ANEXO No. 01 CARACTERISTICAS TECNICAS UNIFORMES, MENOR AL 10% DE LA M.C. SUBASTA INVERSA MC

Transcripción

1 ANEXO No. 01 CARACTERISTICAS TECNICAS UNIFORMES, MENOR AL 10% DE LA M.C. SUBASTA INVERSA MC OBJETO:!" A. ESPECIFICACIONES DEL OBJETO A CONTRATAR Y OBLIGACIONES DEL CONTRATISTA: ITEM ESPECIFICACIONES SOLICITADAS POR LA GERENCIA CANTIDAD SOLICITADA 1 HARDENING FONADE Servicio profesional y soporte técnico en Hardening para llevar a cabo un conjunto de actividades para reforzar la seguridad de los sistemas operativos, switches y en la red de la entidad, contemplando asesoramiento o acompañamiento en sitio (40 horas) y el afinamiento a que haya lugar en cada uno de los servidores de FONADE. 1 Los servicios profesionales deben estar orientados a: Reglas básicas en Hardening (Cuentas de usuarios, nivel de privilegios, puertos y servicios innecesarios, etc.) Número de Usuarios: Switches: 25 3COM (4500 y 5500) 5 Switches de 24 puertos, 12 Switches de 26 puertos, 8 Switches de 50 puertos. Servidores en producción 40 8 Linux Red Hut, 9 Linux Debian. 7 Windows 2008 Server Standard R2 SP2 y el resto Windows 2003 Server Standard R2 SP2 Hardening de redes (Segmentación, Gateway, VLAN s, VPN, etc) VLAN: 12 ANEXO 01 MC Página 1 de 6

2 Hardening de servicios Web (servidores web, autenticación, Cifrados, ataques comunes a la Web, etc.) Hardening de almacenamiento de datos (Sistemas de cifrado, protección de datos, entorno de almacenamiento, etc.) Hardening a las Bases de Datos Microsoft (S.O, permisos, aislamientos, cuentas, firewalls, etc) BASES DE DATOS: ORACLE 10G 5 BASES DE DATOS POSTGRES 1 MS SQL - 4 Hardening Wireless (Wlans, Segmentación, AP s, etc) IDS/IPS (Instalación, configuración, ejecución, etc.) Hardening frente a los códigos maliciosos (AntiSpam, Antivirus, AntiPhishing, Zero-Day, etc.) Auditorías y Test de penetración Entre las actividades mencionadas específicamente se realizarán: Configuraciones necesarias para protegerse de posibles ataques físicos o de hardware de la máquina. Entre otras actividades, destacan el upgrade de firmware, el establecimiento de contraseñas complejas para el arranque del equipo y la configuración de la BIOS, la des-habilitación de inicio de sistema para cualquier unidad que no sea el disco duro principal, y en casos de servidores, la deshabilitación de dispositivos ópticos, USB o similares, para evitar cualquier entrada de malware desde un medio de almacenamiento externo. Instalación segura del sistema operativo. Esto implica, entre otras cosas, el considerar al menos dos particiones primarias (una para el sistema operativo en sí y otra para carpetas y archivos de importancia), el uso de un sistema de archivos que tenga prestaciones de seguridad, y el concepto de instalación mínima, es decir, evitando la instalación de cualquier componente de sistema que no sea necesario para el funcionamiento del sistema. Activación y/o configuración adecuada de servicios de actualizaciones automáticas, para asegurar que el equipo tendrá todos los parches de seguridad que entrega el proveedor al día. En caso de que se encuentre dentro de una corporación, es adecuado instalar un servidor de actualizaciones, que deberá probar en un entorno de laboratorio el impacto de la instalación de actualizaciones antes de instalarlas en producción. Instalación, configuración y mantenimiento de programas de seguridad tales como antivirus, antispyware, y un filtro antispam según las necesidades del sistema. ANEXO 01 MC Página 2 de 6

3 Configuración de la política local del sistema, considerando varios puntos relevantes: o Política de contraseñas robusta, con claves caducables, almacenamiento histórico de contraseñas (para no usar contraseñas cíclicas), bloqueos de cuentas por intentos erróneos y requisitos de complejidad de contraseñas. o Re-nombramiento y posterior des-habilitación de cuentas estándar del sistema, como administrador e invitado. o Asignación correcta de derechos de usuario, para reducir las posibilidades de elevación de privilegios, y tratando siempre de limitar al mínimo los privilegios y/o derechos de los usuarios activos. o Configuración de opciones de seguridad generales, como aquellas relacionadas con rutas de acceso compartido, apagado de sistema, inicio y cierre de sesión y opciones de seguridad de red. o Restricciones de software, basado en lo posible en el uso de listas blancas de software permitido más que en listas negras del mismo. o Activación de auditorías de sistema y privilegios de los administradores de la red, claves para tener un registro de algunos intentos de ataque característicos como la adivinación de contraseñas. o Activación de correlación de eventos (logs) o subcontratación Configuración de servicios de sistema. En este punto es necesario tratar siempre de deshabilitar todos aquellos servicios que no vayan a prestar una funcionalidad necesaria para el funcionamiento del sistema. Por ejemplo, si su equipo no posee tarjetas de red inalámbrica, el servicio de redes inalámbricas debería estar deshabilitado. Configuración de los protocolos de Red. En la medida de lo posible, es recomendable usar sistemas de traducción de direcciones (NAT) para direccionar los equipos internos de una organización. Deshabilitar todos aquellos protocolos de red innecesarios en el sistema y limitar el uso de los mismos al mínimo. TCP/IP es un protocolo que no nació pensando en seguridad, por lo que limitar su uso al estrictamente necesario es imperativo. Configuración adecuada de permisos de seguridad en archivos y carpetas del sistema. En la medida de lo posible, denegar explícitamente cualquier permiso de archivo a las cuentas de acceso anónimos o que no tengan contraseña. Un correcto set de permisos a nivel de carpetas y archivos es clave para evitar acceso no deseado al contenido de los mismos. Configuración de opciones de seguridad de los distintos programas, como clientes de correo electrónico, navegadores de Internet y en general de cualquier tipo de programa que tenga interacción con la red. Configuración de acceso remoto. En caso de no ser estrictamente necesario, es bueno deshabilitar el acceso remoto. Sin embargo, cuando es necesario tener control remoto de la máquina, es preciso configurarlo de manera adecuada, restringiendo el acceso a un número muy limitado de usuario, restringiendo al mínimo las conexiones concurrentes, tomando cuidado en la desconexión y cierre de sesión y estableciendo un canal cifrado de comunicaciones para tales propósitos, como SSH. Configuración adecuada de cuentas de usuario, tratando de trabajar la mayor parte del tiempo con cuentas de acceso limitado y deshabilitando las cuentas de ANEXO 01 MC Página 3 de 6

4 administrador. Es absolutamente recomendable usar la impersonificación de usuarios para realizar labores administrativas en vez de iniciar sesión como administradores. Cifrado de archivos o unidades según las necesidades del sistema, considerando un almacenamiento externo para las llaves de descifrado. Considerar además la opción de trabajar con sistemas de cifrado de mensajería instantánea y correo electrónico. Revisión de la ejecución del sistema de respaldos frecuente a los archivos y al estado de sistema. Configuración del disco imagen de respaldo, para facilitar procesos de restauración en caso de fallas. Elaborar un script de backup del sistema en general, para restaurar de manera rápida en otro sistema en caso de fallas físicas. Elaborar scripts de recuperación de desastres, para restaurar el sistema rápidamente en caso de fallas totales del Server. En la medida de lo posible, administrar los respaldos vía red o llevar los respaldos a unidades físicas que estén alejadas del equipo que las origina. Elaboración y levantamiento del diagrama de la red, incluyendo servidores y servicios, con su mejor propuesta de afinamiento, a la especificación más segura. Pruebas de penetración externas e internas que comprueben el correcto funcionamiento del esquema de seguridad configurado. RISP, para evitar ataques por fuerza bruta al servicio de SSH Máquina virtual, para seguir trabajando en caso de fallas físicas del servidor. Servicio DNS, con separación de vistas para parte externa y dmz, para mayor seguridad, en la parte de Internet con seguridad para evitar consultas recursivas. Análisis y Creación de particiones de tipo dinámicos en disco duro que permitan crecimientos en caliente y ajustados según las necesidades del servicio. Separación de Sistemas de archivos para mayor seguridad y evitar degradación del sistema por llenados totales del mismo. Entregables: Una vez generada el acta de finalización del proceso, se tendrá durante un año, 40 horas de soporte telefónico, vía Web o de ser requerida, presencial en la sede de Bogotá. Se entregará la siguiente documentación de la solución: o Guías en formato electrónico sobre los servicios configurados. o Máquinas virtuales, para que en caso de fallas físicas de los servidores más críticos, se ponga en producción una máquina virtual. o Indicación de donde descargar el software usado. o Mapa de red del servidor y servicios prestados para la empresa según lo ofertado. o Documentación de las soluciones dadas a los incidentes: El contratista entregará un formato diligenciado de informe de visita incluyendo las actividades realizadas (causas y soluciones si aplica) y las horas consumidas, el cual deberá ser firmado por ambas partes y será el soporte para el pago. ANEXO 01 MC Página 4 de 6

5 Vigencia de las horas de Servicio: Las horas de Servicio estarán vigentes durante un (1) año calendario a partir de la suscripción del acta de Iniciación de la orden de servicio. Obligaciones carácter general del contratista Cumplir el objeto contractual, ejecutándolo de acuerdo con lo establecido en el presente documento y dentro del plazo establecido. Acreditar, en las oportunidades que así se requiera, de conformidad con lo establecido en el inciso segundo del artículo 41 de Ley 80 de 1993 adicionado mediante el artículo 23 de la Ley 1150 de 2007, que se encuentra al día en el pago de aportes parafiscales relativos al Sistema de Seguridad Social Integral, así como los propios al Servicio Nacional de Aprendizaje - SENA, Instituto Colombiano de Bienestar Familiar ICBF y las cajas de compensación familiar. Asumir los costos de legalización del contrato, así como todos los impuestos, tasas y similares que se deriven de la celebración, ejecución y liquidación del objeto contractual. Realizar el servicio profesional y de soporte técnico en Hardening para FONADE, en las fechas pactadas con FONADE, por un periodo de un (1) año, cumpliendo a cabalidad con lo descrito en el literal A. del presente anexo. Demostrar dentro del grupo de trabajo personal con certificados en CHE (Certified Ethical Hacking), CISSP (Certified Information Systems Security Professional), CISM (Certified Information Security Manager), Auditor Líder en ISO27001, CIE 1 Certified IronPort Engineer Level 1ABCP (Associate Business Continuity Professional DRII. El acta de recibo correspondiente debe estar firmada por el funcionario quien recibe y la persona que entrega por parte del contratista. Las demás requeridas para el cabal cumplimiento del objeto contractual. B. ANÁLISIS TÉCNICO Y ECONÓMICO QUE SOPORTA EL VALOR ESTIMADO DEL CONTRATO: De acuerdo con el objeto del proceso, se llevo a cabo el estudio de precios de mercado teniendo en cuenta las siguientes variables: a. Precios Unitarios b. Cantidades c. Cotizaciones presentadas por varias firmas. Esta información se encuentra descrita en el informe de precios de mercado (EPM), emitido por el Área de Estudios Previos de FONADE y de acuerdo con este sondeo se obtuvo el siguiente cuadro: ANEXO 01 MC Página 5 de 6

6 ITEM ESPECIFICACIONES SOLICITADAS POR LA GERENCIA CANT. VR UNITARIO PROMEDIO CON IVA Vr. PROMEDIO CON IVA HARDENING FONADE 1 Servicio profesional y soporte técnico en Hardening para llevar a cabo un conjunto de actividades para reforzar la seguridad de los sistemas operativos, switches y en la red de la entidad, contemplando asesoramiento o acompañamiento en sitio (40 horas) y el afinamiento a que haya lugar en cada uno de los servidores de FONADE TOTAL COTIZACION Teniendo en cuenta las anteriores variables y el estudio de precios de mercado realizado por la entidad, se obtuvo el presupuesto oficial estimado establecido en el numeral 1.4. del Anexo No. 00. C. FORMA DE PAGO: FONADE cancelará a EL CONTRATISTA, el valor del contrato, en doce (12) pagos mensuales de igual valor, previo cumplimiento de los compromisos cumplidos mes a mes, previa aprobación del supervisor del contrato y presentación de la factura correspondiente. ANEXO 01 MC Página 6 de 6