1. Serwer 1szt.

1. Macierz dyskowa 1szt.

1. Serwerowy system operacyjny (SSO) 1szt.

Każda licencja musi zapewniać poniższe funkcjonalności dla serwera opisanego w pkt 1.

Licencja musi uprawniać do uruchamiania serwerowego systemu operacyjnego (SSO) w środowisku fizycznym i dwóch wirtualnych środowisk serwerowego systemu operacyjnego za pomocą wbudowanych mechanizmów wirtualizacji.

Serwerowy system operacyjny (SSO) musi posiadać następujące, wbudowane cechy.

1. Możliwość wykorzystania, do 320 logicznych procesorów oraz co najmniej 4 TB pamięci RAM w środowisku fizycznym

2. Możliwość wykorzystywania 64 procesorów wirtualnych oraz 1TB pamięci RAM i dysku o pojemności do 64TB przez każdy wirtualny serwerowy system operacyjny.

3. Możliwość budowania klastrów składających się z 64 węzłów, z możliwością uruchamiania do 8000 maszyn wirtualnych.

4. Możliwość migracji maszyn wirtualnych z możliwością kompresji danych, bez zatrzymywania ich pracy, między fizycznymi serwerami z uruchomionym mechanizmem wirtualizacji (hypervisor) przez sieć Ethernet, bez konieczności stosowania dodatkowych mechanizmów współdzielenia pamięci.

5. Wsparcie (na umożliwiającym to sprzęcie) dodawania i wymiany pamięci RAM bez przerywania pracy.

6. Wsparcie (na umożliwiającym to sprzęcie) dodawania i wymiany procesorów bez przerywania pracy.

7. Automatyczna weryfikacja cyfrowych sygnatur sterowników w celu sprawdzenia, czy sterownik przeszedł testy jakości przeprowadzone przez producenta systemu operacyjnego.

8. Możliwość dynamicznego obniżania poboru energii przez rdzenie procesorów niewykorzystywane w bieżącej pracy. Mechanizm ten musi uwzględniać specyfikę procesorów wyposażonych w mechanizmy Hyper-Threading.

9. Wbudowane wsparcie instalacji i pracy na wolumenach, które:

a. pozwalają na zmianę rozmiaru w czasie pracy systemu,

b. umożliwiają tworzenie w czasie pracy systemu migawek, dających użytkownikom końcowym (lokalnym i sieciowym) prosty wgląd w poprzednie wersje plików i folderów,

c. umożliwiają kompresję "w locie" dla wybranych plików i/lub folderów,

d. umożliwiają zdefiniowanie list kontroli dostępu (ACL).

10. Wbudowany mechanizm klasyfikowania i indeksowania plików (dokumentów) w oparciu o ich zawartość.

11. Wbudowane szyfrowanie dysków przy pomocy mechanizmów posiadających certyfikat FIPS 140-2 lub równoważny wydany przez NIST lub inną agendę rządową zajmującą się bezpieczeństwem informacji.

12. Możliwość uruchamianie aplikacji internetowych wykorzystujących technologię ASP.NET

13. Możliwość dystrybucji ruchu sieciowego HTTP pomiędzy kilka serwerów.

14. Wbudowana zapora internetowa (firewall) z obsługą definiowanych reguł dla ochrony połączeń internetowych i intranetowych.

15. Graficzny interfejs użytkownika.

16. Zlokalizowane w języku polskim, co najmniej następujące elementy: menu, przeglądarka internetowa, pomoc, komunikaty systemowe,

17. Możliwość zmiany języka interfejsu po zainstalowaniu systemu, dla co najmniej 10 języków poprzez wybór z listy dostępnych lokalizacji.

18. Wsparcie dla większości powszechnie używanych urządzeń peryferyjnych (drukarek, urządzeń sieciowych, standardów USB, Plug&Play).

19. Możliwość zdalnej konfiguracji, administrowania oraz aktualizowania systemu.

20. Dostępność bezpłatnych narzędzi producenta systemu umożliwiających badanie i wdrażanie zdefiniowanego zestawu polityk bezpieczeństwa.

21. Pochodzący od producenta systemu serwis zarządzania polityką dostępu do informacji w dokumentach (Digital Rights Management).

22. Możliwość implementacji następujących funkcjonalności bez potrzeby instalowania dodatkowych produktów (oprogramowania) innych producentów wymagających dodatkowych licencji:

a. Podstawowe usługi sieciowe: DHCP oraz DNS wspierający DNSSEC,

b. Usługi katalogowe oparte o LDAP i pozwalające na uwierzytelnianie użytkowników stacji roboczych, bez konieczności instalowania dodatkowego oprogramowania na tych stacjach, pozwalające na zarządzanie zasobami w sieci (użytkownicy, komputery, drukarki, udziały sieciowe), z możliwością wykorzystania następujących funkcji:

i. Podłączenie SSO do domeny w trybie offline – bez dostępnego połączenia sieciowego z domeną,

ii. Ustanawianie praw dostępu do zasobów domeny na bazie sposobu logowania użytkownika – na przykład typu certyfikatu użytego do logowania,

iii. Odzyskiwanie przypadkowo skasowanych obiektów usługi katalogowej z mechanizmu kosza.

iv. Ustanawianie praw dostępu do określonych zasobów dla użytkowników nie dołączonych do domeny

c. Zdalna dystrybucja oprogramowania na stacje robocze.

d. Praca zdalna na serwerze z wykorzystaniem terminala (cienkiego klienta) lub odpowiednio skonfigurowanej stacji roboczej

e. Centrum Certyfikatów (CA), obsługa klucza publicznego i prywatnego) umożliwiające:

-Dystrybucję certyfikatów poprzez http

-Konsolidację CA dla wielu lasów domeny,

-Automatyczne rejestrowania certyfikatów pomiędzy różnymi lasami domen.

f. Szyfrowanie plików i folderów.

g. Szyfrowanie połączeń sieciowych pomiędzy serwerami oraz serwerami i stacjami roboczymi (IPSec).

h. Możliwość tworzenia systemów wysokiej dostępności (klastry typu fail-over) oraz rozłożenia obciążenia serwerów.

i. Serwis udostępniania stron WWW.

j. Wsparcie dla protokołu IP w wersji 6 (IPv6),

k. Wbudowane usługi VPN pozwalające na zestawienie nielimitowanej liczby równoczesnych połączeń i niewymagające instalacji dodatkowego oprogramowania na komputerach z systemem Windows,

l. Wbudowane mechanizmy wirtualizacji (Hypervisor) pozwalające na uruchamianie do 300 aktywnych środowisk wirtualnych systemów operacyjnych. Wirtualne maszyny w trakcie pracy i bez zauważalnego zmniejszenia ich dostępności mogą być przenoszone pomiędzy serwerami klastra typu failover z jednoczesnym zachowaniem pozostałej funkcjonalności. Mechanizmy wirtualizacji mają zapewnić wsparcie dla:

-Dynamicznego podłączania zasobów dyskowych typu hot-plug do maszyn wirtualnych,

- Obsługi ramek typu jumbo frames dla maszyn wirtualnych.

- Obsługi 4-KB sektorów dysków

- Nielimitowanej liczby jednocześnie przenoszonych maszyn wirtualnych pomiędzy węzłami klastra

- Możliwości wirtualizacji sieci z zastosowaniem przełącznika, którego funkcjonalność może być rozszerzana jednocześnie poprzez oprogramowanie kilku innych dostawców poprzez otwarty interfejs API.

- Możliwości kierowania ruchu sieciowego z wielu sieci VLAN bezpośrednio do pojedynczej karty sieciowej maszyny wirtualnej (tzw. trunk mode)

23. Możliwość automatycznej aktualizacji w oparciu o poprawki publikowane przez producenta wraz z dostępnością bezpłatnego rozwiązania producenta SSO umożliwiającego lokalną dystrybucję poprawek zatwierdzonych przez administratora, bez połączenia z siecią Internet.

24. Wsparcie dostępu do zasobu dyskowego SSO poprzez wiele ścieżek (Multipath).

25. Mechanizmy zdalnej administracji oraz mechanizmy (również działające zdalnie) administracji przez skrypty.

26. Możliwość zarządzania przez wbudowane mechanizmy zgodne ze standardami WBEM oraz WS-Management organizacji DMTF.

27. Sterowniki i dokumentacja od producenta sprzętu

28. Zorganizowany system szkoleń i materiały edukacyjne w języku polskim.

29. Oprogramowanie musi być dostarczone w najnowszej wersji.

30. Wraz z SSO należy dostarczyć licencję dostępowe dla 7 urządzeń.

1. UTM 1szt.

1. Zapora sieciowa typu Next Generation Firewall (NGFW)

2. Mechanizm pozwalający na dwustronną analizę ruchu.

3. Minimalna ilość interfejsów:

   1. 5 interfejsów RJ-45 Ethernet 10/100/1000 – każdy z interfejsów musi mieć możliwość konfiguracji osobnej podsieci i strefy bezpieczeństwa.

   2. 1 interfejs USB dla przyszłych potrzeb

   3. 1 interfejs konsoli do zarządzania zaporą

4. Możliwość przypisania wielu interfejsów fizycznych do pojedynczej strefy bezpieczeństwa

5. Możliwość powiązania wielu interfejsów fizycznych w jeden port logiczny (agregacja portów) celem podniesienia wydajności połączeń oraz zapewnienia redundancji

6. Możliwość utworzenia przynajmniej 25 interfejsów logicznych VLAN, wsparcie dla standardu 802.1q

7. Obsługa nielimitowanej ilości hostów podłączonych w sieci chronionej

8. Minimalna ilość jednocześnie obsługiwanych połączeń: 50 000

9. Możliwość obsłużenia przynajmniej 3 000 nowych połączeń w ciągu 1 sekundy.

10. Przepustowość urządzenia pracującego w trybie stateful firewall: 600 Mbps – dla ramki 1518B zgodnie z RFC 2544

11. Przepustowość urządzenia pracującego z włączonym mechanizmem IPS: 250 Mbps

12. Przepustowość urządzenia pracującego jako koncentrator VPN: 200 Mbps dla szyfrowania AES bez aktywnych usług UTM, zgodnie z RFC 2544

13. Przepustowość urządzenia DPI/NGFW (z włączonymi wszystkimi usługami bezpieczeństwa – antivirus, antyspyware, IPS, bez buforowania i proxy i bez ograniczeń jeśli chodzi o wielkość skanowanych plików) – 200 Mbps

14. Minimalna ilość jednocześnie zestawionych tuneli site-site VPN (urządzenie – urządzenie): 10

15. Minimalna ilość licencji umożliwiających zestawienie połączeń client-site IPSec VPN (komputer – urządzenie), dostępnych w pakiecie z urządzeniem: 1 z możliwością rozszerzenia do przynajmniej 5.

16. Urządzenie powinno umożliwiać poddanie inspekcji zawartości ruchu szyfrowanego SSL/TLS poprzez jego odszyfrowanie i ponowne zaszyfrowanie zmienionym certyfikatem. Administrator powinien mieć możliwość tworzenia wyjątków do inspekcji ruchu SSL poprzez wykorzystanie kategorii stron np. wyłączenie z inspekcji kategorii zawierających strony bankowe i medyczne.

17. Wydajnośc urządzenia z włączoną funkcją inspekcji ruchu SSL/TLS powinna wynosić minimum 45 Mbps.

18. Obsługa IPSec, ISAKMP/IKE, Radius, L2TP, PPPoE, PPTP

19. Zintegrowany serwer DHCP, umożliwiający przydzielanie adresów IP dla hostów znajdujących się w sieci chronionej, a także dla hostów połączonych poprzez VPN (dla tuneli nawiązanych w trybie site-site oraz client-site)

20. Wsparcie funkcjonalności IP Helper, lub IP Relay (przekazywanie komunikacji DHCP pomiędzy strefami bezpieczeństwa)

21. Uwierzytelnianie użytkowników w oparciu o wewnętrzną bazę użytkowników, oraz z wykorzystaniem zewnętrznych mechanizmów RADIUS/XAUTH, Active Directory, SSO, LDAP

22. Wsparcie dla Dynamicznego DNS tzw. DDNS

23. Zintegrowany mechanizm kontroli zawartości witryn pogrupowanych na kategorie tematyczne.

24. Mechanizm kontroli treści powinien mieć możliwość filtrowania stron tłumaczonych przez google translate (strony takie również powinny być poddane inpekcji, na takich samych zasadach jak strony na które użytkownik wchodzi bezpośrednio).

25. Administrator powinien mieć możliwośc tworzenia róznych akcji dla stron które zostały wychwycone przez filtr treści. Powinny być dostępne takie akcje jak:

    1. wyświetlenie strony blokady (z możliwością tworzenia kilku róznych stron)

    2. wyświetlenie strony blokady z możliwością podania hasła odblokowującego dostęp do zablokowanej strony

    3. wyświetlenie informacji z polityką bezpieczeństwa organizacji podczas wchodzenia na strony z danj kategorii. Używtkonik może wejść na stronę po akceptacji polityki.

26. Administrator powinien mieć możliwośc stworzenia polityki kontroli treści obejmującego np. strony z kategorii Multimedia i przydzielenia ograniczonego pasma dla stron w tej kategorii np. 5 Mbps

27. Zintegrowany mechanizm kontroli transmisji poczty elektronicznej w oparciu o zewnętrzne serwery RBL.

28. Możliwość uruchomienia minimum dwóch łączy WAN - Zintegrowane funkcje Load-Balancing, oraz Failover. Funkcja Failover oparta o badanie stanu łącza i badanie dostępności hosta zewnętrznego.

29. Możliwość ograniczenia ruchu na zewnętrznej stacji roboczej podczas pracy zdalnej VPN (dostęp tylko do udostępnionych zasobów lub dostęp do udostępnionych zasobów oraz zasobów sieci Internet z uwzględnieniem filtrowania treści, mechanizmu IPS oraz ochrony przed wirusami i wszelkim innym oprogramowaniem złośliwym dla komputerów połączonych przez VPN)

30. Kontrola dostępności zestawionych tuneli VPN

31. Możliwość zarządzania urządzeniem z wykorzystaniem protokołów http, https, SSH i SNMP.

32. Konfiguracja oparta na pracy grupowej/obiektowej. Polityka bezpieczeństwa pozwalająca na całkowitą kontrolę nad dostępem do Internetu powinna być tworzona według reguł opartych o grupy i obiekty.

33. Przy tworzeniu reguł dostępowych zapewniona możliwość konfiguracji trzech typów reakcji: allow, deny, discard (zezwolić, zabronić, odrzucić)

34. Funkcja NAT oparta o reguły bezpieczeństwa.

35. NAT w wersji jeden-do-jeden, jeden-do-wielu, PAT, wiele-do-wielu, wiele-do-jednego. Funkcje oparte o zaawansowaną konfigurację według reguł bezpieczeństwa (m.in. możliwość ograniczenia działania funkcji do niektórych hostów, możliwość translacji portów wyjściowych na inne docelowe)

36. Zintegrowany system skanowania antywirusowego na poziomie bramy internetowej – skanowanie protokołów http, ftp, pop3, smtp, imap4, tcp stream. Możliwość filtrowania załączników poczty. Skanowanie również plików skompresowanych.

37. Zintegrowany system skanowania antyspyware

38. Zintegrowany system IPS (system wykrywania i blokowania wtargnięć) oparty o sygnatury ataków uwzględniające zagrożenia typu worm, Trojan, dziury systemowe, peer-to-peer, buffer overflow, komunikatory, niebezpieczne kody zawarte na stronach www.

39. System IPS musi używać algorytmu szeregowego przetwarzania.

40. Zintegrowany system zapory działającej w warstwie aplikacji, umożliwiający definiowanie własnych sygnatur aplikacji z wykorzystaniem ciągu znaków lub wyrażeń regularnych (regex).

41. Systemy skanowania IPS/Antywirus/Antyspyware muszą umożliwiać skanowanie ruchu w warstwie aplikacji

    1. Bazy w/w systemów muszą być aktualizowane co najmniej raz dziennie.

    2. Administrator systemu musi mieć możliwość ręcznej aktualizacji sygnatur (online lub offline poprzez manualne zaimportowanie sygnatur

    3. Administrator systemu musi mieć możliwość skonfigurowania, którym portem i łączem urządzenie będzie się kontaktowało z serwerami backend w celu aktualizacji sygnatur.

42. System IPS/Antywirus/Antyspyware nie może posiadać ograniczeń związanych z rozmiarem skanowanych plików.

43. Skanowanie IPS/Antywirus/Antyspyware musi być możliwe między strefami bezpieczeństwa

44. Możliwość pełnej kontroli nad programami typu P2P, IM oraz aplikacjami multimedialnymi

45. Wsparcie mechanizmów QoS – Priorytet pasma, maksymalizacja pasma, gwarancja pasma, DSCP, 802.1p

46. Wsparcie dla komunikacji VoIP - Pełne wsparcie dla SIP, H323v.1-5, zarządzanie pasmem (ruch wychodzący), VoIP over WLAN, śledzenie i monitorowanie połączeń

47. Urządzenie powinno mieć możliwość analizy behawioralnej (sandbox) minimum plików wykonywalnych PE, PDF, Office i aplikacji mobilnych. Sandbox powinien działać z wykorzystaniem minimum 4 silników pochodzących od różnych producentów w celu zwiększenia skuteczności analizy sandbox. Analiza powinna być wykonywana równolegle na wszystkch silnikach.

Wymagane licencje:

1. Subskrypcje pozwalające na aktualizację sygnatur aplikacji, IPS i wirusów, analizy behawioralnej (sandbox) dostęp do bazy URL dla modułu kontroli aplikacji oraz zapewnienie wsparcia technicznego 24x7 na okres 12 miesięcy.

1. Wdrożenie (zdalne)

1. Konfiguracja urządzenia UTM

2. Uruchomienie kanału zdalnego zarządzania całą dostarczoną infrastrukturą na oferowanym urządzeniu UTM. Urządzenie UTM należy skonfigurować w taki sposób aby ruch do strefy serwerowej był skanowany wbudowanymi mechanizmami bezpieczeństwa urządzenia.

3. Instalacja SSO na serwerze, wraz z najnowszymi łatkami

4. Konfiguracja wirtualizacji: na serwerze należy zainstalować dwie maszyny wirtualne

5. Podział na 2 podsieci: (SERWERY , LAN)

6. Konfiguracja domeny

7. Konfiguracja DNS, DHCP, Firewall

8. Ze względu na krytyczne aplikacje i systemy które będę uruchomione i skonfigurowane na nowej infrastrukturze Zamawiający wymaga aby Wykonawca posiadał niezbędne doświadczenie oraz potencjał kadrowy:

• Przynajmniej jeden inżynier posiadający certyfikat producenta oferowanego urządzenia UTM w zakresie administrowania i konfiguracji urządzenia

• Przynajmniej jeden inżynier posiadający aktualny certyfikat producenta SSO w zakresie administrowania i konfiguracji.

• Zamawiający dopuszcza aby jedna osoba posiadała wszystkie powyższe certyfikaty.