Ativo/Passivo e/ou Ativo/Ativo) entre equipamentos do mesmo modelo, de forma a garantir que, se um dos firewalls parar de funcionar, o outro deverá assumir automaticamente, suportando todo o tráfego Suporte a ativação de filtro de conteúdo por URL (com atualização automática da base de dados, por palavra, categorias e no minimo 40 categorias e filtro por grupos de usuários, que podem ser definidos por: Contas de usuários em ambiente Active Directory; Registros em base de dados LDAP, acessíveis sobre canal plain text ou sobre camada criptografada (SSL, TLS ou equivalente); Endereços IP; Os recursos de filtro de conteúdo serão opcionais, habilitados mediante a aquisição de licenças descritas no item 2.3; Deverá suportar recursos de gateway de antivírus/antispyware atuando no tráfego da interface, no mínimo para os protocolos HTTP, SMTP, POP3, IMAP e FTP, com atualização automática e gratuita da base de dados Vírus Os recursos de gateway de antivírus/antispyware serão opcionais, habilitados mediante a aquisição de licenças descritas no item 2.3; AntiSpyware: DIE GIE Documento1 4/12

5 Proíbir downloads de spywares (incluindo downloads indesejados); Bloquear acesso a sites de spywares ; Detectar acessos de spywares a Internet ; Facilitar a remoção de spywares ; Inspeção de conteúdo Atualização automática e gratuita da base de dados FIREWALL 300 MPBS Quantidade: XX (xxx) TIPO DE FIREWALL: Firewall appliance (hardware), baseado na tecnologia Stateful Inspection, com funcionalidade de operação em modo de Alta Disponibilidade Deve utilizar a tecnologia de firewall Stateful Packet Inspection com licença de IDS/IPS inclusas no fornecimento Deve possuir no mínimo 03 segmentos de redes distintas, para atender as funções de: Segmento WAN, com 01 porta padrão, Ethernet, 10/100BaseTX Auto Sense; Segmento LAN, com no mínimo 01 porta padrão, Ethernet, Lan Switch 10/100BaseTX Auto Sense; Segmento de LAN secundária ou DMZ com no mínimo 01 porta padrão, Ethernet, 10/100BaseTX Auto Sense Possuir suporte a número ilimitado de endereços IP nas redes internas Permitir a implementação de no mínimo 1000 polices Deverá suportar a criação de túneis VPN (Virtual Private Network) Site to Site e Client to Site sob os protocolos PPTP e IPSec. Deverão ser inclusas gratuitamente no mínimo 20 licenças para VPN Client to Site e 10 licenças Site to Site O equipamento deverá possuir certificação VPNC Basic Interop; Possuir performance de firewall Statefull Inspection de no mínimo 300Mbps; Possuir recurso habilitado incluso de IDS e IPS interno, capaz de detectar e evitar automaticamente (no mínimo), IP Source Spoofing, IP Source Routing, Tunel IPsec e ataques tipo DoS (Denial of Service) como Ping of Death, SYN Flood, LAND Attack, IP Spoofing, com a possibilidade de se atualizar as assinaturas automaticamente e carregar as novas sem interrupção, através da atualização do software de sistema operacional do equipamento (appliance); DIE GIE Documento1 5/12

6 Implementar recurso de NAT (network address translation) do tipo um para um (one toone), um para muitos (one to many), muitos para um (many to one) e muitos paramuitos (many to many) e tradução simultânea de endereço IP e porta TCP de conexão (NAPT) Possuir DHCP Server e cliente interno Possibilitar o acesso via WEB ou interface gráfica (GUI), inclusive via interface WAN, para a configuração e administração remota, com total capacidade de administração sobre o sistema Suportar protocolo NTP para sincronismo de relógio do equipamento Suportar o protocolo SNMP, para checagem de status e TRAP para envio e notificação de alarmes Possibilitar a especificação de política por tempo, ou seja, permitir a definição de regras para determinado horário ou período (dia da semana e hora) Suportar NAT nos dois segmentos internos Deve possuir suporte a protocolos de roteamento (rotas estáticas e dinâmicas (OSPF, RIP E RIPv2), com possibilidade de programação de rotas para as interfaces Deve possuir fonte de alimentação operando nas tensões 110/220 V, com seleção automática de voltagem e freqüência de 50/60 Hz Possuir suporte a NAT simétrico.; Possuir estatística de utilização de CPU e memória do firewall Possuir capacidade de criar entradas ARP estáticas para fixação de endereço IP com um número MAC específico Deverá permitir backup remoto de configuração Capacidade de enviar e armazenar logs e eventos em um servidor remoto via protocolo syslog ou SNMP Deverá possuir a função de TOLERANCIA A FALHAS (Alta Disponibilidade, no modo Ativo/Passivo e/ou Ativo/Ativo) entre equipamentos do mesmo modelo, de DIE GIE Documento1 6/12

7 forma a garantir que, se um dos firewalls parar de funcionar, o outro deverá assumir automaticamente, suportando todo o tráfego Suporte a ativação de filtro de conteúdo por URL (com atualização automática da base de dados, por palavra, categorias e no minimo 40 categorias e filtro por grupos de usuários, que podem ser definidos por: Contas de usuários em ambiente Active Directory; Registros em base de dados LDAP, acessíveis sobre canal plain text ou sobre camada criptografada (SSL, TLS ou equivalente); Endereços IP; Os recursos de filtro de conteúdo serão opcionais, habilitados mediante a aquisição de licenças descritas no item 2.3; Deverá suportar recursos de gateway de antivirus/antispyware atuando no tráfego da interface, no mínimo para os protocolos HTTP, SMTP, POP3, IMAP e FTP, com atualização automática e gratuita da base de dados Vírus Os recursos de gateway de antivírus/antispyware serão opcionais, habilitados mediante a aquisição de licenças descritas no item 2.3; AntiSpyware: Proíbir downloads de spywares (incluindo downloads indesejados); Bloquear acesso a sites de spywares ; Detectar acessos de spywares a Internet ; Facilitar a remoção de spywares ; Inspeção de conteúdo Atualização automática e gratuita da base de dados FIREWALL 1 Gbps Quantidade: XX (xxx) Firewall appliance (hardware), baseado na tecnologia Stateful Packet Inspection com capacidade de Deep Packet Inspection para filtragem de tráfego IP, com funcionalidade de operação em modo de Alta Disponibilidade.; DIE GIE Documento1 7/12

8 2.3.2 Deve possuir no mínimo 08 (oito) interfaces de redes distintas, com velocidade de 10/100/1000 Mbps, autosense, compatíveis com os padrões IEEE 802.3i, IEEE 802.3u e IEEE 802.3ab; Permitir a criação de, no mínimo, 500 VLAN, padrão IEEE 802.1Q, definindo interfaces virtuais por identificadores de VLAN (VLAN ID tag). As interfaces virtuais devem permitir as mesmas funcionalidades das interfaces físicas, incluindo designação de zona de segurança, servidores DHCP, NAT, VPN e regras de controle de acesso Deve possuir licenças e recursos de hardware, dimensionados para permitir a configuração de, no mínimo, 75 firewalls virtuais, possibilitando o gerenciamento de interfaces, VLAN, zonas, regras, rotas e VPN, de forma individualizada para cada firewalll; Possuir performance de firewall Stateful Inspection de, no mínimo, 1 Gbps (throughput); Possuir suporte a número ilimitado de endereços IP nas redes internas; Permitir a implementação de no mínimo policies; Possuir capacidade para um mínimo de conexões TCP/IP concorrentes e simultâneas; Deverá permitir a configuração dos seguintes modos de operação: transparent mode, NAT mode e routing mode; Permitir a criação de túneis VPN (Virtual Private Network) Site to Site e Client to Site sob os protocolos PPTP e IPSec. Deverão ser inclusas gratuitamente no mínimo 200 licenças para VPN Client to Site e 100 licenças Site to Site. Deverá ser fornecido software cliente VPN IPSec, do mesmo fabricante, compatível com o modelo ofertado e compatível com sistema operacional Windows 7 e Windows XP; Possuir performance de VPN IPsec, por appliance, de no mínimo 600 Mbps (throughput) bidirecional, com criptografia 3DES (168 bits) ou AES e pelo menos um túnel de VPN IPsec estabelecido Implementar recurso de NAT (network address translation) do tipo um para um (oneto one), um para muitos (one to many), muitos para um (many to one) e muitos paramuitos (many to many) e tradução simultânea de endereço IP e porta TCP de conexão (NAPT); DIE GIE Documento1 8/12

9 Possuir suporte a NAT simétrico; Suportar NAT em todas as interfaces; Deverá possuir a função de TOLERANCIA A FALHAS (Alta Disponibilidade), nos modos Ativo/Passivo e/ou Ativo/Ativo, com todas as licenças de software habilitadas para tal, de forma a garantir que, se um dos firewalls parar de funcionar, o outro deverá assumir automaticamente, suportando todo o tráfego e processamento; Possuir recurso habilitado incluso de IDS e IPS interno, capaz de detectar e evitar automaticamente (no mínimo), IP Source Spoofing, IP Source Routing, Tunel IPsec e ataques tipo DoS (Denial of Service) como Ping of Death, SYN Flood, LAND Attack, IP Spoofing, com a possibilidade de se atualizar as assinaturas e carregar as novas, sem interrupção, através de atualização automática do software de sistema operacional do equipamento (appliance); Deverão ser fornecidas licenças de IPS/IDS, incluindo licenças para up dates, com atualização automática para o período contratado; Possuir performance de IPS de, no mínimo, 750 Mbps (throughput); Possibilitar o acesso via interface WEB, nos modos HTTP e HTTPS, para configuração e administração remota, inclusive via interface WAN, com total capacidade de administração sobre o sistema; Suportar protocolo NTP para sincronismo de relógio do equipamento; Suportar o protocolo SNMP, para checagem de status e TRAP para envio e notificação de alarmes; Deve possuir suporte completo a protocolos de roteamento (rotas estáticas e dinâmicas OSPF, RIP e RIPv2), com possibilidade de programação de rotas para as interfaces; Permitir a definição de rotas de tráfego baseadas em regras definidas por port de serviço (TCP/UDP) e endereço IP de origem ou destino; Possibilitar a especificação de política por tempo, ou seja, permitir a definição de regras para determinado horário ou período (dia da semana e hora); DIE GIE Documento1 9/12

10 Deve possuir fonte de alimentação operando nas tensões 110/220 V, com seleção automática de voltagem e freqüência de 50/60 Hz; Possuir estatística de utilização de CPU e memória do firewall; Possibilitar a criação de entradas ARP estáticas para fixação de endereço IP com um número MAC específico; Deverá permitir backup remoto de configuração; Possuir função de DHCP Server e Client interno; Capacidade de enviar e armazenar logs em um servidor remoto via protocolo syslog; Deverá possuir função de debug on line, com pesquisa por endereço IP (origem/destino) identificando no mínimo, informações do cabeçalho, porta e protocolo do pacote capturado; Deverá ser fornecida a versão mais recente para todos os softwares internos dos equipamentos; Suporte a ativação de filtro de conteúdo por URL (com atualização automática da base de dados, por palavra, categorias e no minimo 40 categorias e filtro por grupos de usuários, que podem ser definidos por: Contas de usuários em ambiente Active Directory; Registros em base de dados LDAP, acessíveis sobre canal plain text ou sobre camada criptografada (SSL, TLS ou equivalente); Endereços IP; Os recursos de filtro de conteúdo serão opcionais, habilitados mediante a aquisição de licenças descritas no item 2.3; Deverá suportar recursos de gateway de antivírus/antispyware atuando no tráfego da interface, no mínimo para os protocolos HTTP, SMTP, POP3, IMAP e FTP, com atualização automática e gratuita da base de dados Vírus Os recursos de gateway de antivírus/antispyware serão opcionais, habilitados mediante a aquisição de licenças descritas no item 2.3; AntiSpyware: Proibir downloads de spywares (incluindo downloads indesejados); DIE GIE Documento1 10/12

11 Bloquear acesso a sites de spywares ; Detectar acessos de spywares a Internet ; Facilitar a remoção de spywares ; Inspeção de conteúdo Atualização automática e gratuita da base de dados Possuir suporte a IPv4 e IPv6 simultaneamente, com tradução de IPv4 para IPv6 e IPv6 para IPv LICENÇAS DE FILTRO DE CONTEÚDO E GATEWAY ANITIVIRUS/ANTISPYWARE. Quantidade: XX (xxx) As licenças devem ser capazes de habilitar os recursos de filtro de conteúdo e gateway antivírus/antispyware descritas nos itens , , , , e ; Deverão permitir atualização gratuita e automática; Deverão permitir a utilização por número indefinido de usuários ou endereços IP; Estão inclusos os serviços de instalação e configuração dos equipamentos, bem como serviços de suporte constante no edital; As licenças deverão ser auto suficientes para cada aquisição, isto é, devem permitir a habilitação dos recursos sem que haja necessidade de novas aquisições; As licenças deverão ser válidas por um prazo mínimo de 24 meses, com renovação automática ou por intermédio do fornecimento gratuito de novas licenças quando da expiração das mesmas; 3. DOCUMENTAÇÃO TÉCNICA: 3.1. Deverão ser fornecidos juntamente com os produtos e licenças os manuais técnicos de referência, contendo todas as informações sobre os produtos com as instruções para instalação, configuração e operação, preferencialmente em Português (Brasil), ou, na inexistência de tradução em Português, podem ser escritos em Língua Inglesa. 4. ITENS GERAIS: Kit para montagem em RACK de 19 (caso necessário); Deverão ser fornecidos cabos de interconexão elétrica e rede. DIE GIE Documento1 11/12

12 5. TREINAMENTO: 5.1. Para cada compra de firewall, poderá ser contratado treinamento para 2 empregados, e deverá ser ministrado por empresa certificada e autorizada pelo fabricante O treinamento deverá ser ministrado dentro do município de São Paulo em ambiente próprio e dedicado para este fim, caso o treinamento seja realizado fora do município de São Paulo, a CONTRATADA será responsável pelas despesas de transporte, hospedagem e alimentação A carga horária mínima deverá ser de 24 horas, o treinamento deverá abranger todas as facilidades do equipamento adquirido, incluindo os recursos de filtro de conteúdo. 6. VIGÊNCIA: 6.1 O contrato terá a vigência de 36 meses a partir da assinatura, podendo ser renovado até o limite legal. 6.2 Durante este período estarão inclusas todas as atualizações de versões de firmware e atualizações de assinaturas de IPS, Gateway Antivírus/Antispyware e filtro de conteúdo. São Paulo, 04 de julho de 2011 Luis Fernando Vieira Quevedo Ger ência de Estr atégia e Segurança da Informação DIE GIE Documento1 12/12