Zakup licencji na oprogramowanie Firewall aplikacyjny Fortinet – WAF lub dostawa Oprogramowania równoważnego

Opis przedmiotu przetargu: 1. Przedmiotem zamówienia jest zakup licencji na oprogramowanie Firewall aplikacyjny firmy Fortinet - FortiWeb - Web Aplication Firewall - virtual appliance for up to 4 x vCPU core lub dostawa Oprogramowania Równoważnego. Poprzez dostawę Oprogramowania Równoważnego Zamawiający rozumie: dostawę licencji, wdrożenie, parametryzację oraz takie jego skonfigurowanie, by Zamawiający mógł korzystać z oprogramowania w zakresie wskazanym w niniejszym dziale oraz w sposób określony w SIWZ i Projekcie Umowy. W przypadku dostawy Oprogramowania równoważnego Wykonawca zobowiązany jest również do udzielenia gwarancji i przeprowadzenia szkolenia dla użytkowników końcowych i administratorów. Oprogramowanie Firewall aplikacyjny firmy Fortinet - FortiWeb - Web Aplication Firewall - virtual appliance for up to 4 x vCPU core /Oprogramowanie równoważne powinno spełniać następujące warunki: - wszystkie elementy systemu zabezpieczeń muszą być dostarczone przez jednego producenta w formie gotowych maszyn wirtualnych działających w środowisku ESX/ESXi - system musi działać w następujących trybach pracy: Transparent Bridge (inline warstwa 2 ISO/OSI), Transparent Reverse Proxy – tj praca w trybie proxy nie wymagająca korzystania z nowych adresów IP, Reverse Proxy oraz Sniffing przy czym musi istnieć możliwość działania w trybie Transparent Bridge oraz Transparent Reverse Proxy w obrębie tych samych chronionych aplikacji. - moduły wykonawcze muszą mieć możliwość pracy w trybie High Availability (HA), powinny zawierać mechanizm ochrony typu Stateful Firewall oraz weryfikować zgodność komunikacji sieciowej ze standardem protokołu tcp/ip, opisanym w RFC. - system musi mieć wydajność analizy protokołu http/https na poziomie 500Mbps uwierzytelnianie użytkowników oferowanego rozwiązania musi być możliwe za pomocą integracji z Active Directory, LDAP w celu uzyskania dodatkowych informacji w logach na temat użytkownika. Obsługiwane muszą być nie mniej niż następujące metody uwierzytelnienia: formularze html, certyfikat cyfrowy, kerberos, NTLM. - całość konfiguracji oraz repozytorium logów musi być przechowywane na centralnym serwerze zarządzania - system powinien na podstawie analizy obserwowanego ruchu zbudować odzwierciedlenie całej struktury aplikacji, składającej się z katalogów, URLi, metod dostępu, parametrów, typów wartości oraz długości ciągów znaków wprowadzanych przez użytkowników w poszczególnych formatkach a w szczególności powinien umożliwiać naukę formularzy, służących do logowania się użytkowników do aplikacji Web. - system powinien zagwarantować wysoki poziom ochrony serwerów Web oraz serwerów aplikacyjnych ( uwzględniając elementy XML oraz akcje SOAP) przed różnego typu atakami, a także powinien monitorować poprawne zachowanie chronionej aplikacji, a wszelkie próby wyjścia poza to poprawne zachowanie powinien blokować. Wymagane są sygnatury dla nie mniej niż : sieci, aplikacji Web, zapytań Web. - monitorowanie i kontrolowanie w czasie rzeczywistym wszystkich operacji wykonywanych przez użytkowników. Rozwiązanie musi posiadać możliwość rejestrowania naruszeń bezpieczeństwa oraz udostępniać administratorom co najmniej następujące informacje o zdarzeniach: nazwa użytkownika aplikacyjnego (jeżeli klient zalogował się w systemie przez aplikację Web) , dodatkowe atrybuty użytkownika z zewnętrznych repozytoriów jak baza danych czy LDAP oraz zapytanie HTTP przesłane do serwera aplikacji Web - musi istnieć możliwość rejestrowania kodu źródłowego strony zwracanej klientowi przez aplikację Web, dostępnego bezpośrednio z interfejsu GUI serwera zarządzającego - system powinien posiadać GUI dostępne przez przeglądarkę internetową w celu zoptymalizowania pracy, eliminacji konieczności instalacji dodatkowego oprogramowania na stacji administratora a także scentralizować zarządzanie całością rozwiązania - samoczynne uczenie się "normalnych" zachowań aplikacji umożliwiając przegląd zestawienia zachowań użytkowników z informacją o zagrożeniach - kontrolowanie dostępu do danych wrażliwych występujących w aplikacjach ,które system ma chronić - przyśpieszenie procesów reagowania na incydenty naruszenia bezpieczeństwa oraz procesów śledczych dzięki zastosowaniu technik analitycznych - automatyczne uczenie się struktury danej aplikacji webowej oraz zachowań użytkowników, profil aplikacji Web musi być budowany w sposób automatyczny poprzez analizę ruchu sieciowego. Musi istnieć możliwość automatycznej aktualizacji profilu w przypadku wystąpienia zmiany w strukturze aplikacji. - system musi posiadać możliwość sprawdzenia, które z wykorzystywanych pól aplikacji są typu „read-only” i nie mogą być zmieniane przez klientów - wykrywanie ruchu sieciowego pochodzącego z potencjalnie niebezpiecznych źródeł w tym sieci TOR- ukrywania źródła ataku, szkodliwe adresy IP z których wielokrotnie zaatakowano inne strony Internetowe - tworzenie wirtualnych poprawek dla aplikacji poprzez integrację ze skanerem podatności - musi istnieć możliwość tworzenia własnych raportów, zarówno w formie tekstowej jak i reprezentacji graficznej bezpośrednio z centralnego serwera zarządzającego oraz możliwość cyklicznego wysyłania raportów wiadomością e-mail. Rozwiązanie musi posiadać funkcję wysyłania informacji o zdarzeniach: poprzez protokół SNMP. System musi posiadać możliwość wygenerowania gotowych raporty dotyczących: alarmów bezpieczeństwa, zdarzeń systemowych, zmian w profilach aplikacji, ostrzeżeń, ataków, prób włamań - tworzenie tzw. "białej listy" akceptowanych zachowań użytkownika (profilowanie chronionych aplikacji), nie może dodawać do profilu informacji pochodzących z przeprowadzanych ataków. - automatyczne wykrywanie niepożądanych atrybutów, niezgodnych z protokołem http - system powinien analizować słabe punkty zgłaszane przynajmniej przez Bugtraq, CVE, Snort - powinien posiadać ochronę przed botami - powinien posiadać możliwość geolokalizacji adresów IP – położenie geograficzne będące źródłem ataków i blokady dostępu - system w przypadku ataku powinien umożliwić: blokowanie pakietu oraz źródła ataku w postaci adresu IP, nazwy użytkownika lub sesji (jeżeli użytkownik uwierzytelnił się w systemie) - wykryć adresy z których wykonywane są krytyczne incydenty SQL Injection oraz Remote File Inclusion, anonimowe proxy maskujące tożsamość użytkowników oraz adresy IP znane ze spamowania na forach internetowych. Baza adresów IP musi być pogrupowana według zagrożeń a także automatycznie aktualizowana. - rozwiązanie musi posiadać reguły dotyczące identyfikacji incydentów typu web scraping poprzez zliczanie ilości odwołań do serwisu, oraz identyfikację ataków z sieci Bot dzięki wykorzystaniu skryptów java wykonywanych w przeglądarce klienta - ochrona przed atakami CSRF bez modyfikacji ruchu http - aktualizacja systemu musi być dostępna zarówno poprzez ręczne pobranie zawartości ze strony producenta jak i automatycznie, poprzez zdefiniowanie terminów wykonania procedury aktualizacji. - powinien posiadać możliwość integracji z systemem SIEM (syslog) – - tworzenie wirtualnych poprawek dla aplikacji poprzez integrację ze skanerami podatności 2. Przedmiot zamówienia należy wykonać zgodnie z warunkami określonymi w niniejszej SIWZ, Projekcie umowy stanowiącym Załącznik nr 1 do SIWZ, w załącznikach do umowy oraz zgodnie z ofertą. 3. Równoważność a. Zamawiający dopuszcza możliwość złożenia oferty na Oprogramowanie Równoważne - zgodne z minimalnymi wymogami określonymi w pkt.1 niniejszego działu oraz na warunkach określonych w Projekcie umowy stanowiącym Załącznik nr 1 do SIWZ. b. Zamawiający uzna, że zaoferowane rozwiązanie posiada równoważne cechy z przedmiotem zamówienia jeżeli będzie ono zawierało funkcjonalności co najmniej tożsame lub lepsze od określonych w pkt. 1 niniejszego działu w zakresie posiadanej funkcjonalności i będzie kompatybilne w 100% z oprogramowaniem posiadanym przez Zamawiającego. c. Wykonawca w formularzu ofertowym winien wskazać jaki rodzaj oprogramowania oferuje. W przypadku, gdy Wykonawca oferuje Oprogramowanie Równoważne Zamawiający wymaga, aby wraz z ofertą Wykonawca dołączył dokumenty potwierdzające, że oferowane przez niego oprogramowanie spełniają wymagania w zakresie równoważności, zgodne z wymogami określonymi w SIWZ, w tym w pkt.1 niniejszego działu . d. W przypadku, gdy zaoferowane przez Wykonawcę Oprogramowanie Równoważne nie będzie właściwie współdziałać ze sprzętem i oprogramowaniem funkcjonującym u Zamawiającego lub spowoduje zakłócenia w funkcjonowaniu pracy środowiska sprzętowo-programowego u Zamawiającego, Wykonawca pokryje wszystkie koszty związane z przywróceniem i sprawnym działaniem infrastruktury sprzętowo-programowej Zamawiającego oraz na własny koszt dokona niezbędnych modyfikacji przywracających właściwe działanie środowiska sprzętowo-programowego Zamawiającego, również po odinstalowaniu Oprogramowania Równoważnego. W przypadku Oprogramowania Równoważnego Wykonawca zobowiązany jest do wdrożenia i przeniesienia obecnie funkcjonującej konfiguracji systemu na nowe środowisko oraz przeprowadzenie szkolenia dla użytkowników końcowych i administratorów w zakresie obsługi, administracji i utrzymania systemu. e. Zgodnie z dyspozycją art. 30 ust. 5 ustawy Pzp na Wykonawcy ciąży obowiązek, wykazania, że Oprogramowanie Równoważne spełniają wymagania postawione przez Zamawiającego. f. Zamawiający zastrzega sobie w przypadku jakichkolwiek wątpliwości, prawo sprawdzenia pełnej zgodności warunków i zakresu równoważności oferowanego Oprogramowania Równoważnego. W takim wypadku, Zamawiający wezwie Wykonawców do przedstawienia dodatkowych dokumentów danego Oprogramowania w celu potwierdzenia spełnienia wymagań w zakresie równoważności oraz próbek oferowanego rozwiązania, dla celów wykonania testów w środowiskach Zamawiającego wraz dokonaniem faktycznej oceny równoważności i kompatybilności z posiadanym przez Zamawiającego oprogramowaniem. Sprawdzenie to, będzie polegać na przeprowadzeniu testów dostarczonego do Zamawiającego oprogramowania. Wykonawca Oprogramowania Równoważnego dostarczy na płycie CD/DVD i dokona bądź umożliwi dokonanie Zamawiającemu bezpośrednią i niewymagającą jakichkolwiek dodatkowych uprawnień, urządzeń lub infrastruktury instalację tego oprogramowania w środowisku Zamawiającego. Zamawiający po zainstalowaniu oprogramowania a następnie wstępnej konfiguracji dokona weryfikacji funkcjonalności dostarczonego oprogramowania pod kątem zgodności z wymaganiami w pkt. 1 oraz pod kątem kompatybilności z oprogramowaniem posiadanym przez Zamawiającego. Dostarczone oprogramowanie zostanie zainstalowane na infrastrukturze Zamawiającego na środowisku wirtualnym. W tym celu Wykonawca na każde wezwanie Zamawiającego dostarczy do siedziby Zamawiającego w terminie 3 roboczych dni od daty otrzymania wezwania, płytę CD/DVD wraz z plikami/pilikiem instalacyjnym/nymi Oprogramowania Równoważnego, zgodnego w wymaganiami pkt. 1 niniejszego działu, wobec którego Zamawiający powziął wątpliwość co do jego zgodności z wymaganiami SIWZ. W odniesieniu do tego Oprogramowania Równoważnego mogą zostać dostarczone licencje tymczasowe, w pełni zgodne z oferowanymi. W przypadku gdy jest to niezbędne do instalacji i uruchomienia Oprogramowania Równoważnego Wykonawca zobowiązuje się również dostarczyć klucze testowe na okres przeprowadzenia testów. Jednocześnie Zamawiający zastrzega sobie możliwość odwołania się do oficjalnych, publicznie dostępnych stron internetowych Producenta weryfikowanego przedmiotu oferty. Nieprzedłożenie oferowanego Oprogramowania Równoważnego do przetestowania w ww. terminie zostanie potraktowane, jako negatywny wynik sprawdzenia. g. Negatywny wynik sprawdzenia oferty w zakresie równoważności oferowanych Produktów skutkować będzie odrzuceniem tej oferty.