PLIEGO DE PRESCRIPCIONES TÉCNICAS ÍNDICE 1. OBJETO LOTES... 2

Transcripción

1 PROCEDIMIENTO ABIERTO PARA LA ADJUDICACIÓN DEL CONTRATO DE SUMINISTRO DE EQUIPOS, SOFTWARE Y SERVICIOS ASOCIADOS A UN SISTEMA DE CORTAFUEGOS DE APLICACIÓN WEB Y A UN SISTEMA DE CORTAFUEGOS PERIMETRAL PARA EL SISTEMA INFORMÁTICO DEL SENADO PLIEGO DE PRESCRIPCIONES TÉCNICAS ÍNDICE 1. OBJETO LOTES LOTE 1: SISTEMA CORTAFUEGOS DE APLICACIÓN WEB Requisitos mínimos del sistema solicitado Componentes basados en software Valoración de las soluciones propuestas En los requisitos Otras funcionalidades a valorar Servicios de instalación, configuración, integración y formación Personal asignado a la ejecución del contrato Garantía, soporte y mantenimiento LOTE 2: SISTEMA DE CORTAFUEGOS PERIMETRAL Requisitos mínimos del sistema solicitado Valoración de las características de las soluciones propuestas Servicios de instalación, configuración y desinstalación del equipamiento actual Garantía, soporte y mantenimiento... 8

2 2 1. OBJETO El objeto del presente procedimiento es la contratación del suministro de un sistema de cortafuegos de aplicación web y un sistema de cortafuegos perimetral para el sistema informático del Senado, incluyendo tanto los equipos físicos como los programas (software) asociados, así como de los servicios necesarios para su correcta puesta en funcionamiento, de conformidad con lo que se contempla en este pliego y en el de cláusulas administrativas particulares. 2. LOTES El presente procedimiento de contratación consta de los siguientes lotes: Lote 1: Sistema de cortafuegos de aplicación web. Lote 2: Sistema de cortafuegos perimetral. 3. LOTE 1: SISTEMA CORTAFUEGOS DE APLICACIÓN WEB El Senado dispone de una serie de aplicaciones desplegadas en Internet, como la página web del Senado, el correo electrónico al que se accede tanto con navegador, cliente en ordenador personal o mediante dispositivos móviles, la intranet, las aplicaciones móviles de tramitación parlamentaria y las de intercambio de datos con otras administraciones públicas, así como otras aplicaciones web que se desplegarán en la sede electrónica de la Cámara. El sistema que se requiere debe incorporar los mecanismos de seguridad necesarios para proteger las aplicaciones mencionadas de ataques externos e internos, permitiendo mejorar la experiencia final del usuario mediante el uso de caché y compresión de contenidos, descargando a los servidores de la realización de tareas de gran carga computacional, tales como el establecimiento de conexiones cifradas SSL y llevando a cabo el reparto de carga entre los distintos servidores configurados para dar servicio a cada aplicación, y gestionando a su vez la alta disponibilidad de los mismos. El cortafuegos de aplicación web deberá integrarse con los demás sistemas de seguridad actualmente en servicio en el sistema informático del Senado, el principal de los cuales es el que se describe en el lote 2 de este pliego. 3.1 Requisitos mínimos del sistema solicitado Las funcionalidades básicas del equipo serán las de un firewall de aplicación web con capacidades de protección de aplicaciones web ante ataques (para múltiples sitios y aplicaciones), optimización de aplicaciones web (compresión y caché de contenidos), aceleración de conexiones SSL, así como funcionalidad de

3 3 reparto de carga y gestión de la alta disponibilidad entre múltiples frontales que estén sirviendo una misma aplicación. Los requisitos mínimos del sistema que se oferte serán los siguientes: Arquitectura redundante mediante el uso de dos elementos hardware independientes con capacidad para funcionar en alta disponibilidad en modo activo-pasivo. 2 interfaces Gigabit Ethernet. Soporte para protocolo IPv4. Protección de aplicaciones web ante ataques, cubriendo específicamente aquellos recogidos en la lista Top Ten de OWASP (donde sea aplicable). Base de datos (con actualización periódica) de reglas relativas a ataques y vulnerabilidades conocidos. Soporte para funcionamiento en modo de proxy inverso y capacidad para la terminación de túneles SSL (SSL offload). Capacidad para proteger múltiples aplicaciones y servicios, tanto en HTTP como HTTPS (multidominio), con posibilidad de establecer reglas con control granular. Capacidad de perfilado de las aplicaciones mediante un módulo de autoaprendizaje. Capacidad para ocultar la infraestructura de servidores subyacente. Capacidad para control de flujo ante ataques de fuerza bruta. Validación y normalización de protocolo HTTP. Mecanismos de detección y protección contra la actividad automatizada de programas maliciosos (bots). Protección y mitigación de ataques contra componentes de infraestructura vulnerables. Soporte para realizar caché y compresión de contenidos. Rendimiento de 1 Gbps en inspección de tráfico HTTP, nuevas conexiones por segundo y conexiones concurrentes Rendimiento de 200 Mbps en inspección de tráfico HTTPS, nuevas conexiones SSL por segundo (con certificados de 2048 bits) y conexiones concurrentes. Capacidad para distribuir la carga de una aplicación entre distintos servidores, incluyendo mecanismos para la detección de servidores caídos. El sistema deberá evitar enviar conexiones a sistemas caídos así como enviar las conexiones correspondientes a una sesión siempre al mismo servidor. Capacidad de encaminamiento de peticiones a partir de URL. Soporte para reescritura y redirección de URLs, así como reescritura de contenido HTML.

4 4 Mecanismos de protección ante ataques de denegación de servicio de aplicación. Compatibilidad específica con Oracle IAS y Weblogic, Apache Web Server y Microsoft Exchange Consola de administración y gestión basada en interfaz gráfico, con panel de control que refleje los aspectos más significativos de la actividad así como las alertas del sistema. Capacidad para generar registros detallados e informes de actividad. Las ofertas que no cumplan estos requisitos mínimos serán desestimadas Componentes basados en software Como parte de las soluciones que puedan ofertar los licitadores serán admisibles componentes complementarios basados en software. En tal caso, los componentes deberán ser compatibles para su ejecución en un entorno de virtualización basado en VMWare 5.0 o superior. Las ofertas deberán especificar los recursos necesarios (memoria, disco, procesador) para ejecutar tales componentes Valoración de las soluciones propuestas En los requisitos. Se valorarán los siguientes aspectos de cumplimiento de los requisitos: Rendimientos tanto en tráfico, nuevas conexiones por segundo y conexiones concurrentes (HTTP y HTTPS), así como rendimiento en compresión de contenidos. Amplitud y granularidad del modelo de seguridad comprendiendo, entre otros, tanto modelos positivos como negativos, correlación, firmas para aplicaciones específicas así como otras variantes. Funcionalidad y facilidad de uso del perfilado mediante autoaprendizaje así como la adaptabilidad del mismo ante cambios en las aplicaciones. Nivel de funcionalidad de los mecanismos de mitigación de ataques de denegación de servicio, protección de componentes de infraestructura vulnerables así como detección y protección contra la actividad automatizada de programas maliciosos (bots). Nivel de funcionalidad de los mecanismos de distribución de carga así como otros relativos a los aspectos de control de entrega de aplicaciones. Facilidad de gestión y administración del sistema, incluyendo la disponibilidad de asistentes y/o plantillas de configuración, así como otros aspectos (gestión basada en roles, etc.). Capacidad para funcionar en alta disponibilidad en modo activo-activo.

5 5 Certificaciones de fabricante de compatibilidad con aplicaciones de terceros. Número de interfaces de red Otras funcionalidades a valorar. Además de la valoración prevista en el apartado anterior para los requisitos, se valorarán, en su caso, las siguientes características o funcionalidades: Capacidad para implementar políticas basadas en la reputación y/o la geolocalización de las direcciones IP de origen. Soporte para otros modos de funcionamiento distintos de proxy inverso (inline transparente, offline con port mirroring, etc.). Capacidad para ejecutar escaneos de vulnerabilidades sobre las aplicaciones y la infraestructura que da soporte a las mismas, así como posibilidad de implementar virtual patching a partir de la información generada a partir de dichos escaneos. Soporte para crear múltiples firewalls virtuales. Soporte para autenticación mediante LDAP/RADIUS y funcionalidades de Single Sign-on y control de autorización. Soporte para protocolo IPv6, así como funcionalidades de puenteado entre protocolos IPv4 e IPv6. Soporte para funcionamiento como XML Firewall y protección de servicios web. Funcionalidad para la protección de los mecanismos de sesión (cookies, etc.). Funcionalidad de filtrado de nivel 4 con soporte para inspección con estado (stateful inspection). Capacidades de protección basadas en el cumplimiento de pasos sucesivos de navegación. Funcionalidad de concentración de conexiones (connection pooling). Funcionalidades para la monitorización de la experiencia de usuario. Capacidades como cortafuegos de aplicación para protocolos distintos de HTTP/HTTPS. Nivel de integración con sistemas de recogida y gestión de eventos. Soporte para VLAN 802.1q. Monitorización mediante SNMP. Certificaciones oficiales de seguridad (Common Criteria, ICSA, etc.). Posibilidad de inspección de malware de los contenidos. Almacenamiento seguro de claves privadas de certificados de servidor.

6 6 3.4 Servicios de instalación, configuración, integración y formación La oferta deberá contemplar todos los servicios necesarios para llevar a cabo el suministro, la instalación, configuración, puesta en marcha e integración con todas las aplicaciones del sistema informático del Senado que sea necesario proteger. También se deberá contemplar un plan de formación acerca del funcionamiento y administración de los equipos ofertados, así como del despliegue específico efectuado en las instalaciones del Senado. Tal formación deberá comprender tanto aspectos teóricos como prácticos y deberá incluir laboratorios en los que se practiquen las funcionalidades más relevantes del sistema ofertado. El número de personas que habrá de recibir esta formación será de seis. Se valorará la extensión y calidad de la formación ofertada así como que la misma forme parte del currículum oficial de formación del fabricante y/o sea parte de la obtención de certificaciones. También se valorará la inclusión de servicios de asistencia experta (en forma de jornadas o bolsas de horas) de forma añadida a los ya contemplados en el apartado de «Garantía, soporte y mantenimiento». La documentación generada durante la ejecución del contrato será de propiedad exclusiva del Senado, sin que el contratista pueda facilitarla a terceros sin la expresa autorización del Senado. La documentación se entregará en formato electrónico. 3.5 Personal asignado a la ejecución del contrato Los licitadores deberán detallar en su propuesta la composición del equipo de personas encargado de la ejecución del contrato y la prestación de los servicios, incluyendo un curriculum vitae con mención expresa de la cualificación profesional de cada uno de sus miembros así como su perfil técnico, titulaciones, certificaciones, etc. 3.6 Garantía, soporte y mantenimiento La solución ofertada deberá tener una garantía de dos años, contados desde la fecha del acta de recepción, incluyendo las actualizaciones de software correspondientes y de cualquier elemento adicional (firmas, patrones, etc.), así como soporte técnico in situ para reparación y sustitución de hardware. El adjudicatario será el contacto para la sustitución y reparación de elementos, así como para el soporte de primer nivel para incidentes de software y hardware, siendo el encargado del escalado, en su caso, de las incidencias tanto a los distribuidores como a los fabricantes de los dispositivos suministrados.

7 7 La modalidad mínima de soporte será atención telefónica y por correo electrónico en régimen de 8x5 y respuesta al siguiente día laborable ante incidentes, y servicio de envío de hardware de sustitución en un plazo de 48 horas. Se valorará la inclusión de condiciones de garantía, mantenimiento y soporte que mejoren los mínimos requeridos. 4. LOTE 2: SISTEMA DE CORTAFUEGOS PERIMETRAL El Senado dispone de un cortafuegos de red de primer nivel compuesto por un clúster de equipos Stonegate FW/VPN SG-1100, que tiene como función la conectividad del Senado a Internet mediante la gestión de múltiples líneas de conexión, implementando políticas de seguridad de red, haciendo posible la disponibilidad de los servicios mediante reparto de carga entre múltiples servidores e implementando servicios de VPN IPSec desde el puesto de usuario. Este sistema es gestionado mediante la plataforma Stonegate Management Center. Estos equipos se encuentran fuera de mantenimiento por parte del fabricante al haber alcanzado el fin de su vida útil, por lo que se hace necesaria su sustitución por otros funcionalmente equivalentes y que estén actualmente soportados por el fabricante. 4.1 Requisitos mínimos del sistema solicitado Se requiere un sistema con capacidad para sustituir completamente al anteriormente mencionado. Deberá estar compuesto por dos equipos hardware configurados para funcionar en clúster de alta disponibilidad en modo activo-activo. Las características mínimas de cada uno de estos equipos serán las siguientes: Appliance en caja con formato para montaje en bastidor de 19 pulgadas y altura de 1U. 12 interfaces Gigabit Ethernet. Soporte para filtrado de tráfico para protocolos IPv4 e IPv6, con posibilidad de filtrar mediante direcciones IP, puertos, aplicaciones, usuarios, etc. Capacidad para realizar traslación de direcciones IP y/o puertos tanto en IPv4 como en IPv6. Soporte para VPN IPSec, tanto de tipo site to site como mobile VPN. Capacidad para gestionar la conectividad a la red Internet a través de múltiples enlaces de ISP sin necesidad de BGP, así como realizar reparto de carga y alta disponibilidad con base en la conectividad disponible. Soporte para VLAN 802.1q y agregación de enlaces mediante 802.3ad

8 8 Capacidad de realizar reparto de carga entre distintos servidores así como mecanismos basados en agentes para determinar la disponibilidad de un servidor. Gestionable mediante la plataforma Stonegate Management Center. Capacidad para configurar reglas de filtrado activables mediante mensajes de blacklisting enviados desde los sistemas Stonegate IPS actualmente en servicio en el Senado. Funcionalidad de gestión de ancho de banda y de calidad de servicio. Rendimiento de 9 Gbps en filtrado de tráfico. Las ofertas que no cumplan estos requisitos mínimos serán desestimadas. 4.2 Valoración de las características de las soluciones propuestas Se valorarán las siguientes características: Rendimiento en filtrado de tráfico. Funcionalidades adicionales de seguridad de red. 4.3 Servicios de instalación, configuración y desinstalación del equipamiento actual. El adjudicatario llevará a cabo la instalación física y configuración de los equipos ofertados, así como la desinstalación de los equipos a sustituir. 4.4 Garantía, soporte y mantenimiento La solución ofertada deberá tener una garantía de dos años, contados desde la fecha del acta de recepción, incluyendo las actualizaciones de software correspondientes y de cualquier elemento adicional (firmas, patrones, etc.), así como soporte técnico in situ, para reparación y sustitución de hardware. El adjudicatario será el contacto para la sustitución y reparación de elementos, así como para el soporte de primer nivel para incidentes de software y hardware, siendo el encargado del escalado, en su caso, de las incidencias tanto a los distribuidores como a los fabricantes de los dispositivos suministrados. La modalidad mínima de soporte será la básica, con atención 8x5 y respuesta al siguiente día laborable ante incidentes y servicio de envío de hardware de sustitución en un plazo de 48 horas. Se valorará la inclusión de condiciones de garantía, mantenimiento y soporte que mejoren los mínimos requeridos.