ANEXO IV CRITÉRIOS DE JULGAMENTO

CONCORRÊNCIA DIRAT/CPLIC 001/2007 1 A) DA PONTUAÇÃO TÉCNICA: ANEXO IV CRITÉRIOS DE JULGAMENTO Adiante apresentamos fatores para aferição do nível de Compatibilidade, Desempenho, qualidade de processos e metodologias, capacidade de entrega e suporte técnico da Licitante. 1) FATOR COMPATIBILIDADE (C): Este fator objetiva mensurar as características técnicas desejáveis dos componentes tecnológicos da solução ofertada. A forma de comprovação dos ítens técnicos apresentados nas Tabelas componentes do Fator de Compatibilidade será realizada por intermédio de verificação da característica sob análise frente à Manuais oficiais dos componentes tecnológicos da solução ou cópia da tela da console das ferramentas ou publicação em site oficial dos fabricantes. 1.1) Características técnicas pontuáveis para os objetos SFW01, SFW02, SFW03, SFW04, SFW05, SFW06, SFW07 e SFW08, observadas por ativo que compõe o objeto representado no Diagrama de Ambiente. 1.1.1 Oferecer memória principal RAM adicional ao exigido 1 ponto por cada 1 GB adicional 1.1.2 Oferecer memória secundária adicional ao exigido em Disco Rígido 1 ponto para cada 40 GB de HD ou maior quantidade 1.1.3 Oferecer memória secundária adicional ao exigido em Flash 1 ponto para totalização de 1 GB de Memória Flash ou maior quantidade 1.1.4 Oferecer fontes de alimentação redundantes e automáticas em hot-swap 1.1.5 Oferecer no mínimo mais 2 (duas) interfaces Fast Ethernet 100 Mbps UTP: 1.1.6 Oferecer painel frontal (display) com apresentação, no mínimo, de informações referentes a throughput instantâneo, consumo de memória instantâneo e consumo de CPU instantâneo 1.1.7 Oferecer autenticação de administradores na console de gerência através de certificados digitais padrão X509 1.1.8 Oferecer CA interna na solução para gerencia do sistema de Firewall com emissão de certificados X.509 1.1.9 Oferecer integração com CA Externa a Solução de Gerência do Firewall 1 Ponto 1 Ponto Anexo IV: 1/10

CONCORRÊNCIA DIRAT/CPLIC 001/2007 2 1.1.10 Oferecer automatização do processo de enrollment de autoridade certificadora, através do protocolo SCEP (Simple Certificate Enrollment Protocol) 1.1.11 Oferecer atualização automática de versões dos clientes de VPN, realizável a partir de acessos remotos 1.1.12 Oferecer suporte a configuração de conexões backup entre os servidores de VPN 1.1.13 Oferecer análise de performance de VPN em tempo real, em interface gráfica, com apresentação, de informações sobre: (a) Utilização de banda e (b) Perda de pacotes 1.1.14 Oferecer funcionalidade de SSL VPN integrada ao sistema de Firewall (executando no mesmo appliance) informação 1.1.15 Oferecer VPN NAT-Traversal (NAT-T) 1.1.16 Oferecer suporte ao protocolo OCSP (Online Certificate Status Protocol) Nota Técnica 1.1 18 Pontos 1.2) Características técnicas pontuáveis para os objetos SIPS01, SIPS02, SIPS03, SIPS04, SIPS05, SIPS06, incluindo módulo de gerência da solução, observadas por ativo que compõe o objeto representado no Diagrama de Ambiente. 1.2.1 Oferecer monitoração das seguintes características em Ipv6: (a) Detecção de tráfego IPv6 nativo; (b) Análise de tráfego SIT; (c) Análise de tráfego 6to4 1.2.2 Oferecer proteção contra ataques IPv4 transmitidos em IPv6 nativo ou tunelado em IPv6 1.2.3 Oferecer técnica de detecção: Port Following (permite a identificação de protocolos que utilizam portas aleatórias) 1.2.4 Oferecer técnica de detecção: Port Variability (permite a identificação de protocolo independente da porta utilizada) 1.2.5 Oferecer técnica de detecção: Heuristics (uso de análise heurística) 1.2.6 Oferecer técnica de detecção: Protocol Analysis análise de protocolos e formatos de dados nas 7 camadas OSI, permitindo a detecção de ataques desconhecidos ou variantes de ataques sem atualização das assinaturas. O licitante deverá fornecer lista dos protocolos decodificados para a homologação 1.2.7 Oferecer técnica de monitoração e análise dos protocolos da família VoIP, permitindo proteção VoIP; SIP, MGCP, H.323, H.225, H.245, Q.931, T.120, SCCP 1.2.8 Oferecer capacidade automática de bloqueio de ataque para tráfego malicioso ou tráfego indesejado do tipo Neutralização característica 1 Ponto a cada conjunto de 40 protocolos Anexo IV: 2/10

CONCORRÊNCIA DIRAT/CPLIC 001/2007 3 (alterar os pacotes de rede em tempo real eliminando ou neutralizando o código malicioso, enquanto permite que a parte legítima do tráfego seja transmitida sem problemas) 1.2.9 Oferecer suporte a funcionamento passivo como IDS (sistema de detecção de intrusões), com alertas de eventos de ataques, tráfego malicioso ou indesejado, sem interferência no tráfego ou, caso seja configurado, bloquear o acesso através de mecanismo de Port Reset 1.2.10 Oferecer configurações de políticas baseadas em Virtual Sensor, com suporte a criação de regras baseadas em endereço IP de origem/destino e portas TCP/IP de origem/destino 1.2.11 Oferecer Interface exclusiva de comunicação com a gerência com suporte a Gbit Ethernet 1.2.12 Oferecer captura de tráfego para análise de evidências em formato suportado por TCPDump e.enc (padrão para software de análise de protocolo). O arquivo pode ser usado para playback do ataque 1.2.13 Oferecer administração centralizada e única com interface gráfica por client e Web 1.2.14 Oferecer Módulos de Administração de: (a) produtos de análise de vulnerabilidades, (b) produtos de detecção/prevenção de intrusos de servidores, (c) produtos de detecção/prevenção de intrusos de desktops, (d) produtos de detecção de anomalias em rede, (e) Suporte a correlação de dados de vulnerabilidades e eventos de IDS/IPS de host e rede, (f) Suporte a correlação de padrões de ataques (múltiplos eventos identificados como um único ataque) detectados por IDS/IPS de rede e host. 1.2.15 Oferecer arquitetura modular e distribuída, permitindo a instalação distribuída de seus componentes, formando várias instâncias de gerenciamento, com consolidação de informações gerenciais em um ponto central. 1.2.16 Oferecer a capacidade de criar níveis de acesso diferentes à aplicação, de modo que se possa restringir o acesso de usuários. O administrador pode alterar ou criar qualquer perfil de acesso 1.2.17 Oferecer Auditoria das atividades de aplicação de política de segurança para sensores: ativar e desativar sensores e a exclusão de eventos de segurança 1.2.18 Oferecer suporte à sistema de trouble-ticketing integrado ou integração nativa com Remedy para abertura e monitoração de trouble-tickets a partir dos eventos de intrusão detectados e bloqueados; 1.2.19 Oferecer no sistema IPS as funcionalidades de resposta: (a) Comandos OPSEC e (b) Resposta definida pelo usuário 1.2.20 Oferecer suporte a ajuste dinâmico de severidade de ataques, como resultado da correlação de eventos entre eventos de IDS/IPS, dados de vulnerabilidades e dados dos ativos; módulo 6 Pontos funcionalidade Anexo IV: 3/10

CONCORRÊNCIA DIRAT/CPLIC 001/2007 4 1.2.21 Oferecer ferramenta interna para manuntenção do Banco de Dados, com backup e purge automático; 1.2.22 Oferecer assinaturas compatíveis com CVE-Commom Vulnerabilities and Exposures Nota Técnica 1.2 3 1.3) Características técnicas pontuáveis para da solução de IPS (detecção de intrusões) para servidores, não representada no Diagrama de Ambiente. 1.3.1 Oferecer administração completa pela interface de console utilizada pela solução de IPS e Detecção de Vulnerabilidades; 1.3.2 Oferecer técnica de detecção baseadas em Port Assignment (identifica o protocolo a partir da porta utilizada) 1.3.3 Oferecer técnica de detecção baseadas em Port Following (permite a identificação de protocolos que utilizam portas aleatórias) 1.3.4 Oferecer técnica de detecção baseadas em Port Variability (permite a identificação de protocolo independente da porta utilizada) 1.3.5 Oferecer técnica de detecção baseada em Protocol Tunneling Recognition (permite a identificação de protocolos mesmo quando encapsulados) 1.3.6 Oferecer técnica de detecção baseadas em Heuristics (uso de análise heurística) 1.3.7 Oferecer sistema de intrusão para servidores banco de assinaturas com mais de 500 itens 1.3.8 Oferecer detecção de eventos baseados no log do sistema operacional, tais como eventos syslog, arquivos texto e event viewer do Windows 1.3.9 Oferecer compatibilidade com CVE-Common Vulnerabilities and Exposures 1.3.10 Oferecer capacidade de detectar mais de 2.500 tipos de diferentes de ataques 1.3.11 Oferecer console de gerência capaz de emitir relatórios sobre as ações mais recorrentes, separando por gravidade e estação 1.3.12 Oferecer funcionalidade de Resposta para bloqueio automático de sessão; Nota Técnica 1.3 14 Pontos 1.4) Características técnicas pontuáveis para da solução de detecção de análise de vulnerabilidade em rede, não representada no Diagrama de Ambiente. Anexo IV: 4/10

CONCORRÊNCIA DIRAT/CPLIC 001/2007 5 1.4.1 Oferecer identificação de dispositivos e computadores ativos em rede através de ping TCP 1.4.2 Oferecer verificação de vulnerabilidades em número superior ao exigido 1.4.3 Oferecer inclusão de testes definidos pelo usuário no conjunto de testes a serem executados 1.4.4 Oferecer integração e correlação dos seus registros de eventos com registros de outras ferramentas de segurança (incluindo IPS) em sistema de gerenciamento centralizado de segurança 1.4.5 Oferecer realização de atualizações de software e de assinaturas de testes de vulnerabilidades automaticamente, pela Internet 1.4.6 Oferecer agendamentos, em múltiplas instâncias de tempo (dia da semana, dia do mês, data específica, horário específico, etc.) e em múltiplas ocorrências, para atualizações de software e de assinaturas detestes de vulnerabilidades 1.4.7 Oferecer verificação de, no mínimo, 1200 vulnerabilidades diferentes, entre variadas plataformas computacionais 1.4.8 Oferecer verificação, no mínimo, em computadores e dispositivos configurados com os seguintes sistemas operacionais: (a) MS Windows Server NT 4, (b) MS Windows Server 2000, (c) MS Windows Server 2003, (d) MS-Windows 2000 Professional, (e) MS-Windows XP, (f) Cisco IOS, (g) Linux e (h) SuSE 1.4.9 Oferecer a partir do sistema operacional identificado na máquina, a capacidade de definir e realizar somente os testes de vulnerabilidades aplicáveis à plataforma da máquina testada 1.4.10 Oferecer a capacidade de criar e/ou exportar os relatórios produzidos, no mínimo, para os formatos: (a) PDF, (b) HTML e (c) CSV 1 ponto para 1.500 a 2.000, 2 pontos para 2.001 a 2.500, 3 pontos para 2.501 ou mais Sistema Operacional 8 Pontos formato 1.4.11 Oferecer Políticas customizáveis pelo usuário 1.4.12 Oferecer integração nativa com IPS de rede, servidores e estações 1.4.13 Oferecer integração nativa de correlação de eventos de ataques com vulnerabilidades Nota Técnica 1.4 34 Pontos 1.5) Características técnicas pontuáveis para os objetos SSW0701, SSW0702, SSW0703 e SSW0704, observadas por ativo que compõe o objeto representado no Diagrama de Ambiente. 1.5.1 Oferecer portas 10/100/1000 Mbps UTP adicionais ao exigido 1 ponto para 2 portas, 2 pontos para 4 Anexo IV: 5/10

CONCORRÊNCIA DIRAT/CPLIC 001/2007 6 1.5.2 Oferecer portas 10/100/1000 Mbps em Fibra, adicionais ao exigido em UTP 1.5.3 Oferecer suporte à serviços de: (a) Fast Spanning-tree baseado nos protocolo IEEE 802.1w e IEEE 802.1t e (b) Multispanningtree baseado no protocolo IEEE 802.1s 1.5.4 Oferecer suporte à vazão de transações SSL por segundo além do mínimo exigido; 1.5.5 Oferecer suporte à conexões concorrentes além do mínimo exigido 1.5.6 Oferecer limitação do número de sessões estabelecidas em cada servidor real; portas, 3 pontos para 6 portas ou mais 1 Ponto para cada Porta adicional serviço 1 ponto de 1.000 a 1.999, 2 pontos de 2.000 a 3.999, 3 pontos para 4.000 ou mais 1 ponto de 2.500.000 a 2.999.999 e 2 pontos de 3.000.000 ou mais 1.5.7 Oferecer compressão de conteúdo http 1.5.8 Oferecer customização e ajuste de parâmetros dos métodos de balanceamento ofertados 1.5.9 Oferecer suporte ao sincronismo de sessão entre ambientes redundantes ativos sem interrupção das sessões balanceadas em caso de falha de um dos equipamentos 1.5.10 Oferecer suporte ao transporte de múltiplas VLAN através de uma única porta física baseado no protocolo IEEE 802.1q 1.5.11 Oferecer suporte RMON, nos seguintes grupos: (a) Statistics, (b) History, (c) Alarms, (d) Events Nota Técnica 1.5 Nota Técnica Máxima do Fator Compatibilidade (NTC): 120 Pontos grupo 4 Pontos 2 Anexo IV: 6/10

CONCORRÊNCIA DIRAT/CPLIC 001/2007 7 2) FATOR DESEMPENHO (D): Este fator objetiva mensurar a atuação da Empresa no Mercado 2.1 Implementação de Solução de Balanceamento Local e/ou Global 2.2 Implementação de Solução de Detecção e Prevenção à Intrusões 2.3 Implementação de solução de Firewall/VPN 2.4 Implementação de solução de Controle de Acesso a Internet; 2.5 Implementação de projetos de Integração de Plataformas de Segurança de Conectividade 2.6 Implementação de Solução de Anti-vírus 2.7 Implementação de Solução de Certificação Digital Nota Técnica (NTD) 20 Pontos Obs: A comprovação dos ítens se dará por intermédio de s de Capacidade Técnica, emitidos por Clientes (pessoa jurídica de direito público ou privado), devidamente acompanhados de cópia autenticada dos respectivos contratos (A). (A) Para garantia de sigilo, admite-se que as cópias dos contratos sejam apresentadas com mascaramento da identificação de valores relativos a dimensionamentos e preços, bem como das características de detalhamento do projeto. Nota Técnica Máxima do Fator Desempenho: 21 (vinte e um) pontos. 3) FATOR SUPORTE A SERVIÇOS (S): Este fator objetiva mensurar a capacitação técnica do quadro de profissionais da Licitante. 3.1 Especialista(s) com certificação CISSP - Certified Information Systems Security Professional 3.2 Especialista(s) com certificação PMP - Project Management Professional 3.3 Especialista(s) com certificação ITIL - Information Tecnology Infrastructure Library 3.4 Especialista(s) com certificação CCNA - Cisco Certified Network Administrator 3.5 Especialista(s) com certificação MCSE - Microsoft Certified System Engineer 3.6 Especialista(s) com certificação TCSE - Trend Micro Certified System Engineer 3.7 Especialista(s) com certificação em Linux Anexo IV: 7/10

CONCORRÊNCIA DIRAT/CPLIC 001/2007 8 3.8 Especialista(s) com certificação na Solução de Firewall/VPN ofertada 3.9 Especialista(s) com certificação na Solução de IPS ofertada 3.10 Especialista(s) com certificado na Solução de Balanceamento Local e Global ofertada Nota Técnica (NTS) 30 Pontos Obs: A comprovação dos ítens se dará por intermédio de cópia autenticada do pertinente e cópia autenticada da comprovação de vínculo empregatício dos profissionais com a Licitante. Nota Técnica Máxima do Fator Suporte a Serviços: 30 (trinta) pontos. 4) FATOR QUALIDADE (Q): Este fator objetiva mensurar a qualificação da Licitante frente aos fornecedores dos componentes tecnológicos da solução ofertada. 4.1 Atua como Centro Autorizado de Suporte dos fabricantes envolvidos na solução técnica concebida; 4.2 Dispõe de canal de abertura de ocorrências para resolução de problemas diretamente com o fabricante 4.3 Atua como Centro Autorizado de Treinamento dos fabricantes envolvidos na solução técnica concebida; Declaração Declaração Declaração 4 Pontos 4 Pontos Nota Técnica (NTQ) 10 Pontos Obs: A comprovação dos ítens se dará por intermédio de declaração dos fabricantes ou publicação em site oficial destes Nota Técnica Máxima do Fator Qualidade: 12 (doze) pontos. 5) MEMÓRIA DE CÁLCULO DA PONTUAÇÃO TÉCNICA DA LICITANTE (NTL): A Nota Técnica Máxima relativa ao somatório dos quatro fatores é de 180 Pontos A Pontuação Técnica da Licitante será calculada com base na fórmula abaixo: PTL = (NTC) + (4,5 * NTD) + (2 * NTS) + (3 * NTQ) Onde: PTL = Pontuação Técnica da Licitante NTC = Nota Técnica apurada para o Fator Compatibilidade NTD = Nota Técnica apurada para o Fator Desempenho NTS = Nota Técnica apurada para o Fator Suporte a Serviços NTQ = Nota Técnica apurada para o Fator Qualidade Para fins de apuração tem-se que a Pontuação Técnica da Licitante Máxima é de 300 Pontos Anexo IV: 8/10

CONCORRÊNCIA DIRAT/CPLIC 001/2007 9 6) MEMÓRIA DE CÁLCULO DO ÍNDICE TÉCNICO DA LICITANTE (IT): O Índice Técnico da Licitante será calculado com base na fórmula abaixo: ITL = ( PTL Apurado) / ( Maior PTL Apurada) Onde: ITL = Índice Técnico da Licitante PTL Apurado = Pontuação Técnica apurada para a proposta técnica da Licitante sob exame Maior PTL Apurada = Maior Pontuação técnica apurada dentre todas as Licitantes B) DA PONTUAÇÃO PREÇO: 1) DA PLANILHA DE PREÇOS: Ítem Descrição QtdeO (*) 1 Licença de Firewal para proteção de 100 dispositivos 2 Licença de Firewall para proteção de 2.500 dispositivos 3 Licença de IPS para proteção de host 4 Licença para Analise de Vulnerabilidade 5 Licença de Proxy Microsoft ISA Server 2004 6 Licença de sistema operacional Microsoft Windows Server 7 Appliance de Firewall 8 Appliance de IPS 9 Appliance de Balanceamento de carga ( Switch camada 07 ) 10 Servidores para Proxy e Gerência da Solução 11 Rack Preço Unitário 12 Instalação, configuração e repasse de tecnologia - *** 13 Suporte técnico (7x24x365) - *** Preço Total (R$) Preço Global da Licitante (PGL) (*) Quantidade Ofertada pela Licitante, observadas as quantidades mínimas apresentadas na planilha de dimensionamento constante do Anexo II. 1.1) Os valores informados para cada ítem do preço unitário devem refletir a sustentação do mesmo para todo o período de vigência do Contrato (60 meses); 1.2) A Planilha de Preços deverá ser preenchida pela Licitante na Colunas QtdO (Quantidade Ofertada) com valores unitários (sem casas decimais). Nas colunas Preço Unitário e Preço Total deverão ser preenchidas com valores em moeda nacional (Reais), com duas casas decimais; 1.3) Caso alguma das células das Colunas QtdO e Preço Unitário, deixar de ser informada, a Licitante será desclassificada. Anexo IV: 9/10

CONCORRÊNCIA DIRAT/CPLIC 001/2007 10 1.4) Na coluna Preço Total deverá estar expresso o resultado da multiplicação das células correspondentes às colunas QtdeO (Quantidade Ofertada) e Preço Unitário ; 1.5) Em havendo divergência entre a multiplicação das células QtdO e Preço Unitário de um ítem e o correspondente valor informado para o mesmo na coluna Preço Total, será considerado para fins de recalculo do último a multiplicação das células QtdO e Preço Unitário 1.6) Em havendo divergência entre o somatório das células da coluna Preço Total e o valor indicado na célula relativa ao Preço Global da Licitante, será considerado, para fins de recalculo do último, o somatório das células da coluna Preço Total. 2) MEMÓRIA DE CÁLCULO DO ÍNDICE DE PREÇO DA LICITANTE (IPL): O Índice Preço da Licitante será calculado com base na fórmula abaixo: IPL = ( Menor PGL Apurado) / (PGL Apurado) Onde: IPL = Índice Preço da Licitante Menor PGL Apurado = Menor Preço Global de Licitante apurado dentre todas as Licitantes PGL Apurado = Preço Global da Licitante apurada para a proposta comercial Licitante sob exame 3) DETERMINAÇÃO DO ÍNDICE GERAL DA LICITANTE (IGL): O índice geral da licitante será calculado com base na fórmula abaixo: IGL = (0,6 * ITL) + (0,4 * IPL) Onde: IGL = Índice Geral da Licitante sob análise ITL = Índice Técnico da Licitante sob análise IPL = Índice Preço da Licitante sob análise O BRB solicitará a disponibilização, no prazo máximo de 10 (dez) dias úteis, de laboratório para validação dos requisitos técnicos obrigatórios e homologação da solução ofertada, com 01 (uma) unidade de cada item, à licitante que obtiver maior Índice Geral do Licitante (IGL). Não sendo aprovada a solução da proposta de maior IGL, serão convidadas as demais licitantes, por ordem de classificação, para disponibilização de laboratório, até que seja escolhida a melhor proposta. Anexo IV: 10/10