VEDLEGG 1: KRAVSPESIFIKASJON

Transkript

1 Versjon 1 VEDLEGG 1: KRAVSPESIFIKASJON for anskaffelse av BRANNMURER Saksnr. 2013/428/

2 Versjon 1 Innholdsfortegnelse 1 GENERELL INFORMASJON Beskrivelse av eksisterende brannmurløsning Beskrivelse av ønsket løsning KRAVSPESIFIKASJON Obligatoriske MÅ-krav Ønskelige egenskaper (BØR-krav) Ekstra funksjonalitet Utfyllende informasjon fra leverandør

3 Versjon 1 1 GENERELL INFORMASJON 1.1 Beskrivelse av eksisterende brannmurløsning Kunden har i dag en brannmurløsning i datasenteret som består av 2 stk Cisco Firewall Service Module (FWSM) i redundant failover-oppsett (active/standby). De to brannmurmodulene står i hver sin Cisco 6509E. Cisco 6509E-switchene er plassert i hvert sitt separate datarom med omtrent 200 meters avstand imellom. Failoverlink mellom brannmurmodulene består av et VLAN på en L2-link som går mellom 6509Eswitchene. Dagens brannmurmoduler er virtualiserte ved at de er oppdelt i 17 contexts (virtuelle brannmurer) i FWSM routed mode. Administrasjon av de ulike virtuelle brannmurene gjøres primært med CLI. Antallet virtuelle brannmurer er en konsekvens av nettverksdesignet der nettverket er delt inn i et titalls ulike sikkerhetssoner med ACLregler mellom hver sone. 1.2 Beskrivelse av ønsket løsning Ønsket løsning skal dekke kundens behov for ny brannmurløsning i datasenteret. I tillegg til å beskytte en rekke servernett og flere ulike DMZ for trafikk fra Internett vil løsningen benyttes til å regulere trafikk mellom de ulike sikkerhetssonene, inkludert å beskytte resten av nettverket mot uønsket trafikk fra brukernettet. Tilbudt løsning må derfor støtte virtualisering slik at hver sikkerhetssone kan beskyttes av en separat virtuell instans. Kunden ønsker ikke tilbud på brannmurmoduler til eksisterende kjerneswitcher. Tilbudt løsning skal være separate fysiske hardwarechassis eller appliances. 3

4 2 KRAVSPESIFIKASJON Versjon 1 For hvert krav som oppfylles av tilbudt løsning skal Leverandør beskrive hvordan løsningen oppfyller. For krav til ytelse kan beskrivelsen for eksempel inneholde tall på ytelsen til tilbudt løsning. Leverandør oppfordres til å gi referanser til relevant dokumentasjon og legge dokumentasjonen ved tilbudet. 2.1 Obligatoriske MÅ-krav Dersom tilbudt løsning ikke oppfyller alle obligatoriske krav vil den ikke bli tatt med i vurderingen. Ytelse Tilbudt løsning MÅ ha minimum 20 Gbit/s firewall throughput per hardwareenhet med stateful packet inspection (SPI) aktivert Hver hardwareenhet i tilbudt løsning MÅ ha minimum 2 stk 10 Gbit/s Ethernet interfaces Tilbudt løsning MÅ støtte minimum samtidige sesjoner/connections per hardwareenhet Tilbudt løsning MÅ være i stand til å håndtere minimum nye sesjoner/connections per sekund Tilbudt løsning MÅ ha maksimalt 100 μs (mikrosekunder) delay for en UDPpakke på 64 byte Tilbudt løsning MÅ ha minimum 3 Gbps total ytelse for alle IPSec site-to-site tunneler med AES256+SHA Funksjonalitet Tilbudt løsning MÅ kunne filtrere pakker basert på informasjon fra ISO lag 3 (IPadresser) og lag 4 (TCP/UDP portnumre) Tilbudt løsning MÅ være stateful (holde 4

5 oversikt over etablerte forbindelser) for både IPv4- og IPv6-trafikk Tilbudt løsning MÅ støtte NAT, i form av NAT Overload (også kalt Port Address Translation), for IPv4-trafikk Tilbudt løsning MÅ ha støtte for TCP Selective ACKs ihht. RFC2018, også dersom TCP Sequence Number Randomization er aktivert Tilbudt løsning MÅ støtte IPSec site-tosite VPN tunneler med AES256 kryptering og SHA hashing Tilbudt løsning MÅ kunne deles inn i minimum 30 virtuelle brannmurer og inkludere eventuelle lisenser som kreves for å oppnå dette antallet Tilbudt løsning MÅ støtte statisk routing for IPv6-trafikk Tilbudt løsning MÅ kunne rapportere session creation og session teardown for hver eneste sesjon til en dedikert loggserver via syslog, selv ved trafikknivåer opp mot maks antall nye sesjoner/sekund Tilbudt løsning MÅ støtte LACP (IEEE 802.3ad / 802.3ax) på 10 Gbit/s Ethernet interfaces Tilbudt løsning MÅ støtte SNMPv2 Versjon 1 5

6 Redundans Hver hardwareenhet i tilbudt løsning MÅ støtte redundante PSUer og leveres med minimum to PSUer Tilbudt løsning MÅ være en redundant løsning med minimum to fysiske enheter i active/standby eller active/active-oppsett Hardwareenhetene i tilbudt løsning MÅ kunne plasseres i hvert sitt uavhengige datarom Failoverkommunikasjon mellom hardwareenheter MÅ kunne foregå over enten Ethernet eller dedikert mørk fiber (SM eller OM3 MM) Failover MÅ være stateful for IPv4- trafikk Versjon 1 Service og support Leverandør MÅ tilby serviceavtale som garanterer Kunden 4 timers responstid på henvendelser om feilretting, hele døgnet alle dager Leverandør MÅ opplyse om forventet leveringstid på erstatningsdeler Serviceavtalen MÅ gi kostnadsfri tilgang til softwareoppdateringer og utskiftning av defekt eller delvis defekt hardware i hele avtaleperioden Leverandør MÅ kunne tilby konsulenter med kompetanse på tilbudt løsning 6

7 Versjon Ønskelige egenskaper (BØR-krav) Ytelse Tilbudt løsning BØR kunne skalere opp til minimum 40 Gbit/s firewall throughput uten å måtte bytte ut hardwareenhetene Tilbudt løsning BØR ha mulighet for å benytte clustering e.l. for å øke løsningens totale ytelse, ved å utvide antall hardwareenheter ut over 2 Tilbudt løsning BØR støtte minimum samtidige sesjoner/connections per hardwareenhet Hver hardwareenhet i tilbudt løsning BØR ha minimum 4 stk 10 Gbit/s Ethernet interfaces Tilbudt løsning BØR være i stand til å håndtere minimum nye sesjoner/connections per sekund Tilbudt løsning BØR ha minimum 5 Gbps total ytelse for alle IPSec site-tosite tunneler med AES256+SHA 7

8 Funksjonalitet IPSec site-to-site-tunneler BØR kunne termineres i en dedikert virtuell brannmur i tilbudt løsning Tilbudt løsning BØR støtte utvidelse av antallet virtuelle brannmurer opp til minimum 50 uten at det er nødvendig å anskaffe mer hardware Tilbudt løsning BØR ha mulighet for å koble virtuelle brannmurer sammen med Kundens kjerneroutere via dedikerte linknett (i form av separate VLAN) for hver virtuelle brannmur Tilbudt løsning BØR støtte IPv6 RA Suppression Tilbudt løsning BØR ha mulighet for dynamisk routing av IPv4-trafikk med OSPF Tilbudt løsning BØR ha mulighet for dynamisk routing av IPv6-trafikk med OSPFv3 Tilbudt løsning BØR ha CLI-basert administrasjonsgrensesnitt som kan aksesseres med SSH Tilbudt løsning BØR ha mulighet for å ta backup og restore av konfigurasjon ved hjelp av FTP, TFTP eller SCP Versjon 1 Redundans Failover BØR være stateful for IPv6- trafikk 2.3 Ekstra funksjonalitet I kategorien for ekstra funksjonalitet beskrives funksjoner som i visse sammenhenger forbindes med uttrykket «Next Generation Firewall». Dette tas med fordi Kunden på et senere tidspunkt ønsker å ta i bruk slik funksjonalitet for utvalgte virtuelle brannmurer i den nye brannmurløsningen. For at BØR-kravene i denne kategorien 8

9 Versjon 1 skal innfris må Leverandøren garantere at ønsket funksjonalitet kan leveres senest innen utløpet av Hver type ekstra funksjonalitet er nevnt med to BØR-krav. Dersom tilbudt løsning inkluderer nevnte funksjonalitet skal begge BØR-krav besvares med Ja. Dersom tilbudt løsning derimot ikke inkluderer funksjonaliteten men har mulighet for å få funksjonaliteten, enten med en gang eller senest innen utløpet av 2014, skal det første BØR- besvares med Ja og det andre BØR- besvares med Nei. Her følger en oversikt over hva Kunden mener med de ulike uttrykkene i kravlisten: Application Awareness Gjenkjenning av ulike applikasjoner som sender trafikk over samme TCP-port. Må inkludere mulighet for blokkering av trafikk tilhørende hele eller deler av en applikasjon, basert på applikasjonsgjenkjenningen. Intrusion Prevention Gjenkjenning av potensielt skadelig nettverkstrafikk ved hjelp av signatursett vedlikeholdt av leverandør eller tredjepart eller annen tilsvarende metode. Botnet Filtering Blokkering av botnetrelatert trafikk basert på regelsett og blacklists vedlikeholdt av leverandør eller tredjepart. URL Filtering Blokkering av HTTP-trafikk basert på hvilken URL en request inneholder. Ansvaret for oppdatering av URLdatabasene som benyttes må ligge hos leverandør eller tredjepart. Det er en fordel om tilbudt løsning kan dekryptere SSL for inspeksjon av HTTPS-trafikk. Malware Protection Med Malware Protection menes både blokkering av trafikk med skadelig payload og muligheter for å få ukjent payload analysert for mulige trusler. Analysene bør fortrinnsvis foregå på systemer som driftes av leverandør eller tredjepart. User-based Access Control Mulighet til å sette opp ulik tilgang i form av differensierte aksessliste-regler for ulike grupper av brukere eller for enkeltbrukere. Må inkludere mulighet for integrasjon mot AD eller LDAP for å hente ut brukerinformasjon og gruppetilhørighet automatisk. DDoS Protection Funksjonalitet for å blokkere store 9

10 Versjon 1 mengder SYN half-open requests og store mengder likelydende eller ugyldig trafikk. Med likelydene menes for eksempel store mengder HTTP GETrequests mot samme URL. ene nedenfor forutsetter at funksjonaliteten kan utføres «i samme hardwareenhet eller hardwarechassis som brannmurfunksjonaliteten». Med andre ord vil en løsning som baserer seg på tilleggshardware i form av separate enheter eller separate chassis ikke oppfylle. Derimot kan en modul i samme enhet eller chassis som brannmuren oppfylle. Det samme gjelder naturligvis om funksjonaliteten er integrert i brannmurenheten og ikke forutsetter ekstra hardwaremoduler. mulighet for, aktivering av Application Awareness-funksjonalitet, senest innen utløpet av 2014, i samme hardwareenhet eller hardwarechassis som brannmurfunksjonaliteten Tilbudt løsning BØR ha Application Awareness-funksjonalitet, inkludert nødvendig hardware og eventuelle lisenser mulighet for, aktivering av Intrusion Prevention-funksjonalitet, senest innen utløpet av 2014, i samme hardwareenhet eller hardwarechassis som brannmurfunksjonaliteten Tilbudt løsning BØR ha Intrusion Preventionfunksjonalitet, inkludert nødvendig hardware og eventuelle lisenser 10

11 mulighet for, aktivering av Botnet Filteringfunksjonalitet, senest innen utløpet av 2014, i samme hardwareenhet eller hardwarechassis som brannmurfunksjonaliteten Tilbudt løsning BØR ha Botnet Filteringfunksjonalitet, inkludert nødvendig hardware og eventuelle lisenser mulighet for, aktivering av URL Filteringfunksjonalitet, senest innen utløpet av 2014, i samme hardwareenhet eller hardwarechassis som brannmurfunksjonaliteten mulighet for, dekryptering av SSL, senest innen utløpet av 2014, i samme hardwareenhet eller hardwarechassis som brannmurfunksjonaliteten Tilbudt løsning BØR ha URL Filteringfunksjonalitet, inkludert nødvendig hardware og eventuelle lisenser Tilbudt løsning BØR ha dekryptering av SSL, inkludert nødvendig hardware og eventuelle lisenser mulighet for, aktivering av Malware Protection-funksjonalitet, senest innen utløpet av 2014, i samme hardwareenhet eller hardwarechassis som brannmurfunksjonaliteten Tilbudt løsning BØR ha Malware Protectionfunksjonalitet, inkludert nødvendig hardware og eventuelle lisenser Versjon 1 11

12 mulighet for, aktivering av User-Based Access Control-funksjonalitet, senest innen utløpet av 2014, i samme hardwareenhet eller hardwarechassis som brannmurfunksjonaliteten Tilbudt løsning BØR ha User-Based Access Control-funksjonalitet, inkludert nødvendig hardware og eventuelle lisenser mulighet for, aktivering av DDOS Protectionfunksjonalitet, senest innen utløpet av 2014, i samme hardwareenhet eller hardwarechassis som brannmurfunksjonaliteten Tilbudt løsning BØR ha DDOS Protectionfunksjonalitet, inkludert nødvendig hardware og eventuelle lisenser Versjon 1 3 Utfyllende informasjon fra leverandør Her kan leverandør oppgi ekstra informasjon om tilbudt løsning, for eksempel spesielle egenskaper ved løsningen som leverandøren ønsker å opplyse om og fremheve. 12