ITEM

DESCRIPCIÓN

CANTIDAD

1

RACKS INTELIGENTES

2 (dos)

2

SISTEMA DE COMPUTO HIPERCONVERGENTE PARA VIRTUALIZACIÓN DE SERVIDORES

1 (uno)

3

EQUIPOS DE SEGURIDAD (NEXT GENERATION FIREWALL)

1 (uno)

4

EQUIPOS DE RED (SWITCHES ToR)

2 (dos)

ESPECIFICACIONES TÉCNICAS DE LAS SOLUCIONES REQUERIDAS:

ITEM 1 RACK INTELIGENTE

Características

Especificaciones

Requerimiento

Marca

Especificar

Exigido

Modelo

Especificar

Exigido

Cantidad

2 (dos)

Exigido

GENERAL

Sistema deberá estar formado por un rack cerrado integrado, dotado de soporte ambiental, energía y monitoreo preensamblado de fábrica, contando con un único número de parte y número de serie.

Las características generales que deberá cumplir son las siguientes:

- Dimensiones externas del gabinete (ancho x profundidad x alto): 600 × 1200 × 2000 mm

- Puerta delantera y trasera vidriada y/o metalica

- Altura interna disponible para montaje de equipos: 27U (1U = 44.45mm)

- Profundidad disponible para montaje de equipos: 721.5 mm

- Potencia disponible para equipos de TI ≤ 3kW (Máxima permitida 3kW)

- Tensión (Vca) monofásica: 220Vca / rango admisible:198-254 Vca

- Frecuencia: 50/60 Hz

- Modo de enfriamiento: integrado con contención fría y caliente

- Grado de protección: IP5X

- Peso: < 300kg

- Capacidad máxima de carga del rack: 1300 Kg

- Nivel de ruido: la unidad interior no excederá los 50 dB. La unidad interior con condensador no

  excederá los 58dB

- PUE general del sistema: no deberá exceder 1.60

- Certificaciones:

   • ISO 9001, o similar equivalente, emitido por Organismo reconocidos internacionalmente;

   • IEC60950-1;

   • EMC Tests de acuerdo a EN55022:2010, EN 55024:2010, EN61000-3-11:2000, EN61000-3-12-:2011, o similares equivalentes, emitidos por Organismos reconocidos internacionalmente;

   • IP5x Tested;

   • ISO14001:2004, o similar equivalente, emitido por Organismo reconocidos internacionalmente;

   •OSHAS18001:2007, o similar equivalente, emitido por Organismo reconocidos internacionalmente.

Todos los componentes del Rack deberán ser del mismo fabricante. Serán aceptadas soluciones de Racks inteligentes de las cuales sus principales componentes sean del mismo fabricante, siendo estos: Rack, UPS, equipos de refrigeración y PDU; siendo requisito indispensable que el fabricante de estos pueda ofrecer garantía por todos los sistemas y componentes requeridos para el Rack Inteligente. El Oferente deberá presentar junto con su oferta documentación que avale el presente requerimiento.

La Empresa oferente deberá montar los equipos en las instalaciones indicadas por la Institución y deberá proveer todos los componentes eléctricos para su instalación.

La empresa oferente deberá trasladar los servidores y todo lo necesario al nuevo rack dejando el mismo funcionando en un periodo de tiempo no mayor a 24 hs. La migración se realizará en los días establecidos por la institución.

Exigido

CARACTERÍSTICAS ESTÁNDAR

El sistema deberá disponer de protección ante la presencia de polvo, aislación para reducción del nivel de ruido audible, alta eficiencia y ahorro de energía, enfriamiento con circuito cerrado con control de temperatura, humedad y pureza del aire para prolongar la vida del equipamiento de TI. Contendrá internamente una UPS de alta eficiencia diseñada para el uso en centros de datos y un aire acondicionado de precisión con tecnología de contención fría y caliente, para mejorar la eficiencia de enfriamiento. El ventilador interno será de bajo nivel de ruido, apto para su aplicación dentro de oficinas.

Monitoreo inteligente: deberá contar con funciones de control inteligentes, tales como el monitoreo del ambiente integrado, monitoreo de equipos, manejo de alarmas y demás funciones, para proporcionar una plataforma de monitoreo centralizada desde el centro de datos.

Ahorro de energía e integración total: el gabinete deberá proveer las condiciones de operación estables para todos los equipos de TI en su interior. Se requerirá únicamente la conexión al gabinete y al aire acondicionado en el sitio de montaje..

Debe contar con sistema que cuente de una pantalla LCD de al menos 5, o superior, del tipo táctil en su puerta frontal para informar la condición de operación, alarmas e información de seguridad.

Debe contar con una placa de monitoreo, se podrá realizar el monitoreo remoto del sistema durante las 24 hrs.

Exigido

ADMINISTRACION

Debe incluir un Conmutador Switch KVM de 8 puertos o superior.

Consola KVM Digital 8 puertos o superior, 1U, pantalla LCD 17 como mínimo.

Paquetes de Módulos USB VM LCD (KVM-USBVM).

Kit de Soporte KVM/LCD.

Compatibles con Windows y Linux

Led de Estado

Software incluido perpetuo, ambiente web.

Cables y adaptadores de acuerdo con la cantidad de puertos.

Exigido

SISTEMA DE RACKS

El sistema deberá contar internamente con guías 19 para el montaje del equipo de TI que cumplirán con la norma EIA-310-D.

El gabinete estará herméticamente cerrado mientras funcione, para mantener los equipos libres de polvo, y acondicionados, ahorrando energía y reduciendo el nivel de ruido.

Las puertas vidriadas frontal y trasera actúan como contención fría y caliente respectivamente.

Exigido

ALIMENTACION Y DISTRIBUCION

Debe incluir los siguientes componentes

- PMU (Unidad de Manejo de Energía): esta unidad brindará la distribución de energía y la protección contra sobretensiones transitorias al todo el sistema. Dispondrá de una entrada de red y múltiples salidas a cada una de las cargas internas.

- UPS y banco de baterías: esta unidad proveerá energía de alta calidad y de alta disponibilidad para las cargas de TI.

 - Sistema(s) de Distribución de Energía (PDU): estará dotado de la capacidad de apagar o encender inteligentemente los tomacorrientes de salida y medir los parámetros eléctricos de entrada y salida

- Iluminación auxiliar interna de LED

Unidad de Administración de Energía (PMU)

El PMU es un tablero de interruptores que debe proveer la distribución de energía y la protección contra sobretensiones transitorias (Clase C) y es la única entrada de energía al sistema

Incluye las siguientes entradas y salidas:

Al menos una entrada de alimentación principal

Al menos un Bypass de mantenimiento para UPS

Al menos una entrada de UPS y una salida de UPS

Al menos una salida a la unidad de refrigeración

Al menos una salida de 16A para PDU

Al menos dos salidas de 16A para reserva.

Al menos una salida CC

Unidades de distribución de energía (PDU)

Al menos una PDU de 24 tomacorrientes, compuesto de: 18 x C13 + 6 x C19; El rack debe tener capacidad de instalar al menos un total de 2 PDU

UPS y sistema de batería

La UPS deberá ser de montaje en rack con una potencia de 6kVA/4.8kW para soportar las cargas de TI y el sistema de ventilación de emergencia.

Las especificaciones mínimas del UPS serán como sigue:

- Rectificador del tipo IGBT

- Del tipo On-line doble conversión

- Factor de potencia de entrada  ≥  0.99

- Rango de frecuencia de entrada: 50Hz/60Hz

- Rango de tensión de entrada a plena carga: 198Vca - 254Vca

- Tensión de salida monofásica 220Vca

- Tensión de entrada monofásica 220Vca, L-N + T

- La UPS cumplirá con: IEC/EN62040-1-1; EMC IEC / EN 62040-2, IEC / EN61000-3-11, IEC / EN61000-3-12, YD / T1095-2008; Surge Protection IEC / EN 61000-4-5; Protection Level IP20

- Banco de batería interno, del tipo sellada, electrolito absorbido, libre de mantenimiento, de plomo-ácido, tipo VRLA

-  Capacidad de carga de la batería: al menos 3 horas hasta el 90% de su capacidad.

- La autonomía será de un mínimo de 10 minutos a carga típica (75% de carga)

- Eficiencia mínima CA-CA: 92%en rack: batería de plomo-ácido sellada, sin derrames, sin mantenimiento

Se debe prever lo siguiente para la instalación y puesta en marcha:

Instalación de un tablero con llaves independientes, conectado al generador eléctrico con sistema de tierra.

Proveer de cableado para la sala de informática con puntos de tomacorriente con un sistema de tierra y canaletado, conectado al tablero al ser instalado.

Para el suministro de energía de la llave principal la misma deberá estar conectada en forma independiente al tablero, el cableado suministrado deberá venir del tablero central que también deberá contar con una llave.

Los materiales para las instalaciones, conexión y puesta en funcionamiento deberán estar a cargo del oferente.

Las Tomas Corrientes deberán ser la cantidad necesaria, Dirección Informática y Mesa de Entrada.

Las luces, fluorescentes, aires acondicionados deberán estar cargados al nuevo tablero.

Instalación de un tablero de pared adecuado para el proyecto con cerradura.

Remoción del cableado, canaletado, toma corriente y disyuntores viejos.

Exigido

SISTEMA DE REFRIGERACIÓN

Deberá incluir los siguientes componentes:

Aire acondicionado: su función es enfriar activamente los dispositivos electrónicos dentro del gabinete, para lo cual se proveerá un pequeño equipo de acondicionamiento ambiental de precisión, del tipo inverter (tecnología de conversión de frecuencia), especialmente diseñado para el enfriamiento de dispositivos electrónicos, con alta eficiencia energética y regulación automática, manteniendo el ambiente estable dentro del gabinete, permitiendo que los equipos de TI operen con seguridad y confiabilidad

Aire acondicionado

Dispondrá de 2 partes:

- Unidad evaporadora interior, con ventilador incorporado dentro del rack

- Unidad condensadora exterior con compresor del tipo inverter (tecnología de conversión de frecuencia) utilizando refrigerante ecológico R410a

- Capacidad de enfriamiento disponible: 3 kW

- Eficiencia energética: consumo máximo de entrada 1.5kW

- Rango de frecuencia: 50Hz±3Hz

- Corriente máxima de operación: 7A

Sistema de ventilación de emergencia

Este sistema evitará las sobreelevaciones de temperatura dentro del gabinete en caso de ocurrir una falla en el sistema de enfriamiento.

En el caso que ocurra una sobretemperatura, detención o falla del equipo de aire acondicionado, este sistema de emergencia arrancará automáticamente para prevenir que el equipo de TI funcione a alta temperatura. Cuando el sistema se halla operando normalmente, la ventilación de emergencia estará apagada, para asegurar la hermeticidad del sistema y la alta eficiencia del aire acondicionado.

Cada módulo de ventilación contendrá 3 ventiladores.

Exigido

VIGILANCIA

Todos los componentes del sistema deberán ser instalados en fábrica dentro del gabinete integrado.

      1 x Placa de monitoreo

      2 x Sensores inteligentes de temperatura (1 para montaje frente, 1 para montaje posterior)

      1 x Detector de agua del tipo cinta. Será aceptados detectores de agua similares que ofrezcan igual o superior prestaciones de calidad y funcionamiento.

      2 x Entradas para sensores inteligentes con puertos RJ45

La placa de monitoreo Web/SNMP, podrá monitorear el estado de los dispositivos inteligentes del sistema, grabar eventos de alarma y notificar al usuario de dichas alarmas a través de correo electrónico o mensajes SMS. Esta placa también posibilitará el seteo de parámetros de operación y visualizar el estado de los dispositivos a través del HMI Web embebido, además, podrá enviar los estados de los dispositivos inteligentes monitoreados al Software de Administración de Red (NMS) a través de protocolo SNMP

El paquete de monitoreo estándar incluirá las siguientes características:

      - Manejo de alarmas

      - Historial de alarmas

      - Administración de equipos

Exigido

CONDICIONES ESPECIFICAS

Que la Empresa oferente debe contar con el soporte de la empresa certificadora de la marca en el país.

Presentar con la oferta autorización del fabricante expresamente dirigido a la entidad mencionando la licitación especifica

La instalación podrá ser realizada por el proveedor del rack inteligente o por la marca del rack a través de sus representantes y/o canales que operen dentro del país. La correcta instalación deberá quedar certificada por escrito.

Exigido

Instalación

El proveedor deberá montar y configurar apropiadamente el rack en las instalaciones de la DNVS, para lo cual proveerá todos los accesorios e insumos para la instalación y configuración de toda la solución.

Exigido

Garantía (Escrita)

Cartas del fabricante y/o representante oficial donde se especifique una garantía de al menos 3 Años para soporte de atención sobre el Hardware, así como también la provisión de repuestos del hardware durante el mismo periodo mencionado.

El soporte de atención debe ser 7x24 con 4 horas de tiempo de respuesta por parte del soporte local para la primera atención, tanto para el hardware como para el software.

Exigido

Certificaciones requeridas

Certificado de calidad mínimamente ISO9001 del fabricante.

Exigido

Compatibilidad

Todos los componentes de cada solución integrada deben estar certificados para funcionar correctamente entre sí.

Exigido

ÍTEM 2: SISTEMA DE COMPUTO HIPERCONVERGENTE PARA VIRTUALIZACIÓN DE SERVIDORES

Características

Especificaciones

Requerimiento

Cantidad

1 (uno)

Exigido

Marca

Especificar

Exigido

Modelo

Especificar

Exigido

Factor de Forma

Chasis Rackeable

Exigido

Tamaño Máximo de la Solución

6U

Exigido

Plataforma

La solución de hiperconvergencia requerida deberá ser implementado e integrado al clúster de cómputo hiperconvergente Nutanix existente de la DNVS. Para cumplir con este requerimiento, se debe garantizar total compatibilidad, integración e interoperabilidad entre los mismos.

Exigido

Arquitectura de procesadores

Intel x86 64 bits.

Exigido

Capacidad de procesamiento

Mínimo 72 núcleos de 2.4 GHz con memoria caché de 16 MB o superior en la solución ofertada. Escalable de manera ilimitada .

Exigido

Capacidad de Memoria

Mínimo de 768GB DDR4 3200 MHz en la solución ofertada. Escalable de manera ilimitada .

Exigido

Capacidad de Almacenamiento

Mínimo de 46TB RAW en discos de estado sólido (SSD) y 240TB RAW en discos de capacidad (HDD) en la solución ofertada. Escalable de manera ilimitada.

Exigido

Administración

El marco de administración debe proporcionar una interfaz de usuario gráfica intuitiva. Toda la información se debe organizar y presentar a través de áreas bien definidas con el propósito de lograr un acceso sencillo a los datos operativos. Debe ofrecer la capacidad de definir y administrar una infraestructura convergente completa desde cualquier dispositivo.

Deberá ser integrada a la solución de cómputo hiperconvergente existente en la DNVS y proveer una herramienta que permita tener visibilidad de todos los servidores/nodos/hosts y sus recursos desde una consola de administración única.

Exigido

Conexión LAN

Módulos de interconexión Ethernet con 2 puertos 10GbE con módulos SFP+ por cada servidor/nodo/host.

Exigido

Se deberá contar con módulos de interconexión LAN internos al chasis, cada servidor/nodo/host con 2 puertos externos activados (SFP+) de corta o larga distancia de 10Gbps o superior.

La solución debe poder funcionar con switches Ethernet 10GbE de varias marcas.

Todos los cables necesarios para la conexión LAN deberán ser proveídos.

Ventiladores y fuentes de alimentación

El sistema de ventilación (coolers) y el sistema de alimentación provisto, deberán estar preparados para soportar la instalación completa del chasis con sus bahías completas, sin producir una degradación general del sistema. Las fuentes de alimentación deberán ser redundantes.

Exigido

Alimentación Eléctrica

La alimentación Eléctrica de los servidores/nodos/hosts deberá ser de tipo Redundante (1+1).

Alimentación: 220 voltios corriente alterna monofásico.

Exigido

Frecuencia en Hertz 50/60

Exigido

Herramienta / Consola de gestión o Administración

• La interfaz de administración deber ser accedida mediante un browser y estar basada en HTML5. 

Exigido

• Proveer una única vista para todo el entorno manteniendo múltiples puntos de acceso. 

• La consola de Administración deberá ejecutarse sobre los mismos servidores/nodos/hosts del Clúster que administra, aprovechando la tolerancia a fallos del mismo (Ej. La consola debe permanecer disponible ante la falla de cualquiera de los servidores/nodos/hosts).

• Proveer accesos alternativos basados en SSH y/o interfaces remotas estilo IPMI. 

• Contener autenticación LDAP, Active Directory, CAC Authentication y certificados firmados por SSL. 

• Contemplar integración mediante el uso de REST API a otras soluciones de administración, a fin de facilitar la integración con ambientes de monitoreo actuales.

• Tener la capacidad de facilitar una consola gráfica, que permita visualizar los recursos utilizados por las máquinas virtuales (VM) independientemente del tipo de hipervisor.

Almacenamiento

La solución debe contar con un sistema de almacenamiento distribuido definida por software y proveer las siguientes funcionalidades:

Exigido

• Cada servidor/nodo/host, deberá contar con su propia controladora de almacenamiento.

• Esquema de capas en forma automática (tiering) entre los diferentes niveles, memoria, disco de estado sólido (SSD), y discos mecánicos (HDD) en tiempo real.

• Deduplicación de tres niveles, en la ingesta de información, en los discos de estado sólido (SSD) y en los discos mecánicos (HDD).

• Compresión tanto en línea y en reposo.

• Snapshots basados en punteros.

• Sistemas de clones de máquinas virtuales.

• Capacidad de usar Erasure Coding para poder hacer uso eficiente del espacio en discos mecánicos (HDD)

• Debe existir un sistema que permita que a lo largo del tiempo los datos más accedidos por una VM corriendo en cualquiera de los servidores/nodos/hosts, tengan siempre una copia en el almacenamiento del servidor/nodo/host local, de manera que la lectura pueda realizarse a velocidad local en la mayoría de los accesos. Este mecanismo debe converger y actualizarse de manera automática si la VM es movida/trasladada a otro servidor/nodo/host.

• Thin Provisioning tanto para máquinas virtuales, como a nivel de contenedor/datastore.

• Capacidad de réplica en forma sincrónica o asincrónica.

• La réplica de los datos debe poder configurarse con granularidad por Máquina Virtual (VM)

• El clúster debe poder replicar contra otro/s Clúster/s de similares características en el sitio local o en sitios remotos de manera sencilla. Adicionalmente, la solución de réplica debe de permitir replicar máquinas virtuales entre hipervisores diferentes para poder facilitar la migración de un hipervisor a otro.

• El almacenamiento debe estar diseñado especialmente para ambientes virtualizados.
• La solución de Software-Defined Storage (SDS) ofrecida deberá ser agnóstica al Hipervisor. Debe permitir al usuario cambiar el Hipervisor de base y así soportar distintos hipervisores a elección del cliente. Debe ser compatible mínimamente con VMware ESXi, Microsoft Hyper-V e hipervisores basados en Linux/KVM.

• La arquitectura de almacenamiento debe permitir que cada servidor/nodo/host vaya integrado con una controladora para gestionar los recursos de almacenamiento en un clúster, y para todas las máquinas virtuales.  Estas controladoras deben comunicarse entre sí, permitiendo gestionar el acceso desde múltiples servidores/nodos/hosts a los datos replicados.
• La solución debe tener la capacidad de generar un volumen de almacenamiento tipo bloque que pueda ser presentado a servidores externos (físicos o virtuales) mediante el protocolo iSCSI.

• La solución de almacenamiento no debe requerir de switches de Fibre Channel ni FCoE para su funcionamiento. Solamente utilizará IP sobre Ethernet estándar. No deberá ser obligatorio configurar características específicas como Jumbo-Frames, ni otras características especiales para lograr que el Clúster opere correctamente.

• Deberá tener la capacidad de distribuir los datos adentro del clúster y adicionalmente poder replicarlos internamente, para poder asegurar su disponibilidad. El factor de réplica puede ser configurado en modo 2 ó 3, dependiendo de la cantidad de nodos instalados.
• La solución deberá tener la capacidad de realizar respaldos a AWS (Amazon Web Services) y Microsoft Azure.

Escalabilidad

• Proveer un crecimiento lineal, estable y predecible en su rendimiento a medida que se agreguen servidores/nodos/hosts. Soportar un crecimiento ilimitado en servidores/nodos/hosts, que incrementen la capacidad de procesamiento, memoria y almacenamiento. El clúster una vez establecido debe ser capaz de crecer de a un servidor/nodo/host por vez.

Exigido

• Deberá soportar crecimiento lineal con servidores/nodos/hosts heterogéneos, o de diferentes modelos para maximizar recursos de procesamiento, memoria o almacenamiento según se requiera.

• Proveer la factibilidad de crecimientos modulares evitando así el sobre-dimensionamiento del proyecto.

• El crecimiento tiene que ser en forma granular de hasta un servidor/nodo/host por vez incrementando los recursos globales de procesamiento, memoria, y almacenamiento en forma simultánea de todo el cluster y en diferentes proporciones, para poder acomodarse a los diferentes requerimientos.

Tipos de nodos

Se debe poder integrar servidores/nodos/hosts con diferentes características que le permitan adaptarse a los requerimientos de cada una de las aplicaciones y formando un clúster mixto.

Exigido

Los tipos de nodos esperados son:

•        Intensivos en Computo (CPU/Memoria).

•        Intensivos en Almacenamiento.

•        Nodos solamente con discos SSD.

Alta Disponibilidad

La infraestructura de Cómputo y Almacenamiento deberá ser distribuida y completamente definida por software, armando un clúster con las siguientes características:

Exigido

• Filesystem con capacidad de recuperación ante la falla de un disco o de un servidor/nodo/host completo que forma parte de la solución.

• La protección de los datos deberá ser realizando múltiples copias de los datos en los discos pertenecientes a más de un servidor/nodo/host, de manera a garantizar que los datos sigan disponibles aún luego de la falla de algún componente o incluso la falla de un servidor/nodo/host completo (tolerancia a fallos).

• • Esta protección de datos deberá realizarse entre los múltiples servidores/nodos/hosts que componen el Clúster, de manera distribuida 

• • En caso de una falla, la solución basada en Software debe actuar de manera automática creando nuevas copias múltiples de los datos, de manera a mantener el nivel de protección hasta tanto se reemplace el componente que haya fallado (Auto-Saneamiento de la solución)

Licencias

Se deberá incluir en la oferta las siguientes licencias de Sistema Operativo:

• • 6 (seis) licencias de Sistemas Operativos Windows Server 2019 Estándar
  • 100 (cien) Licencias de acceso de usuarios a Servidor, CAL de acceso.

Exigido

Instalación

Alcance: El servicio contemplará todos los suministros, actividades de montaje, instalación en general, configuración y puesta en funcionamiento de la solución ofertada en el gabinete designado por el DNVS. La instalación deberá ser realizada con la presencia de técnicos del DNVS.

Exigido

Accesorios:  Los accesorios de montaje en el Rack serán proveídos por el oferente y deberá incluir todo el kit con cables, soportes, organizadores y demás accesorios requeridos. El proveedor deberá montar y configurar apropiadamente en el rack para alojar la solución, para lo cual proveerá todos los accesorios e insumos para la instalación.
 Se deben proveer los cables necesarios para establecer la conectividad entre los equipos hiperconvergentes y el switch ofertado con la solución.

Exigido

Garantía (Escrita)

Soporte de atención de Hardware y Software, Mano de Obra y Repuestos (cualquier daño de componentes de los equipos deberá ser cambiado o reparado) incluyendo traslado de los equipos de la oficina del cliente al proveedor y viceversa a cargo del proveedor. Si la reparación implica la indisponibilidad del equipo por 24 hs. o más, el proveedor suministrara otro equipo mientras dure la reparación del mismo. El soporte de atención debe ser 7x24, la Mano de Obra y Repuestos locales deben estar incluidos.

3 años

Soporte de Mantenimiento Preventivo

Soporte de mantenimiento preventivo del equipo proveído, mano de obra incluyendo limpieza de componentes, durante la vigencia de la garantía, a cargo del proveedor. Se requieren un mínimo de 20 (veinte) horas anuales para esta finalidad.

3 años

Capacitación

El Oferente Adjudicado deberá proveer todos los recursos para el entrenamiento teórico y práctico a los técnicos de la DNVS en la instalación, configuración y administración de los equipos ofertados, tales como:

Exigido

• Instalación de los sistemas operativos de los equipos y las configuraciones necesarias para brindar diferentes servicios y ampliaciones.

• Operar los equipos realizando tareas de monitoreo, pruebas y ajustes en servicios necesarios para mantener el sistema en condiciones de operación normal.

• Mantener el equipamiento en su estado operacional nominal a través de un programa de mantenimiento preventivo y correctivo.

• Instrucciones y procedimientos para mantenimientos de emergencia.

Se deberá ofrecer una capacitación con certificados, destinada a 2 (dos) funcionarios técnicos de DNVS , con una duración mínima de 10 horas.

La capacitación deberá ser realizada en las instalaciones DNVS. Esta capacitación deberá ser realizada en un plazo máximo de 8 meses, para lo cual el Oferente deberá de presentar una Carta Compromiso a través de la cual se compromete a realizar dicha capacitación.

Consideraciones Generales

• El Oferente deberá presentar Garantía de los Bienes y Servicios ofertados por el término de 3 (tres) años.  Dentro de este periodo, el Oferente repondrá gratuitamente dentro de los límites de la República del Paraguay, en cualquier lugar o donde ocurriere la falla, cualquier pieza o conjunto de piezas que fallaren, se rompan, se desgasten prematuramente, debido al diseño, material o fabricación defectuosa o mal montaje por parte del Oferente. Esta garantía empezará desde el día de la puesta en marcha de los equipos en producción. La garantía deberá estar disponible 24x7x365, con 4 horas de tiempo de respuesta, tanto para el hardware, software, así como toda la solución ofertada, con disponibilidad inmediata de repuestos y equipos.

Exigido

• De surgir algún inconveniente en la instalación de los bienes originada por una incorrecta especificación, el Contratante no aceptará reclamos o justificará fallas en los programas, por lo que de producirse una de estas situaciones resultarán de automática aplicación las penalidades que, por atrasos, fallas, etc. se establezcan en el Contrato.

• Los equipos deben ser nuevos y de última generación para la familia de equipos ofertados. Los equipos no deben tener fecha de finalización de comercialización publicada.

• La falta de algún elemento (hardware, software y/o cualquier componente o partes) necesario para el funcionamiento de los bienes, tanto individualmente, cuanto en operación conjunta, para los fines funcionales previstos por el Contratante, originado por cualquier tipo de interpretación de las especificaciones técnicas, obligará al oferente a proveerlo de inmediato y sin cargo adicional para el Contratante. Las adecuaciones que fueran necesarias realizar para dar cumplimiento a lo establecido precedentemente serán realizadas por el Contratante en coordinación con el Oferente y garantizando en todos los casos la preservación de la funcionalidad requerida.

• Todos los equipos a proveer deberán ser nuevos, sin uso y en perfecto estado de funcionamiento. Todo bien a suministrar deberá pertenecer a la línea actual de productos del fabricante, y ser el más reciente estable en dicha línea.

• La entrega de cualquier Software significará la entrega de las Licencias de Uso del Software, emitidas a nombre del Contratante como mínimo durante el periodo que dure la garantía.

• El Oferente entregará, conjuntamente con los bienes contratados, toda bibliografía técnica considerada necesaria para su utilización, actualizada a la última versión y con la obligación permanente, durante la vigencia de la garantía de buen funcionamiento, de remitir toda modificación. La documentación deberá estar escrita en idioma castellano u opcionalmente en inglés, cuando no existiese versión en aquel idioma. En todos los casos deberá proveer al menos una copia material de la documentación (impreso o en CD-ROM/DVD).

• El Oferente deberá proveer toda la documentación de los bienes ofertados, se entiende por estas documentaciones al conjunto de literaturas técnicas para la instalación, operación, funcionamiento, detección y prevención de fallas, condiciones de uso de los equipos; e instalación, explotación, operación y solución de fallas del software.

• No se tendrán en cuenta las ofertas que no presenten toda la información solicitada en las Consideraciones Generales, ya que ello no ofrecería la suficiente garantía para el buen funcionamiento de los equipos.

ITEM 3 EQUIPOS DE SEGURIDAD (NEXT  GENERATION FIREWALL)

Descripciones

Mínimo Requerimiento

Exigido

Marca

Especificar

Exigido

Modelo

Especificar

Exigido

Origen

Especificar

Exigido

Cantidad

1 (uno)

Exigido

DESCRIPCIÓN

Adquisición de una solución de protección de redes con características de Next Generation Firewall (NGFW) para la seguridad de la información perimetral que incluye filtro de paquetes, control de aplicaciones, administración de ancho de banda (QoS), VPN IPSec y SSL, IPS, prevención contra amenazas de virus, spyware y malware Zero Day, bien como controles de transmisión de datos y acceso a internet componiendo una plataforma de seguridad integrada y robusta.

Exigido

Por plataforma de seguridad se entiende hardware y software integrados de tipo appliance.

Exigido

Se contempla la adquisición de 1 (un) appliance NGFW con capacidad de funcionar en alta disponibilidad al agregar un segundo appliance del mismo fabricante.

Exigido

El soporte y licencias ofrecido por el fabricante de la solución tienen que tener vigencia de 3 (tres) años en la modalidad 7x24.

Exigido

El fabricante debe estar en el cuadrante de líderes de Gartner para Enterprise Firewall o firewalls empresariales en los últimos 5 años.

Exigido

El fabricante debe estar como líder en el informe de Forrester 2016 para soluciones de protección avanzada.

Exigido

El fabricante debe estar como líder en el informe de Forrester de Zero Trust eXtended (ZTX) Ecosystem Providers.

Exigido

El fabricante debe estar certificado para IPv6 en Firewall e IPS por NIST USGv6.

Exigido

No se aceptarán soluciones UTM ya que estas están orientadas al segmento SMB.

Exigido

Las características deben ser confirmadas mediante documentación oficial de acceso público (guías de administración, manuales y/o guías técnicas). No se aceptarán documentos generados expresamente para este proceso (ad-hoc).

Exigido

Las soluciones requeridas deben poder interoperar sin necesidad de software o interacción de terceros.

Exigido

Las soluciones ofrecidas tienen que ser de un mismo fabricante y tener la posibilidad de orquestarlas entre si y compartir una misma base de inteligencia, se no acepta soluciones que no se orquesten o con bases de firmas de terceras partes.

Exigido

INTERFACES

El equipo debe contar con al menos 8 (ocho) interfaces de red 1GE, indistintamente RJ 45 o SFP.

Exigido

Adicionalmente, el equipo deberá contar con un mínimo 2 (dos) interfaces de 1 Gbps (cobre) dedicadas para armar clúster de alta disponibilidad. Serán aceptadas soluciones que puedan funcionar en alta disponibilidad o clúster mediante el uso de interfaces dedicadas para este propósito o interfaces de uso general

Exigido

1 (una) interface de red 1 Gbps dedicada para administración;

Exigido

1 (una) interface de tipo consola o similar;

Exigido

El equipo debe contar con al menos un puerto USB

Exigido

El equipo debe contar con al menos un puerto Micro USB

Exigido

 CAPACIDAD

El equipo debe contar con Throughput de al menos 1.6 Gbps medido con tráfico real (no es válido tomar mediciones ideales o de laboratorio) con la funcionalidad de control de aplicaciones habilitada, para todas las firmas que el fabricante posea actualizadas con la última actualización disponible y log habilitado.

Exigido

El equipo debe contar con Throughput de al menos 900 Mbps medido con tráfico de real (no es válido tomar mediciones ideales o de laboratorio), con las siguientes funcionalidades habilitadas simultáneamente: Clasificación y control de aplicaciones, IPS, Control de navegación por URL, Antivirus y Antispyware, Control de amenazas avanzadas de día cero (Sandboxing). Para todas las firmas que la plataforma de seguridad posea totalmente activadas, actualizadas al día y con el mayor nivel de seguridad posible; considerando múltiples políticas de seguridad (por lo menos 100 políticas de seguridad aplicadas), y que tengan habilitado la generación de Logs y NAT aplicado a todas las reglas.

Exigido

El equipo debe soportar al menos 125.000 conexiones simultaneas con todos los módulos de seguridad de capa 7 habilitados simultáneamente, en el mayor nivel de seguridad posible;

Exigido

El equipo debe soportar al menos 8.500 nuevas conexiones por segundo;

Exigido

El equipo debe contar con capacidad de desencripción de SSL de al menos 12.000 sesiones simultaneas.

Exigido

Flujo de ventilación de datacenter del estilo Front-to-back

Exigido

Ventiladores redundantes. Serán aceptadas soluciones Fanless

Exigido

Se requiere que cada equipo disponga de una disipación de calor máxima de 300 unidades medido en BTU por hora.

Exigido

El equipo dene contar con Disco Solid State Drive (SSD) de, como mínimo, 128 GB para el sistema y uso de la solución.

Exigido

El equipo debe soportar al menos 5 (cinco) ruteadores virtuales.

Exigido

El equipo debe soportar al menos 30 (treinta) zonas de seguridad.

Exigido

El equipo debe estar licenciado para soportar, sin uso de licenciamiento adicional, 1.000 (mil) clientes de VPN SSL y IPSec simultáneos del estilo cliente-servidor;

Exigido

El equipo debe estar licenciada para soportar, sin uso de licenciamiento adicional, 2.000 (dos mil) túneles de VPN IPSEC simultáneos del estilo sitio-a-sitio;

Exigido

Por consola de administración y monitoreo, se entiende el licenciamiento de software necesario para las dos funcionalidades, también como hardware dedicado para el funcionamiento de las mismas.

Exigido

La consola de administración y monitoreo puede residir en el mismo appliance de seguridad de red, desde que posea recurso de CPU, memoria, interfaz de red y sistema operacional dedicados para esta función;

Exigido

Para efectos de la propuesta, ninguno de los modelos ofertados podrá estar listados en el site del fabricante como listas de end-of-life y end-of-sale.

Exigido

CARACTERÍSTICAS GENERALES

La solución debe consistir en appliances de seguridad de red con funcionalidades de Next Generation Firewall (NGFW), y consola de administración y monitoreo;

Exigido

Por funcionalidades de NGFW se entiende: reconocimiento de aplicaciones, prevención de amenazas, identificación de usuarios y control granular de permisos;

Exigido

La plataforma debe ser optimizada para análisis de contenido de aplicaciones en Capa 7;

Exigido

El hardware y software que ejecuten las funcionalidades de seguridad de red y de administración y monitoreo, deben ser de tipo appliance. No serán aceptados equipamientos servidores y sistema operacional de uso genérico;

Exigido

Todos los equipamientos ofrecidos deben ser adecuados para montaje en rack 19

Exigido

El software deberá ser ofrecido en su versión más estable y/o más avanzada;

Exigido

La arquitectura de procesadores utilizado por la solución tiene que ser procesadores reprogramables, tipo FPGA, para garantizar que con futuras actualizaciones el equipo no quede obsoleto.

Exigido

Los dispositivos de seguridad de red deben poseer por lo menos las siguientes funcionalidades:

Exigido

Soporte de 4094 VLAN Tags 802.1q, tanto por dispositivo como en una sola interfaz;

Exigido

Agregación de links 802.3ad;

Exigido

Policy based routing o policy based forwarding;

Exigido

Ruteo multicast (PIM-SM);

Exigido

DHCP Relay;

Exigido

DHCP Server;

Exigido

Jumbo Frames;

Exigido

Soporte a creación de objetos de red que puedan ser utilizados como dirección IP de interfaces L3;

Exigido

Soportar sub-interfaces ethernet lógicas.

Exigido

Debe soportar los siguientes tipos de NAT:

Exigido

Nat dinámico (Many-to-1);

Exigido

Nat dinámico (Many-to-Many);

Exigido

Nat estático (1-to-1);

Exigido

NAT estático (Many-to-Many);

Exigido

Nat estático bidireccional 1-to-1;

Exigido

Traducción de porta (PAT);

Exigido

NAT de Origen;

Exigido

NAT de Destino;

Exigido

Soportar NAT de Origen y NAT de Destino simultáneamente;

Exigido

Permitir configurar el tiempo de almacenamiento en caché de la Tabla ARP.

Exigido

Enviar log para sistemas de monitoreo externos, simultáneamente;

Exigido

Debe tener la opción de enviar logs para los sistemas de monitoreo externos vía protocolo TCP y SSL;

Exigido

Debe permitir configurar certificado caso necesario para autenticación del sistema de monitoreo externo de logs;

Exigido

Seguridad contra anti-spoofing;

Exigido

Para IPv4, debe soportar enrutamiento estático y dinámico (RIPv2, BGP y OSPFv2);

Exigido

Debe soportar MP-BGP

Exigido

Para IPv6, debe soportar enrutamiento estático y dinámico (OSPFv3);

Exigido

Soportar OSPF graceful restart;

Exigido

Debe ser capaz de balancear varios enlaces de internet sin el uso de políticas específicas, permitiendo aplicar una variedad de algoritmos distintos (round Robin, weighted)

Exigido

Soportar BFD (bidirectional forward detection)

Exigido

Soportar LACP/LLDP Pre-negotiation

Exigido

Soportar como mínimo las siguientes funcionalidades en IPv6: SLAAC (address auto configuration), NAT64, Identificación de usuarios a partir de LDAP/AD, Captive Portal, IPv6 over IPv4 IPSec, Reglas de seguridad contra DoS (Denial of Service), Desencripción SSL y SSH, PBR (Policy Base Routing) o PBF (Policy Based Forwarding), QoS, DHCPv6 Relay, Activo/Activo, Activo/Pasivo, SNMP, NTP, NTP autenticado, SYSLOG, DNS y control de aplicaciones;

Exigido

Debe contar con una herramienta para poder optimizar políticas de seguridad, detectar cuáles no se estén usando y por cuánto tiempo; poder aprender de las políticas aplicadas y sugerir que aplicaciones deberían aplicarse a las políticas en el NGFW. Dar estadísticas de uso, ancho de banda por aplicación, último hit de las aplicaciones, sobre cada política, con el objetivo de optimizar y mejorar la configuración del NGFW.

Exigido

El fabricante de la solución ofertada debe contar con una herramienta que convierta desde multiples fabricantes de firewall (por lo menos: Juniper, Checkpoint, Palo Alto Networks, Cisco, Fortinet, etc) al formato de la solución adquirida, y además optimice las políticas para poder convertir las reglas de origen, destino y puerto en reglas de NGFW basadas en aplicación aprendiendo del tráfico de la red.

Exigido

Los dispositivos de seguridad deben tener la capacidad de operar de forma simultánea mediante el uso de sus interfaces físicas en los siguientes modos dentro del mismo firewall, sin necesidad de tener que hacer uso de contextos virtuales: Modo sniffer (monitoreo y análisis del tráfico de red), Capa 2 (L2), Capa 3 (L3) y modo Transparente;

Exigido

Modo Sniffer, para inspección vía puerto espejo del tráfico de datos de la red;

Exigido

Modo Capa 2 (L2), para inspección de datos en línea y tener visibilidad del control del tráfico en nivel de aplicación;

Exigido

Modo Capa 3 (L3), para inspección de datos en línea y tener visibilidad del control del tráfico en nivel de aplicación operando como default Gateway de las redes protegidas;

Exigido

Modo Transparente, para poder inspeccionar de datos en línea y tener visibilidad del control de tráfico en nivel de aplicación sobre 2 puertos en modo bridge/Transparente.

Exigido

Modo mixto de trabajo Sniffer, Transparente, L2 e L3 simultáneamente en diferentes interfaces físicas del mismo equipo;

Exigido

En el modo Transparente, debe poder soportar al menos 256 interfaces (físicas y/o virtuales) sobre cada sistema virtual lógico (Contexto).

Exigido

Soporte a configuración de alta disponibilidad Activo/Pasivo e Activo/Activo:

Exigido

En modo transparente;

Exigido

En layer 3;

Exigido

La configuración en alta disponibilidad debe sincronizar:

Exigido

Sesiones;

Exigido

Configuraciones, incluyendo, más no limitado a políticas de Firewall, NAT, QOS y objetos de red; 

Exigido

Certificados de desencripción;

Exigido

Asociaciones de Seguridad de las VPNs;

Exigido

Tablas FIB;

Exigido

El HA (modo de Alta-Disponibilidad) debe posibilitar monitoreo de fallo de link.

Exigido

Las funcionalidades de control de aplicaciones, VPN IPSec y SSL, QOS, SSL y SSH Decryption y protocolos de enrutamiento dinámico deben operar en carácter permanente, pudiendo ser utilizadas por tiempo indeterminado, incluso si no existe derecho de recibir actualizaciones o que no haya contrato de garantía de software con el fabricante.

Exigido

Debe poder inspeccionar protocolos como:

Exigido

GRE

Exigido

IPSEC no encriptado (NULL o AH)

Exigido

GPRS para GTP-U

Exigido

CONTROL POR POLÍTICA DE FIREWALL

Deberá soportar controles por zona de seguridad

Exigido

Controles de políticas por puerto y protocolo.

Exigido

Control de políticas por aplicaciones grupos estáticos de aplicaciones, grupos dinámicos de aplicaciones (basados en características y comportamiento de las aplicaciones) y categorías de aplicaciones.

Exigido

Control de políticas por usuarios, grupos de usuarios, IPs, redes y zonas de seguridad.

Exigido

Control de políticas por código de País (Por ejemplo: AR, BR, USA, UK, RUS).

Exigido

Control, inspección y desencripción de SSL por política para tráfico de entrada (Inbound) y Salida (Outbound).

Exigido

Debe soportar offload de certificado en inspección de conexiones SSL de entrada (Inbound);

Exigido

Capacidad de Desencripción de SSL de al menos 12.000 sesiones simultaneas.

Exigido

Debe desencriptar tráfico Inbound y Outbound en conexiones negociadas con TLS v1.1, v1.2 y v1.3;

Exigido

Debe desencriptar tráfico que use certificados ECC (como ECDSA)

Exigido

Control de inspección y desencripción de SSH por política;

Exigido

La plataforma de seguridad debe implementar copia del tráfico desencriptado (SSL y TLS) para soluciones externas de análisis (Forense de red, DLP, Análisis de Amenazas, entre otras);

Exigido

Se permite el uso de appliance externo, específico para la desencripción de (SSL y TLS), con copia del tráfico desencriptado tanto para el firewall, como para otras soluciones de análisis externas.

Exigido

La solución tiene que contar con un dashboard de reportes y logs dedicados a monitorear el tráfico de descifrado SSL / TLS, este dashboard deberá estar disponible en la interfaz gráfica, con el objetivo de identificar rápidamente problemas relacionados con las técnicas de descifrado de tráfico, el mismo tiene que tener varios estados de troubleshooting y proveer de las herramientas a los administradores para encontrar rápidamente las causas por las cuales se puede producir una falla en la descifrado del tráfico (ej: informar sobre certificados expirados, claves de cifrado débiles, certificados revocados, cierre de la conexión por parte del cliente, entre otros).

Exigido

Bloqueos de los siguientes tipos de archivos: bat, cab, dll, exe, pif, y reg

Exigido

Traffic shaping QoS basado en políticas (Prioridad, Garantía y Máximo)

Exigido

QoS basado en políticas para marcación de paquetes (diffserv marking), inclusive por aplicaciones.

Exigido

Permitir añadir un comentario de auditoria cada vez que se haga un cambio o se edite la política de seguridad. Cada comentario deberá estar asociado a la versión de la política editada.

Exigido

Al crear o editar políticas de seguridad, se debe poder forzar el uso de una descripción, tag o comentario de auditoria. Esto con el fin de garantizar buenas prácticas de documentación, organización y auditoria.

Exigido

Soporte a objetos y Reglas IPV6.

Exigido

Soporte a objetos y Reglas multicast.

Exigido

Soportar los atributos de agendamiento de las políticas con el objetivo de habilitar y deshabilitar políticas en horarios predefinidos automáticamente.

Exigido

CONTROL DE APLICACIONES

Los dispositivos de seguridad de red deberán poseer la capacidad de reconocer aplicaciones, independiente del puerto y protocolo, con las siguientes funcionalidades:

Exigido

Debe ser posible la liberación y bloqueo solamente de aplicaciones sin la necesidad de liberación de puertos y protocolos.

Exigido

Reconocer por lo menos 2500 aplicaciones diferentes, incluyendo, más no limitado: el tráfico relacionado a peer-to-peer, redes sociales, acceso remoto, update de software, protocolos de red, voip, audio, vídeo, proxy, mensajería instantánea, compartición de archivos, e-mail;

Exigido

Reconocer por lo menos las siguientes aplicaciones: bittorrent, gnutella, skype, facebook, linked-in, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydrive, db2, mysql, oracle, active directory, kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, gotomeeting, webex, evernote, google-docs, etc;

Exigido

Debe inspeccionar el payload del paquete de datos con el objetivo de detectar a través de expresiones regulares firmas de aplicaciones conocidas por los fabricantes independiente del puerto y protocolo. El chequeo de firmas también debe determinar si una aplicación está utilizando su puerto default o no, incluyendo, más no limitando a RDP en el puerto 80 en vez del 389;

Exigido

Debe aplicar análisis heurístico a fin de detectar aplicaciones a través de análisis comportamental del tráfico observado, incluyendo, más no limitado a Encrypted Bittorrent y aplicaciones VOIP que utilizan cifrado propietario;

Exigido

Identificar el uso de tácticas evasivas, o sea, debe tener la capacidad de visualizar y controlar las aplicaciones y los ataques que utilizan tácticas evasivas vía comunicaciones cifradas, tales como Skype y ataques mediante el puerto 443.

Exigido

Para tráfico Cifrado (SSL y SSH), debe permitir la desencripción de paquetes con el fin de posibilitar la lectura del payload para chequeo de firmas de aplicaciones conocidas por el fabricante;

Exigido

Debe realizar decodificación de protocolos con el objetivo de detectar aplicaciones encapsuladas dentro del protocolo y validar si el tráfico corresponde con la especificación del protocolo, incluyendo, más no limitado a Yahoo! Instant Messenger usando HTTP. La decodificación de protocolo también debe identificar funcionalidades específicas dentro de una aplicación, incluyendo, más no limitado a la compartición de archivos dentro de Webex. También debe detectar el archivo y otros contenidos que deben ser inspeccionados de acuerdo a las Reglas de seguridad implementadas;

Exigido

Debe Identificar el uso de tácticas evasivas vía comunicaciones cifradas;

Exigido

Debe Actualizar la base de firmas de aplicaciones automáticamente;

Exigido

Debe Reconocer aplicaciones en IPv6;

Exigido

Limitar el ancho de banda (download/upload) usado por aplicaciones (traffic shaping), basado en IP de origen, usuarios y grupos del LDAP/AD;

Exigido

Los dispositivos de seguridad de red deben poseer la capacidad de identificar al usuario de red con integración al Microsoft Active Directory, sin la necesidad de instalación de agente en el Domain Controller, ni en las estaciones de los usuarios;

Exigido

Debe ser posible adicionar control de aplicaciones en todas las Reglas de seguridad del dispositivo, o sea, no limitándose solamente a la posibilidad de habilitar control de aplicaciones en algunas Reglas;

Exigido

Debe soportar múltiples métodos de identificación y clasificación de las aplicaciones, por lo menos chequeo de firmas, decodificación de protocolos y análisis heurístico;

Exigido

Para mantener la seguridad de la red eficiente, debe soportar el control sobre aplicaciones desconocidas y no solamente sobre aplicaciones conocidas;

Exigido

Permitir nativamente la creación de firmas personalizadas para reconocimiento de aplicaciones propietarias en la propia interfaz gráfica de la solución, sin la necesidad de acción por parte del fabricante, manteniendo la confidencialidad de las aplicaciones de la empresa;

Exigido

La creación de firmas personalizadas debe permitir el uso de expresiones regulares, contexto (sesiones o transacciones), usando la posición en el payload de los paquetes TCP y UDP y usando decoders de por lo menos los siguientes protocolos: 

Exigido

HTTP, FTP, SMB, SMTP, Telnet, SSH, MS-SQL, IMAP, IMAP, MS-RPC, RTSP y File body.

Exigido

El fabricante debe permitir la solicitud de inclusión de aplicaciones en la base de firmas de aplicaciones;

Exigido

Debe alertar al usuario cuando una aplicación fuera bloqueada

Exigido

Debe posibilitar que el control de puertos sea aplicado para todas las aplicaciones;

Exigido

Debe posibilitar la diferenciación de tráficos Peer2Peer (Bittorrent, emule, neonet, etc.) proveyendo granularidad de control/políticas para los mismos;

Exigido

Debe posibilitar la diferenciación de tráficos de Instant Messaging (AIM, Gtalk, Facebook Chat, etc.) proveyendo granularidad de control/políticas para los mismos;

Exigido

Debe posibilitar la diferenciación y control de partes de las aplicaciones como por ejemplo permitir Gtalk chat y bloquear la transferencia de lM (mensajería instantánea);

Exigido

Debe posibilitar a diferenciación de aplicaciones Proxies (ghostsurf, freegate, etc.) proveyendo granularidad de control/políticas para los mismos;

Exigido

Debe ser posible la creación de grupos estáticos de aplicaciones y grupos dinámicos de aplicaciones basados en características de las aplicaciones como:

Exigido

Tecnología utilizada en las aplicaciones (Client-Server, Browse Based, Network Protocol, etc).

Exigido

Nivel de riesgo de las aplicaciones.

Exigido

Categoría y sub-categoría de aplicaciones.

Exigido

Aplicaciones que usen técnicas evasivas, utilizadas por malware, como transferencia de archivos y/o uso excesivo de ancho de banda, etc.

Exigido

Debe poder monitorear aplicaciones SaaS (Software as a service) tanto via GUI como en reporte predefinido.

Exigido

Las políticas de seguridad tienen que poder ser creadas en base a las aplicaciones y no en base a puertos TCP/UDP.

Exigido

La aplicación de seguridad debe ser 100% en base a aplicaciones pudiendo aplicar reglas específicas a cada aplicación, ejemplo si dos aplicaciones utilizan el mismo puerto de comunicaciones, se tienen que poder crear 2 políticas de seguridad en las cuales se apliquen controles de seguridad diferentes a cada aplicación.

Exigido

Al crear políticas basadas en aplicaciones, si las mismas dependen de otras aplicaciones, la interfaz gráfica debe sugerir y permitir agregar las políticas dependientes de la seleccionada, para poder permitir el uso correcto de la aplicación.

Exigido

PREVENCION DE AMENAZAS

Para seguridad del ambiente contra ataques, los dispositivos de seguridad deben poseer módulo de IPS, Antivirus y Anti-Spyware integrados en el propio appliance de Firewall

Exigido

Debe incluir firmas de prevención de intrusos (IPS) y bloqueo de archivos maliciosos (Antivirus y Anti-Spyware);

Exigido

Las funcionalidades de IPS, Antivirus y Anti-Spyware deben operar en carácter permanente, pudiendo ser utilizadas por tiempo indeterminado, incluso si no existe el derecho de recibir actualizaciones o que no haya contrato de garantía de software con el fabricante.

Exigido

Debe sincronizar las firmas de IPS, Antivirus, Anti-Spyware cuando esté implementado en alta disponibilidad Activo/Activo e Activo/pasivo;

Exigido

Cuando se utilicen las funciones de IPS, Antivirus y Anti-spyware, el equipamiento debe entregar el mismo performance (no degradar) entre tener 1 única firma de IPS habilitada o tener todas las firmas de IPS, Anti-Vírus y Antispyware habilitadas simultáneamente.

Exigido

Las firmas deben poder ser activadas o desactivadas, o incluso habilitadas apenas en modo de monitoreo;

Exigido

Excepciones por IP de origen o de destino deben ser posibles en las Reglas, de forma general y firma por firma;

Exigido

Debe soportar granularidad en las políticas de IPS Antivirus y Anti-Spyware, permitiendo la creación de diferentes políticas por zona de seguridad, dirección de origen, dirección de destino, servicio y la combinación de todos esos ítems.

Exigido

Debe permitir el bloqueo de vulnerabilidades.

Exigido

Debe permitir el bloqueo de exploits conocidos.

Exigido

Debe incluir seguridad contra ataques de negación de servicios.

Exigido

Deberá poseer los siguientes mecanismos de inspección de IPS:

Exigido

Análisis de parones de estado de conexiones;

Exigido

Análisis de decodificación de protocolo;

Exigido

Análisis para detección de anomalías de protocolo;

Exigido

Análisis heurístico;

Exigido

IP Defragmentation;

Exigido

Re ensamblado de paquetes de TCP;

Exigido

Bloqueo de paquetes malformados.

Exigido

Ser inmune y capaz de impedir ataques básicos como: Synflood, ICMPflood, UDPfloof, etc;

Exigido

Detectar y bloquear el origen de portscans;

Exigido

Bloquear ataques efectuados por worms conocidos, permitiendo al administrador adicionar nuevos patrones;

Exigido

Soportar los siguientes mecanismos de inspección contra amenazas de red: análisis de patrones de estado de conexiones, análisis de decodificación de protocolo, análisis para detección de anomalías de protocolo, análisis heurístico, IP Defragmentation, re ensamblado de paquetes de TCP y bloqueo de paquetes malformados;

Exigido

Posea firmas específicas para la mitigación de ataques DoS;

Exigido

Posea firmas para bloqueo de ataques de buffer overflow;

Exigido

Posea firmas de C2 (Comando y control) generadas de forma automática.

Exigido

Deberá posibilitar la creación de firmas customizadas por la interfaz gráfica del producto.

Exigido

Permitir el bloqueo de virus y spyware en, por lo menos, los siguientes protocolos: HTTP, FTP, SMB, SMTP e POP3;

Exigido

Soportar bloqueo de archivos por tipo;

Exigido

Identificar y bloquear comunicaciones como botnets;

Exigido

Debe soportar varias técnicas de prevención, incluyendo Drop y tcp-rst (Cliente, Servidor y ambos);

Exigido

Debe soportar referencia cruzada como CVE;

Exigido

La solución ofrecida a partir de los logs debe poder generar indicadores tags para IP de equipos a partir de las detecciones de amenazas con el objetivo de poder utilizar los mismos en grupos dinámicos y aplicarlos a otras políticas. Esta funcionalidad tiene que poder efectuarse localmente en el mismo NGFW o bien poder una vez detectado generar el Tag en un firewall remoto o en la consola de gestión para poder aplicar los grupos dinámicos local, remoto o a todos los NGFW de la organización.

Exigido

La funcionalidad de Indicadores/Tags mencionada en el punto anterior tiene que poder utilizarse para poder agregar o quitar tags a la IP de origen o destino de una detección efectuada.

Exigido

Registrar en la consola de monitoreo las siguientes informaciones sobre amenazas identificadas:

Exigido

Debe soportar la captura de paquetes (PCAP), por firma de IPS y Antispyware;

Exigido

Debe permitir que en la captura de paquetes por firmas de IPS y Antispyware sea definido el número de paquetes a ser capturados. Esta captura debe permitir seleccionar, como mínimo, 50 paquetes;

Exigido

Debe poseer la función resolución de direcciones vía DNS, para que conexiones como destino a dominios maliciosos sean resueltas por el Firewall como direcciones (IPv4 e IPv6), previamente definidos;

Exigido

Permitir el bloqueo de virus, por al menos, los siguientes protocolos: HTTP, FTP, SMB, SMTP e POP3;

Exigido

Los eventos deben identificar el país de donde partió la amenaza;

Exigido

Debe incluir seguridad contra virus en contenido HTML y JavaScript, software espía (spyware) y worms.

Exigido

Seguridad contra downloads involuntarios usando HTTP de archivos ejecutables. maliciosos.

Exigido

Rastreo de virus en pdf.

Exigido

Debe permitir la inspección en archivos comprimidos que utilizan o algoritmo deflate (zip, gzip, etc.)

Exigido

Debe ser posible la configuración de diferentes políticas de control de amenazas y ataques basados en políticas del firewall considerando Usuarios, Grupos de usuarios, origen, destino, zonas de seguridad, etc, o sea, cada política de firewall podrá tener una configuración diferente de IPS, siendo esas políticas por Usuarios, Grupos de usuario, origen, destino, zonas de seguridad.

Exigido

Capacidad de poder redireccionar el tráfico de consultas de DNS a un servidor del tipo sinkhole para poder identificar equipos comprometidos con spyware o actividad de command and control dentro de la red corporativa.

Exigido

ANALISIS DE MALWARE MODERNO

Poseer la capacidad de análisis de amenazas no conocidas;

Exigido

Debido a los Malware hoy en día se debe ser muy dinámicos y un antivirus común no es capaz de detectar los mismos a la misma velocidad que sus variaciones son creadas, la solución ofertada deber poseer funcionalidades para análisis de Malware no conocidos incluidas en la propia herramienta

Exigido

El dispositivo de seguridad debe ser capaz de enviar archivos transferidos de forma automática para análisis "In Cloud" o local, donde el archivo será ejecutado y simulado en un ambiente controlado;

Exigido

Seleccionar a través de la política de Firewall que tipos de archivos sufrirán este análisis;

Exigido

Soportar el análisis de por lo menos 60 (sesenta) tipos de comportamientos maliciosos para el análisis de la amenaza no conocida;

Exigido

Soportar el análisis de archivos maliciosos en ambiente controlado como mínimo, sistema operacional Windows XP y Windows 7;

Exigido

Debe soportar el monitoreo de archivos transferidos por internet (HTTP, FTP, HTTP, SMTP) como también archivos transferidos internamente en los servidores de archivos usando SMB;

Exigido

El sistema de análisis In Cloud o local debe proveer informaciones sobre las acciones del Malware en la máquina infectada, informaciones sobre cuales aplicaciones son utilizadas para causar/propagar la infección, detectar aplicaciones no confiables utilizadas por el Malware, generar firmas de Antivirus y Anti-spyware automáticamente, definir URLs no confiables utilizadas por el nuevo Malware y proveer informaciones sobre el usuario infectado (su dirección ip y su login de red);

Exigido

El sistema automático de análisis "In Cloud" o local debe emitir relación para identificar cuales soluciones de antivirus existentes en el mercado poseen firmas para bloquear el malware;

Exigido

Debe permitir exportar el resultado de los análisis de malware de día Zero en PDF y CSV a partir de la propia interfaz de administración;

Exigido

Debe permitir la descarga de los malware identificados a partir de la propia interfaz de administración;

Exigido

Debe permitir visualizar los resultados de los análisis de malware de día Zero en los diferentes sistemas operacionales soportados;

Exigido

Debe permitir informar al fabricante cuando haya una sospecha de falso-positivo y falso-negativo en el análisis de malware de día Zero a partir de la propia interfaz de administración.

Exigido

Soportar el análisis de archivos ejecutables, DLLs, ZIP y encriptados en SSL en el ambiente controlado;

Exigido

Soportar el análisis de archivos del paquete office (.doc, .docx, .xls, .xlsx, .ppt, .pptx), archivos java (.jar e class), email link, flash, archivos de MacOSX (mach-o, dmg, pkg) y Android APKs en el ambiente controlado;

Exigido

Poseer SLA de, como máximo, 5 minutos para actualización de la base de vacunas contra malware desconocidos identificados en el ambiente controlado;

Exigido

Permitir el envío de archivos para análisis en el ambiente controlado vía web y de forma automática vía API.

Exigido

Debe poder dar veredictos distintos, como minimo:

Exigido

Malicioso

Exigido

Grayware

Exigido

Benigno

Exigido

Phising

Exigido

En caso de detectar una forma de evasión de máquina virtual, debe poder enviar de forma automática a revisión en modo Bare Metal (maquinas físicas)

Exigido

Capacidad de poder aplicar técnicas de aprendizaje de maquina (Machine Learning) localmente sobre los NGFW para poder identificar amenazas desconocidas y bloquear la mismas durante la descarga de los archivos por parte de los usuarios.

Exigido

FILTRO DE URL

La plataforma de seguridad debe poseer las siguientes funcionalidades de filtro de URL

Exigido

Permite especificar la política por tempo, horario o determinado período (día, mes, año, día de la semana y hora)

Exigido

Debe ser posible crear políticas por usuario, grupo de usuario, ips, redes y zonas de seguridad

Exigido

Deberá incluir la capacidad de creación de políticas basadas en la visibilidad y contra de quien está utilizando cual URLs a través de la integración con servicios de directorio, autenticación vía LDAP, Active Directory, E-Directory y base de datos local

Exigido

Debe permitir poder publicar los logs de URL con la información de los usuarios conforme a lo descrito en la integración con servicios de directorio

Exigido

Debe soportar la capacidad de crear políticas basadas en control por URL y categoría URL

Exigido

Debe bloquear el acceso a sitios de búsqueda (Google, Bing y Yahoo!) en el caso de que la opción de Safe Search este deshabilitada. Debe en ese caso exhibir una página de bloqueo dando instrucciones al usuario de como habilitar dicha función

Exigido

Debe soportar una cacheé local de URL en el appliance, evitando el delay de comunicación/validación de las URLs

Exigido

Debe poseer al menos 60 categorías de URLs

Exigido

Debe soportar la creación de categorías URL custom

Exigido

Debe soportar la exclusión de URLs del bloqueo por categoría

Exigido

Debe permitir la customización de la página de bloqueo

Exigido

Debe permitir o bloquear y continuar (habilitando que el usuario acceso a un sitio potencialmente bloqueado informándole del bloqueo y habilitando el botón de continuar para permitirle seguir a ese site)

Exigido

Debe soportar la inclusión de los logs del producto de las informaciones de las actividades de los usuarios

Exigido

Debe evitar la fuga de credenciales desde o hacia sitios web, pudiendo tener granularidad en la configuración, es decir poder permitir o no el uso de credenciales de red internas en diferentes categorías de páginas web (estas categorías podrían ser: phising, redes sociales, foros, o categorías personalizadas por el cliente, etc), en incluso el uso indebido de los mismos dentro de la red del cliente. El objetivo de este requerimiento es evitar que credenciales internas de la red sean publicadas en sitios de internet, inclusive sitios categorizados como desconocidos por el motor de categorización de filtros de URL.

Exigido

Debe poder actualizar de forma automática en 5 minutos o menos las categorías de malware, command and control y phising.

Exigido

Capacidad de poder aplicar técnicas de aprendizaje de maquina (Machine Learning) localmente sobre los NGFW para poder identificar nuevos sitios de phishing, con la capacidad de poder bloquear los mismos.

Exigido

Debe contar con multi categorías de URL, que permita que un sitio web pertenezca a dos categorías distintas.

Exigido

IDENTIFICACION DE USUARIOS

Debe incluir a capacidad de creación de políticas basadas en la visibilidad y control de quien está utilizando cuales aplicaciones a través de la integración como servicios de directorio, autenticación vía ldap, Active Directory, E-directory y base de datos local.

Exigido

Debe poseer integración con Microsoft Active Directory para identificación de usuarios y grupos permitiendo la granularidad de control/políticas basadas en usuarios y grupos de usuarios.

Exigido

Debe poseer integración con Radius para identificación de usuarios y grupos permitiendo la granularidad de control/políticas basadas en usuarios y grupos de usuarios.

Exigido

Debe poseer integración con TACACS+

Exigido

Debe posea integración con LDAP para identificación de usuarios y grupos permitiendo la granularidad de control/políticas basadas en Usuarios y Grupos de usuarios.

Exigido

Debe soportar la recepción de eventos de autenticación de controladoras Wireless, dispositivos 802.1x y soluciones NAC vía syslog, para la identificación de direcciones IP y usuarios

Exigido

Debe permitir el control, sin instalación de cliente de software, en equipamientos que soliciten salida a internet para que antes de iniciar la navegación, se muestre un portal de autenticación residente en el firewall (Captive Portal).

Exigido

Soporte a autenticación Kerberos.

Exigido

Soporte SAML 2.0

Exigido

La solución ofrecida debe soportar e incluir múltiples factores de autenticación (como por ejemplo usuario y password + 2FA hard token + 2FA soft token + portal cautivo) para poder utilizarlo tanto en aplicación web como en aplicaciones cliente servidor.

Exigido

Debe poseer Soporte a identificación de múltiples usuarios conectados en una misma dirección IP en ambientes Citrix y Microsoft Terminal Server, permitiendo visibilidad y control granular por usuario sobre el uso de las aplicaciones que tiene estos servicios

Exigido

Debe poseer Soporte a identificación de múltiples usuarios conectados en una misma dirección IP en servidores accedidos remotamente, incluso que no sean servidores Windows.

Exigido

QOS

Con la finalidad de controlar aplicaciones y tráfico cuyo consumo pueda ser excesivo, (como YouTube, ustream, etc) y tener un alto consumo de ancho de banda, se requiere que la solución, a la vez de poder permitir o negar ese tipo de aplicaciones, debe tener la capacidad de controlarlas por políticas de máximo de ancho de banda cuando fuesen solicitadas por diferentes usuarios o aplicaciones, tanto de audio como de vídeo streaming.

Exigido

Soportar la creación de políticas de QoS por:

Exigido

Dirección de origen

Exigido

Dirección de destino

Exigido

Por usuario y grupo de LDAP/AD.

Exigido

Por aplicaciones, incluyendo, más no limitando a Skype, Bittorrent, YouTube y Azureus;

Exigido

Por puerto;

Exigido

El QoS debe permitir la definición de clases por:

Exigido

Ancho de Banda garantizado

Exigido

Ancho de Banda Máximo

Exigido

Cola de prioridad.

Exigido

Soportar priorización Real Time de protocolos de voz (VOIP) como H.323, SIP, SCCP, MGCP y aplicaciones como Skype.

Exigido

Soportar marcación de paquetes Diffserv, inclusive por aplicaciones;

Exigido

Disponer de estadísticas Real Time para clases de QoS.

Exigido

Deberá permitir el monitoreo del uso que las aplicaciones hacen por bytes, sesiones y por usuario.

Exigido

FILTRO DE DATOS

Permite la creación de filtros para archivos y datos predefinidos;

Exigido

Los archivos deben ser identificados por extensión y firmas;

Exigido

Permite identificar y opcionalmente prevenir la transferencia de varios tipos de archivos (MS Office, PDF, etc) identificados sobre aplicaciones (P2P, InstantMessaging, SMB, etc);

Exigido

Soportar la identificación de archivos compactados y las aplicaciones de políticas sobre el contenido de esos tipos de archivos;

Exigido

Permitir identificar y opcionalmente prevenir la transferencia de informaciones sensibles, incluyendo, más no limitando al número de tarjetas de crédito, permitiendo la creación de nuevos tipos de datos vía expresión regular;

Exigido

Permitir listar el número de aplicaciones soportadas para control de datos;

Exigido

Permitir listar el número de tipos de archivos soportados para el control de datos;

Exigido

Debe poder integrarse son soluciones de punto final de terceros para mejorar la política de DLP.

Exigido

Debe traer por efecto al menos dos perfiles de bloqueo predefinidos.

Exigido

GEO-LOCALIZACION

Soportar la creación de políticas por Geo localización, permitiendo que el tráfico de determinado País/Países sean bloqueados.

Exigido

Debe posibilitar la visualización de los países de origen y destino en los logs de acceso.

Exigido

Debe posibilitar la creación de regiones geográficas desde la interfaz gráfica y crear políticas utilizando las mismas.

Exigido

VPN

Soportar VPN Site-to-Site y Cliente-To-Site;

Exigido

Soportar IPSec VPN;

Exigido

Soportar SSL VPN;

Exigido

La VPN IPSEc debe soportar:

Exigido

DES y 3DES;

Exigido

Autenticación MD5 e SHA-1;

Exigido

Diffie-Hellman Group 1, Group 2, Group 5 y Group 14;

Exigido

Algoritmo Internet Key Exchange (IKEv1 & IKEv2);

Exigido

AES 128, 192 e 256 (Advanced Encryption Standard)

Exigido

Debe permitir SSO via Kerberos

Exigido

Autenticación vía certificado IKE PKI.

Exigido

Debe ser compatible con la Suite B de protocolos de NSA

Exigido

Debe poseer interoperabilidad como los siguientes fabricantes:

Exigido

Cisco;

Exigido

Checkpoint;

Exigido

Juniper;

Exigido

Palo Alto Networks;

Exigido

Fortinet;

Exigido

Sonic Wall

Exigido

Las VPN SSL deben soportar:

Exigido

Permitir que el usuario realice la conexión por medio de cliente instalado en el sistema operacional del equipamiento o por medio de interfaz WEB;

Exigido

Las funcionalidades de VPN SSL deben ser atendidas con o sin el uso de agente;

Exigido

La asignación de dirección IP en los clientes remotos de VPN;

Exigido

La asignación de DNS en los clientes remotos de VPN;

Exigido

Debe haber la opción de ocultar el agente de VPN instalado en el cliente remoto, tornando el mismo invisible para el usuario;

Exigido

Debe permitir crear políticas de control de aplicaciones, IPS, Antivirus, Antispyware para tráfico de los clientes remotos conectados en la VPN SSL;

Exigido

Las VPN SSL deben soportar proxy arp y el uso de interfaces PPPOE;

Exigido

Soportar autenticación vía AD/LDAP, Secure id, certificado y base de usuarios local;

Exigido

Permite establecer un túnel VPN client-to-site del cliente a la plataforma de seguridad, proveyendo una solución de single-sign-on a los usuarios, integrándose como las herramientas de Windows-logon;

Exigido

Soporte de lectura y verificación de CRL (certificate revocation list);

Exigido

Permite la aplicación de políticas de seguridad y visibilidades para las aplicaciones que circulan dentro de los túneles SSL;

Exigido

El agente de VPN a ser instalado en los equipamientos desktop y laptops, debe ser capaz de ser distribuido de manera automática vía Microsoft SMS, Active Directory y ser descargado directamente desde su propio portal, en el cual residirá el centralizador de VPN;

Exigido

El agente deberá comunicarse con el portal para determinar las políticas de seguridad del usuario,

Exigido

Debe permitir que las conexiones como VPN SSL sean establecidas de las siguientes formas:

Exigido

Antes del usuario autenticarse en la estación;

Exigido

Después de la autenticación del usuario en la estación;

Exigido

Bajo demanda del usuario;

Exigido

Deberá mantener una conexión segura con el portal durante la sesión.

Exigido

El agente de VPN SSL client-to-site debe ser compatible al menos con: Windows XP, Vista, Windows 7, Windows 8, Windows 10, MacOS X;

Exigido

El portal de VPN debe enviar al cliente remoto la lista de gateways VPN activos para el establecimiento de la conexión, los cuales deben poder ser administrados centralizadamente

Exigido

Debe haber una opción en el cliente remoto de escoger manualmente el Gateway de VPN y de forma automática a través de la mejor respuesta entre los gateways disponibles con base al más rápido.

Exigido

Debe poseer la capacidad de identificar el origen de conexión de VPN si es interna o externa

Exigido

CONSOLA DE ADMINISTRACION y MONITOREO

La administración de la solución debe soportar acceso vía SSH, cliente WEB (HTTPS) y API abierta;

Exigido

En el caso de que sea necesaria la instalación de cliente para administración de la solución, el mismo debe ser compatible con sistemas operacionales Windows y Linux;

Exigido

La administración debe permitir/hacer:

Exigido

Creación y administración de políticas de firewall y control de aplicaciones;

Exigido

Creación y administración de políticas de IPS y Anti-Spyware;

Exigido

Creación y administración de políticas de filtro de URL

Exigido

Monitoreo de logs;

Exigido

Herramientas de investigación de logs;

Exigido

Debugging;

Exigido

Captura de paquetes.

Exigido

Debe permitir el acceso concurrente de administradores;

Exigido

Debe tener un mecanismo de búsqueda de comandos de administración vía SSH, facilitando la localización de los comandos;

Exigido

Debe permitir usar palabras clave y distintos tags de colores para facilitar la identificación de Reglas; 

Exigido

Debe permitir monitorear vía SNMP fallas en el hardware, inserción o remoción de fuentes, discos y ventiladores, uso de recursos por número elevado de sesiones, número de túneles establecidos de VPN cliente-to-site, porcentaje de utilización en referencia al número total soportado/licenciado y número de sesiones establecidas;

Exigido

Debe permitir el bloqueo de alteraciones, en el caso de acceso simultaneo de dos o más administradores;

Exigido

Debe permitir la definición de perfiles de acceso a la consola con permisos granulares como: acceso de escritura, acceso de lectura, creación de usuarios, alteración de configuraciones;

Exigido

Debe permitir la autenticación integrada con Microsoft Active Directory y servidor Radius;

Exigido

Debe permitir la localización de donde están siendo utilizados objetos en: Reglas, dirección IP, Rango de IPs, subredes u objetos

Exigido

Debe poder atribuir secuencialmente un número a cada regla de firewall, NAT, QOS y Reglas de DOS;

Exigido

Debe permitir la creación de Reglas que estén activas en un horario definido;

Exigido

Debe permitir la creación de Reglas con fecha de expiración;

Exigido

Debe poder realizar un backup de las configuraciones y rollback de configuración para la última configuración salvada;

Exigido

Debe soportar el Rollback de Sistema operativo para la última versión local;

Exigido

Debe poseer la habilidad del upgrade vía SCP, TFTP e interfaz de administración;

Exigido

Debe poder validar las Reglas antes de las aplicaciones;

Exigido

Debe permitir la validación de las políticas, avisando cuando haya Reglas que ofusquen o tengan conflicto con otras (shadowing);

Exigido

Debe posibilitar la visualización y comparación de configuraciones actuales, la configuración anterior y configuraciones más antiguas.

Exigido

Debe posibilitar la integración con otras soluciones de SIEM del mercado (third-party SIEM vendors)

Exigido

Debe permitirá la generación de logs de auditoria detallados, informando de la configuración realizada, el administrador que la realizo y el horario de la alteración;

Exigido

Deberá tener la capacidad de generar un gráfico que permita visualizar los cambios en la utilización de aplicaciones en la red en lo que se refiere a un período de tiempo anterior, para permitir comparar los diferentes consumos realizados por las aplicaciones en el tiempo presente con relación al pasado;

Exigido

Debe permitir la generación de mapas geográficos en tiempo real para la visualización de orígenes y destinos del tráfico generado en la institución;

Exigido

Debe proveer resúmenes con la vista correlacionada de aplicaciones, amenazas (IPS, Antispyware) URLs y filtro de archivos, para un mejor diagnóstico y respuesta a incidentes;

Exigido

La administración de la solución debe posibilitar la recolección de estadísticas de todo el tráfico que pasa por los dispositivos de seguridad;

Exigido

Debe proveer resúmenes de utilización de los recursos por aplicaciones, amenazas (IPS, Anti-Spyware y antivirus de la solución), etc;

Exigido

Debe proveer de una visualización sumarizada de todas las aplicaciones, amenazas (IPS, Antivirus e Anti-Spyware) y URLs que pasan por la solución;

Exigido

Debe poseer un mecanismo "Drill-Down" para navegación por los resúmenes en tiempo real;

Exigido

En las listas de "Drill-Down", debe ser posible identificar el usuario que ha determinado el acceso;

Exigido

Debe ser posible exportar los logs en CSV;

Exigido

Deberá ser posible acceder al equipamiento a aplicar configuraciones durante momentos donde el tráfico sea muy alto y la CPU y memoria del equipamiento este siendo totalmente utilizada.

Exigido

Debe tener rotación de logs;

Exigido

Debe tener presentaciones de las siguientes informaciones, de forma histórica y en tiempo real (actualizado de forma automática y continua cada 1 minuto):

Exigido

Debe mostrar la situación del dispositivo y del cluster;

Exigido

Debe poder mostrar las principales aplicaciones;

Exigido

Debe poder mostrar las principales aplicaciones por riesgo;

Exigido

Debe poder mostrar los administradores autenticados en la plataforma de seguridad;

Exigido

Debe poder mostrar el número de sesiones simultaneas;

Exigido

Debe poder mostrar el estado de las interfaces;

Exigido

Debe poder mostrar el uso de CPU;

Exigido

Generación de reportes. Como mínimo los siguientes reportes deben poder ser generados:

Exigido

Resumen gráfico de las aplicaciones utilizadas;

Exigido

Principales aplicaciones por utilización de ancho de banda de entrada y salida;

Exigido

Principales aplicaciones por tasa de transferencia en bytes;

Exigido

Principales hosts por número de amenazas identificadas;

Exigido

Actividades de un usuario específico y grupo de usuarios del AD/LDAP, incluyendo aplicaciones accedidas y amenazas (IPS, y Anti-Spyware), de red vinculadas a este tráfico;

Exigido

Debe permitir la creación de reportes personalizados;

Exigido

En cada criterio de búsqueda del log debe ser posible incluir múltiples entradas (ej. 10 redes e IP’s distintas; servicios HTTP, HTTPS y SMTP), excepto en el campo horario, donde debe ser posible definir un rango de tiempo como criterio de búsqueda;

Exigido

Generar alertas automáticas vía:

Exigido

Email;

Exigido

SNMP;

Exigido

Syslog;

Exigido

El equipo deberá soportar el envío de logs a un servidor externo syslog según RFC 3164.

Exigido

La plataforma de seguridad debe permitir a través de API-XML (Application Program Interface) la integración con sistemas existentes en el ambiente de contratación de forma que posibilite que aplicaciones desarrolladas por el cliente puedan interactuar en tiempo real con la solución permitiendo así que Reglas y políticas de seguridad puedan ser modificadas por estas aplicaciones con la utilización de scripts en lenguajes de programación como Perl o PHP.

Exigido

LICENCIAMIENTO

El equipo deberá contar con todas las licencias necesarias para soportar de manera activa todas las prestaciones requeridas en las especificaciones. El plazo de duración de estas licencias será de 3 años (36 meses) al igual que la Garantía.

Exigido

INSTALACION

El proveedor deberá montar apropiadamente en el rack para alojar el appliance, el mismo deberá disponer de todos los accesorios e insumos para la instalación y configuración de toda la solución.

Exigido

SOPORTE

El Oferente adjudicado deberá brindar soporte local tipo 24x7x4.

GARANTÍA

Cartas de los fabricantes y/o representante oficial donde se especifique una garantía de al menos 3 Años para soporte de atención sobre el Hardware y/o Software, así como también la provisión de repuestos del hardware durante el mismo periodo mencionado.

Exigido

El soporte de atención debe ser 7x24 con 4 horas de tiempo de respuesta por parte del soporte local para la primera atención, tanto para el hardware como para el software.

Exigido

ITEM 4 SWITCH TOP OF RACK

Característica

Configuración mínima exigida

Configuración Ofrecida

Marca

Especificar

Exigido

Modelo

Especificar

Exigido

Cantidad

2 (dos)

Exigido

DIMENSIONES DEL EQUIPO

Rack standard compatible con EIA-310D

Exigido

Formato rackeable, medida en Rack Unit de 1RU como máximo

Exigido

PLATAFORMA

Se requiere que el Switch sea provisto con sistema operativo autónomo.

Exigido

El sistema operativo de la solución debe soportar procesamiento mutihilo distribuido.

OPCIONAL

El sistema debe asignar y proteger un espacio de memoria separado a los procesos de features. Los mismos deberán ser instanciados en memoria solo cuando son activados.

OPCIONAL

Buffer del sistema de al menos 18 MB

Exigido

Memoria del sistema de al menos 16 GB.

Exigido

Almacenamiento SSD mínimo de 16 GB

Exigido

INTERFACES

4 (cuatro) Cantidad de puertos QSFP28 40G, habilitados.

OPCIONAL

El equipo debe contar con 24 (veinticuatro) puertos SFP+ 1/10.

Exigido

El equipo debe estar equipado con 24 (veinticuatro) puertos SFP+ 1/10/25G adicionales, que podrán ser habilitados con el solo agregado de licencias, permitiendo al equipo llegar a 48 puertos SFP+ 1/10/25G habilitados.

OPCIONAL

Todos los puertos SFP+ 1/10/25G deberán soportar Fiber Channel 16G con el solo agregado de licencias.

OPCIONAL

Se debe proveer con el equipo 6 (seis) cables preensamblados con conectores para SFP+ 10GE, de al menos 3 metros de longitud.

Exigido

Se debe proveer con el equipo 4 (cuatro) Transceivers 10G SR.

Exigido

El equipo debe contar con 1 (uno) interfaces de management, al menos uno debe ser óptico SFP.

Exigido

El equipo debe contar con al menos un puerto serial

Exigido

El equipo debe contar con al menos un puerto USB 2.0

Exigido

PERFORMANCE DEL SISTEMA

Ancho de banda no bloqueante (non blocking) de al menos 960 Gbps

Exigido

Capacidad de forwarding de al menos 2,5 bpps

Exigido

Debe soportar al menos 4000 VLANs

Exigido

Debe soportar al menos 60.000 MAC Address

Exigido

Debe soportar al menos 1.000 entradas NAT

OPCIONAL

Debe soportar al menos 8.000 rutas multicast

Exigido

Debe soportar al menos 24.000 rutas unicast

Exigido

Debe soportar al menos 30.000 grupos IGMP

OPCIONAL

Debe soportar al menos 4.000 entradas ACL

Exigido

Debe soportar al menos 24 caminos ECMP

Exigido

Debe soportar al menos 20 puertos agregados

Exigido

Debe soportar al menos 16 enlaces en un puerto agregado

Exigido

Debe soportar al menos 4 sesiones de puertos espejos, serán aceptados switches que soporten capturas de paquetes embebidas.

Exigido

Debe soportar al menos 3000 VLANs en instancias RPVST

Exigido

Debe soportar al menos 60 instancias MST

Exigido

Debe soportar al menos 200 grupos de VRRP (o similar)

Exigido

PROTOCOLOS Y FUNCIONALIDADES

NTP Debe ser capaz de soportar NTP para sincronizar su propio reloj interno, así como para propagar dicha información a otros dispositivos en la red o a través del fabric.

Exigido

Debe ser capaz de soportar IPv6 e IPv6 routing.

Exigido

IGMP, IGMP Snooping.

Exigido

Multicast routing, PBR

Exigido

PIM, PIM-SSM

Exigido

Túneles GRE

OPCIONAL

Soporte de AAA, Radius, TACACS+.

Exigido

Soporte de Jumbo Frame (9000+ MTU)

Exigido

IEEE 802.1AB (LLDP)

Exigido

IEEE_802.1p

Exigido

Debe soportar 802.1q VLAN tagging / trunking.

Exigido

IEEE_802.1x

Exigido

IEEE_802.1s

Exigido

IEEE_802.1w

Exigido

IEEE_802.3

Exigido

IEEE 802.3i

Exigido

IEEE_802.3u

Exigido

IEEE_802.3ab

Exigido

IEEE_802.3ad

Exigido

IEEE_802.3x

Exigido

Class of Service (CoS)

Exigido

Differentiated Services Code Point (DSCP)

Exigido

El sistema deberá pemitir habilitar Fiber Channel y Fiber Channel over Ethernet con el solo agregado de licencias.

Exigido

El sistema deberá permitir habilitar FCoE NPV con el solo agregado de licencias.

Exigido

Deberá implementar un mecanismo prevención de la dispersión del dominio ID y reducir el tamaño de la tabla FCF.

Exigido

Debe soportar puertos ruteados.

Exigido

Debe soportar manejo de listas de permisos en puertos físicos y virtuales.

Exigido

Debe soportar: BGP, GRE, IS-IS, MSDP, OSPF, PBR, PIM, SSM, VRF, VXLAN BGP EVPN, SRv6 (no EVPN), and SR-MPLS (no EVPN)

OPCIONAL

Debe soportar: ruteo estático, VRF-Lite, VRRP, BFD, BFD, DHCP Relay.

Exigido

Debe soportar diferentes implementacion de funcionalidades de telemetría, como Sflow, FTE, SSX o similares)

Exigido

Debe soportar PTP

Exigido

Deberá soportar SR-MPLS, con el solo agregardo de licencias.

Exigido

Deberá soportar EVPN-VXLAN Multi-Site con el solo agregado de licencias.

Exigido

Debe soportar MPLS Layer 3 VPN con el solo agregado de licencias.

Exigido

Compatibilidad con 802.1D.

Exigido

Soporte multichassis link aggregation (MLAG) o similar

Exigido

El sistema debe permitir implementar MACSec con el solo agregado de licencias.

OPCIONAL

MTBF

El equipo deberá contar con un MTBF superior a 300.000 horas.

Exigido

NORMAS Y CERTIFICACIONES DE SEGURIDAD Y EMISIONES

EN 60950-1

Exigido

IEC 60950-1

Exigido

UL 60950-1

Exigido

EN 55022 Class A

Exigido

EN61000-3-3

Exigido

EN61000-3-2

Exigido

EN 55024

Exigido

EN 300386

Exigido

RoHS-6

Exigido

ALIMENTACIÓN ELÉCTRICA

El equipo debe funcionar con un voltaje entrante en el rango de 100-240 VAC a 50-60 Hz.

Exigido

Deberá incluir los accesorios necesarios para montar en racks estándar de 19.

Exigido

No se aceptarán transformadores de 220VCA a 110VCA agregados a la fuente integrada en el equipo. Dicha fuente debe aceptar directamente 220VCA 50 hz. No se aceptarán fuentes externas.

Exigido

El equipo debe contar con al menos dos fuentes de alimentación AC trabajando en manera redundante, con la posibilidad de extracción e intercambio en línea (HOT SWAP) sin que afecte el funcionamiento del equipo y sin necesidad de apagarlo.

Exigido

REFRIGERACIÓN

La circulación de aire del equipo debe ser Front to Back.

Exigido

ACCESORIOS

Los accesorios requeridos para entregar el equipo en perfecto estado de operación (software, power cord, rackmount kit. )

Exigido

LICENCIAMIENTO

El equipo deberá contar con todas las licencias necesarias para soportar de manera activa todas las prestaciones requeridas en las especificaciones. El plazo de duración de estas licencias será de 3 años (36 meses) al igual que la Garantía.

Exigido

INSTALACION

El proveedor deberá montar apropiadamente en el rack para alojar el appliance, el mismo deberá disponer de todos los accesorios e insumos para la instalación y configuración de toda la solución.

Exigido

GARANTÍA

Cartas de los fabricantes y/o representante oficial donde se especifique una garantía de al menos 3 Años para soporte de atención sobre el Hardware y/o Software, así como también la provisión de repuestos del hardware durante el mismo periodo mencionado.

Exigido

El soporte de atención debe ser 7x24 con 4 horas de tiempo de respuesta por parte del soporte local para la primera atención, tanto para el hardware como para el software.

Exigido

Niveles de Problemas

Descripción

Critico

Los incidentes críticos son aquellos que afectan severamente al hardware, appliances y/o software provisto, la capacidad o despacho, los cargos y la capacidad de procesamiento de datos. Los problemas críticos requieren acciones correctivas inmediatas, sin importar la hora o el día en que se produzcan, como por ejemplo una falla total del hardware y/o software, degradación del funcionamiento del hardware/software.

No críticos

Los incidentes menores son problemas que no se consideran críticos o mayores. Un problema menor puede tener impacto en uno o en un número limitado de funcionalidades del hardware y/o software. Los incidentes menores no dañan significativamente el funcionamiento de los sistemas, ni afectan significativamente a los servicios. Estos problemas son tolerables durante el uso de los equipos y software.

Acuerdo de Nivel de Servicio (SLA) del Soporte Técnico

Soporte Técnico

Nivel de Servicio

Nivel de Criticidad

Crítico

No Crítico

Tiempo disponible para el servicio

7x24x365

7x24x365

Resolución de Fallas

Tiempo de respuesta al BCP

≤30 min.

≤90 mins.

Tiempo de reposición del equipo, appliance, software o resolución de la falla.

4 h.

24 h

Idiomas disponibles para el servicio

Español o Inglés