Grįžti į sąrašą

Kibernetinių pažeidžiamumų, web aplikacijų ir tapatybės saugumo valdymo sprendimo įsigijimas

Išanalizuota

VILNIAUS MIESTO SAVIVALDYBĖS ADMINISTRACIJA

Rinkos konsultacijaCPV: 72212700 - Programinės įrangos kūrimo paslaugų programos
ID: 70397332026-03-20 15:15
Atidaryti CVP IS

Aprašymas

Perkamas sprendimas, skirtas kibernetinių pažeidžiamumų grėsmių aptikimui, vertinimui ir valdymui, web aplikacijų saugumo spragų aptikimui, tapatybės saugumo būklės valdymui Active Directory ir Microsoft Entra ID aplinkose. Taip pat sprendimas apima iš išorės pasiekiamų išteklių inventorizaciją, stebėjimą bei industrinių tinklų objektų monitoringą.

Kvalifikaciniai reikalavimai

Kvalifikacinių reikalavimų nerasta

Techniniai reikalavimai

Bendrieji reikalavimai

  • 1Sprendimas turi būti licencijuotas ne mažiau kaip 3550 aktyvų (assets) stebėti - 36 mėnesių laikotarpiui.
  • 2Sprendimui turi būti teikiamas gamintojo oficialus techninis palaikymas ir atnaujinimai ne trumpiau kaip 36 (trisdešimt šešis) mėnesius nuo sutarties įsigaliojimo dienos.
  • 3Turi būti suteikta teisė ne mažiau kaip 4 kartus laikyti gamintojo rašytinius egzaminus.

Tapatybės saugumo valdymas

  • 1Sprendimas turi gebėti aptikti potencialias rizikas Active Directory ir Microsoft Entra ID konfigūracijoje.
  • 2Sprendimas turi gebėti realiuoju laiku stebėti Active Directory įvykius.
  • 3Mažiausiai turi būti stebimi: Active Directory naudotojų ir naudotojų grupių sukūrimas ir ištrynimas; Active Directory grupinių politikų pasikeitimas.
  • 4Sprendimas turi gebėti pavaizduoti: Potencialius tapatybės saugumo spragų išnaudojimo kelius siekiant užvaldyti Active Directory objektą; Potencialius poveikius Active Directory iš nurodyto Active Directory objekto.
  • 5Sprendimo tapatybės saugumo būklės valdymo dalies diegimas turi būti atliekamas gamintojo atstovų nuotoliniu būdu.

Industrinių tinklų stebėjimas

  • 1Sprendimas turi gebėti stebėti industrinių tinklų (angl. "OT Network") objektus naudojant mažiausiai tokius būdus: Analizuoti tinklo srauto kopiją (angl. "SPAN"); Naudoti industriniams tinklams pritaikytas užklausas (angl "Query").
  • 2Sprendimas turi gebėti surinkti ne mažiau nei tokią informaciją apie industrinių tinklų objektus: Automatiškai nustatytą objekto kritiškumą; Objekto IP adresą; Objekto MAC adresą; Objekto programinės įrangos versiją; Objekto gamintoją; Objekto modelį; Objekto lygį pagal Purdue modelį.

Kibernetinių pažeidžiamumų valdymas

  • 1Sprendimas turi gebėti atlikti mažiausiai tokias patikras (angl. "Scan"): Kibernetinių pažeidžiamumų (angl. "Vulnerability") patikra; Nustatymų patikra; Atnaujinimų (angl. "Patch") patikra; Inventorizacijos patikra.
  • 2Sprendimas turi vertinti pažeidžiamumo grėsmę remiantis CVSS duomenų bazės pažeidžiamumo grėsmės įvertinimu.
  • 3Sprendimas turi gebėti papildomai įvertinti pažeidžiamumo riziką pagal pažeidžiamumo senumą, skirtingų paveiktų išteklių tipų kiekį, saugumo grėsmių įvykių kiekį.
  • 4Sprendime turi būti pavaizduotos pažeidžiamumų žymos mažiausiai tokiu lygiu: Kritinio lygio; Aukšto lygio; Vidutinio lygio; Žemo lygio; Informacinio lygio.
  • 5Sprendimas turi gebėti stebėti aptiktų pažeidžiamumų būklę ir turėti atskiras žymas: Naujai atrastiems pažeidžiamumams; Sutvarkytiems pažeidžiamumams; Pakartotinai aptiktiems prieš tai sutvarkytiems pažeidžiamumams.
  • 6Turi būti integruota pažeidžiamumo sutvarkymo valdymo sistema.
  • 7Integruota pažeidžiamumų tvarkymo valdymo sistema turi būti integruojama su "Redmine" (per API) arba "ServiceNow" procesų valdymo sistemomis.
  • 8Sprendimo kibernetinių pažeidžiamumų valdymo dalies diegimas turi būti atliekamas gamintojo atstovų nuotoliniu būdu.
  • 9Turi būti suteikti gamintojo kibernetinių pažeidžiamumų valdymo mokymai ne mažiau kaip 4 pirkėjo atstovams.
  • 10Mokymų trukmė ne mažiau kaip dvi darbo dienos.

Išorės išteklių inventorizacija ir stebėjimas

  • 1Sprendimas turi gebėti inventorizuoti iš išorės pasiekiamus išteklius.
  • 2Inventorizacijai turi būti naudojami mažiausiai šie informacijos šaltiniai: IP adresai; Domenų vardų sistemos (DNS) įrašai; Autonominių sistemų numeriai (ASN).
  • 3Sprendimas turi gebėti pridėti nagrinėjamus objektus naudojant integraciją su šiais paslaugų teikėjais: Cloudflare; AWS; Azure; Google Cloud Platform.
  • 4Turi būti užtikrintas saugus informacijos apsikeitimas su išvardintomis platformomis naudojant API raktus.
  • 5Sprendimas turi gebėti atvaizduoti mažiausiai tokią informaciją apie atrastus iš išorės pasiekiamus išteklius: IP adresą; Išteklio vardą (angl. "Hostname"); Išteklio DNS įrašą; Kriptografinio sertifikato galiojimo laiką; Ar išteklis pateikia prisijungimo duomenų suvesties langą (angl. "Login page"); Išteklio atvirus tinklo prievadus (angl. "Ports"); Ištekliui priskirtą bendrosios pažeidžiamumų vertinimo sistemos įvertinimą (angl. "CVSS Score").
  • 6Sprendimas turi gebėti pasiūlyti domenų vardus (angl "Domain name"), kurie nebuvo specifiškai išvardinti, bet turi požymių, kad priklauso organizcijai, remiantis mažiausiai: Pagal prekinio ženklo pavadinimą; Pagal domeno registratoriaus elektroninio pašto adresą; Pagal atgalinę nuorodą (angl. "Backref link").
  • 7Sprendimas turi leisti uždėti žymą (angl. "Tag") atrastiems ištekliams.
  • 8Turi būti galimybė uždėti tą pačią žymą keliems ištekliams vienu metu.
  • 9Sprendimas turi stebėti inventorizuotus išteklius ir reaguoti į pasikeitimus jo būklėje, įskaitant, bet neapsiribojant: Išteklio naujo atviro tinklo prievado (angl. "Open Port") atradimą; Išteklio žinomo atviro prievado uždarymą (angl. "Closed Port"); Naujos programinės įrangos (angl. "Software") išteklyje atradimą.
  • 10Sprendimas turi gebėti pranešti apie išteklių būklės pasikeitimą naudojant tokius būdus: Elektroniniu laišku; Išsiųsti pranešimą į komunikavimo platformą (pvz. Microsoft Teams).
  • 11Sprendimas turi gebėti atlikti sekančius veiksmus pagal parinktus kriterijus: Panaikinti išteklį iš stebėjimo; Pridėti arba panaikinti išteklio žymą.
  • 12Sprendimas turi gebėti pateikti informaciją apie žinomus išteklius tokiais formatais: CSV; XLSX; JSON.

Automatizuotas web aplikacijų pažeidžiamumų aptikimas

  • 1Turi būti integruotas web aplikacijų spragų aptikimo funkcionalumas.
  • 2Sprendimas turi gebėti patikrinti: API pažeidžiamumus; Log4Shell pažeidžiamumus; Aplikacijos PCI atitiktį.
  • 3Sprendimas turi gebėti ieškoti pažeidžiamumų šiose web aplikacijų vietose: Antraštėse (angl. "Headers"); Slapukuose (angl. "Cookies"); Parametrų pavadinimuose; Parametrų reikšmėse; JSON elementuose; XML elementuose.
  • 4Web aplikacijų pažeidžiamumų patikros metu sprendimas turi gebėti pateikti aplikacijai prisijungimo duomenis mažiausiai tokiais būdais: Naudojant prisijungimo formą (angl. "Login Form"); Naudojant slapukus (angl. "Cookie"); Naudojant API raktą.
  • 5Sprendimo automatizuoto web aplikacijų pažeidžiamumų aptikimo dalies diegimas turi būti atliekamas gamintojo atstovų nuotoliniu būdu.

Dokumentai3

  • 1010_7039733.pdf
  • 1_Technine_specifikacija.docx
  • 2_INFORMACIJA TIEKĖJAMS DĖL PASKELBTOS TECHNINĖS SPECIFIKACIJOS.docx
tendis.lt · Sukurta recodin.lt