FIREWALL CİHAZI 1 ADET
Büyüklüğü 49.59 Kb.
Indir 49.59 Kb.
DOKUZ EYLÜL ÜNİVERSİTESİ SALDIRI TESPİT SİSTEMİ
AĞ TABANLI ATAK ÖNLEME SİSTEMİ 1 ADET
Sistem üzerinde saldırı tespit ve engelleme amaçlı en az 8 (yirmi) adet 10/100/1000 Mbps hızında inline çalışabilen GE SFP yuvası (4 segment korunabilmesi amacıyla) olmalıdır. Bunların en az 2 adedi bakır SFP GBIC ile dolu olarak verilmelidir. Cihaz üzerinde en az 1 adet Gbit ethernet responce port ve yönetim amaçlı 1 adet Gbit ethernet ve en az 1 adet konsol portu olmalıdır.
Sistemin performansı (throughput) en az 3 (üç) Gbps ve eş zamanlı oturum sayısı en az 1.500.000 (bir milyon beş yüzbin) olacaktır.
Sistem üzerinde trafiği dinleyen fiziksel port bazında, VLAN ya da IP aralığı bazında ayrı ayrı politikalar uygulanabilecektir.
Sistem, katman iki (layer 2) seviyesinde çalışacaktır. Ağ üzerinde sistemin varlığı atak yapan tarafından herhangi bir şekilde algılanamayacaktır.
Sistem, donanım ve yazılım bütününden oluşacaktır. Donanım bileşeni saldırıları engelleyecek IPS modülü, yazılım bileşeni de bu modülün yönetiminden teşkil olacaktır. Donanım bileşeni yüksek verimlilik ve hız ihtiyaçları sebebi ile ASIC tabanlı olacaktır.
İmza, anomali ve servis dışı bırakma DoS tekniklerini bir arada kullanarak atak tespiti ve önleme yapacaktır.
Yeni çıkan atak imzaları İnternet üzerinden otomatik veya manuel olarak indirilebilecektir.
İsim değişikliği yapılarak kullanılmak istenen uygulama ve protokoller tespit edilebilecek ve önlenebilecektir.
DoS ve dağıtık servis dışı bırakma (DDoS) ataklarını istatistiki eşik değer ile tespit edebilecek, algılayıcı (sensör) tabanlı öğrenim/profil ve DoS profilleri tabanlı olarak tespit edebilecek ve kesebilecektir.
Cihazın, üzerinden geçen trafiğin durum kontrolü için kullanacağı yöntemlerden en az aşağıda sıralanan yöntemleri içerecektir:
IP Defragmantation ve TCP Stream Reassambly,
Detaylı Protokol Analizi,
Asimetrik Trafik İzleme,
Adli veri toplanması,
Sistem, yönetim ve kayıt günlüğü tutulması (loglaması) için merkezi yönetim yazılımına sahip olacaktır.
Yönetim yazılımının grafik raporlama, atak merkezi tespiti ve kayıt tutma özellikleri olacaktır. Yönetim yazılımı Windows 2003 üzerinde çalışacak olup veri tabanı olarak Mysql kullanacaktır. Yüklenici firma bu yazılımı kendisi kuracaktır. Yazılımın kurulması için gerekli olan donanım Üniversitemizce temin edilecektir. Yüklenici firma gerekli olan donanım konusunda Üniversitemizi kurulumdan önce bilgilendirmelidir.
Atak önleme sisteminde meydana gelebilecek herhangi bir arıza, atak önleme sisteminin entegre edildiği mevcut sistemin akışını engellemeyecektir (fail open/fail safe).
Sistem içi (inline) modunda çalışan sistem saldırıyı tespit ettiği anda saldırıya ilişkin iletişimi kesecektir. İkinci katman erişiminin olduğu yerel ağlarda, saldırıları tetikleyen istemcilerin belirtilecek bir zaman için karantinaya alınmasını destekleyecektir.
Sistem tespit ettiği uygulama grubuna (p2p gibi) istinaden hat genişliği yönetimi yapabilecek, bunla ilgili kullanım bilgilerini sunabilecektir.
İkinci katman (OSI 2) “ARP Spoofing” atakları tespit edilip kesilebilecektir.
Casus yazılım (spyware) ve diğer zararlı kodlar da dâhil olmak üzere HTTP cevap ataklarına karşı ağ tarayıcıları için koruma sağlayacaktır.
Noktadan noktaya bağlantı (peer-to-peer) ve anlık mesajlaşma (instant messaging) da dâhil olmak üzere en az 100 (yüz) protokolü tanıyacak ve ilgili atakları kesecektir.
Algılayıcı (sensör) ve yönetim yazılımı SSL ile şifrelenmiş bir hat üzerinden iletişim kuracaktır. Yönetim yazılımı detaylı istatistiksel raporlar üretebilmeli ve oluşan raporlar mail ile otomatik alıcılara gönderilebilmelidir.
En az 100 (yüz) protokolü analiz edebilecek ve bu protokoller için koruma sağlayacaktır.
Sistem komut satırından yapılandırılabilecektir.
Önerilen IPS istenilirse modül upgrade ile NAC denetleyicilik yapabilmeli bu yolla kontrol dışı istemcilerin IPS segmentlerinden geçişi engellenebilmelidir.
Önerilen sistem SSL ile kriptolanmış trafiği sonlandırabilmeli ve bu yolla yapılabilecek saldırıları tespit edip engelleyebilmelidir.
Merkezi yönetim yazılımı en az 2 adet IPS cihazını yönetebilecek şekilde lisanslanmalıdır.
Yönetim yazılımı üzerinden anlık atakların izlenmesi mümkün olmalı bu amaçla olası filtrelerle ilgili olay kaydına ulaşılabilmelidir. Aynı zamanda geçmişe dönük istatistiksel raporlar alınabilmeli bunları otomatik olarak yapabilmeli ve ilgili kullanıcılara mail ile ulaştırılabilmelidir. Oluşturulan raporlar HTML ve pdf olarak alınabilmelidir.
Yönetim yazılımı farklı rollerde sistem yöneticileri atayabilmelidir.
Önerilen donanım yedekli güç ünitesi içermelidir.
Önerilen sistem merkezi yönetim yazılımı dışında temel ayarlar ve sorun tespitleri amacı ile CLI üzerinden kullanılabilmelidir.
Gereğinde delil amaçlı kullanılmak üzere detaylı trafik log’u ürettirilebilmelidir.(TCPDUMP seviyesinde)
Merkezi yönetim yazılımı Radius, TCACS ve ldap protokolleri yardımıyla kimlik doğrulama yapabilmelidir.
IPS sistemi malware denetimi için davranış tabanlı özel tespit mekanizmasını barındırabilmelidir.
Önerilen sistem gerektiğinde aktif-aktif ve aktif-pasif yedekli çalışabilmelidir.
Merkezi yönetim yazılımı gerektiği takdirde yedekli çalışabilecek mimaride olmalıdır.
IPV6 desteği tam olmalı, atakların tespiti dışında yönetim portunda IPV6 adresleri ayarlanabilmelidir.
Atak önleme sistemi aynı üreticinin network zafiyet tarama aracı ve HOST IPS ürünleri ile entegre olabilmelidir.
Son kullanıcı 7x24 üreticiye sorunlarla ilgili e-mail veya telefon ile bildirimde bulunabilmelidir.
Cihaz üzerinde Firewall ve VPN sonlandırma işlevlerini yerine getirecek özel olarak üretilmiş bir donanım çözümü olmalıdır.
Cihaz üzerinde genel amaçlı bir işletim sistemi yerine, kendine özel bir işletim sistemi bulunmalıdır.
“Firewall throughput” kapasitesi en az 10 Gbps olmalıdır.
“VPN throughput” kapasitesi en az 2 Gbps olmalıdır.
Desteklenen maksimum bağlantı sayısı en az 1,000,000 olacaktır. Cihaz saniyede en az 120,000 yeni bağlantı açabilmelidir.
Saniyede en az 3.000.000 paket iletimini desteklemelidir.
Cihaz 10,000 adede kadar IPSEC VPN bağlantısı yapabilmelidir.
Cihaz Aktif/Yedek ve Aktif/Aktif çalışabilmelidir.
Cihaz üzerinde en az 8 tane 10/100/1000 Mbps ethernet portu ve 2 tane 10 Gigabit fiber/ 10 Gigabit bakır tercihe bağlı olarak kullanılabilecek ethernet portu olmalıdır. ( Toplam olarak 8 tane Gigabit Ethernet port ve 2 adet 10 Gigabit Ethernet port). Cihaz üzerinde en az 2 adet genişleme yuvası bulunmalıdır.
Cihaz üzerinde en az 2 adet USB 2.0 portu bulunmalıdır.
Cihaz üzerinde en az 12 GB Bellek, 2 GB Flash bellek bulunmalıdır.
Cihaz en az 250 adet VLAN’i destekleyebilmelidir.
Üzerinde iki adet sanal firewall desteği olmalı ve ek lisans ile bu sayı 50’ye çıkabilmelidir.
Cihaz 2 adet güç kaynağını desteklemeli ve bu şekilde yedekli güç kaynağı ile teklif edilmelidir.
2 RU ( Rack Unit ) boyutlarında olmalıdır.
Cihaz gelişmiş uygulama denetleme ve kontrol servislerini desteklemelidir. Cihaz HTTP, FTP, ESMTP, DNS, SNMP, ICMP, SQL.Net, H.323, SIP, SCCP, MGCP, RTSP, CTIQBE, ILS, SunRPC gibi protokollerin uygulama denetim ve kontrollerini yapabilmelidir.
Cihaz web trafiği için kapsamlı bir denetleme mekanizmasına sahip olmalıdır.
HTTP trafik akışı içersindeki RFC istek metodları için gerekli kontrolleri yapabilmelidir.
Web trafiği denetlenmesinde farklı kaynak ve hedef adreslerine farklı politikalar uygulanabilmelidir.
Cihaz http paketinin RFC’ye uygunluğunu, protokol anormalliği olup olmadığını kontrol edebilmeli, protokol durum takibi yapabilmeli, MIME çeşit ve içerik kontrolü yapabilmeli, URI (Uniform Resource Identifier) uzunluğunu kontrol edebilmelidir.
Cihaz web uygulama portları içerisinden tünelleme yoluyla taşınan “instant messaging”, “peer-to-peer” dosya paylaşımı gibi uygulamaları tespit edebilme ve istenirse bloklama yeteneğine sahip olmalıdır.
Cihaz AOL Instant Messenger, Microsoft Messenger ve Yahoo Messenger gibi popüler mesajlaşma uygulamalarını engelleyebilmelidir.
Cihaz Kazaa, Gnutella gibi dosya paylaşımı uygulamalarını engelleyebilmelidir.
Cihaz GoToMyPc gibi tünelleme uygulamalarını engelleyebilmelidir.
NAT, PAT, Dynamic port açma ve kapama desteklenmelidir.
FTP komutları (get, put gibi) kontrol edilebilmelidir.
Atak amaçlı kullanılabilecek SMTP ve ESMTP komutları otomatik olarak filtrelenebilmelidir.
AUTH, DATA, EHLO, ETRN, HELO, HELP, MAIL, NOOP, QUIT, RCPT, RSET, SAML, SEND, SOML ve VRFY gibi ESMTP komutları desteklenmelidir.
SNMP versiyon 1, 2, 2c, 3 için filtreleme desteği olmalıdır.
Problem giderme için güvenli bir şekilde ICMP kullanımı desteklenmeli, ICMP oturumları takip edilebilmeli, ICMP hata mesajları kontrol edilebilmelidir.
H.323 versiyon 1-4 protokolleri için gelişmiş denetim servislerine sahip olunmalıdır.
H.323 için NAT, PAT desteği olmalıdır.
TCP ve UDP tabanlı SIP ortamlarını güvenli tutabilecek denetleme mekanizmasına sahip olmalıdır.
SIP tabanlı IP telefonlar ve Microsoft Windows Messenger gibi uygulamalar için NAT ve PAT desteklenmelidir.
SCCP için NAT ve PAT desteği sunabilmelidir.
“Media gateway”, “call agent” ile “media gateway controller” arasındaki MGCP bağlantıları için NAT ve PAT adres çevrimini desteklemeli ve MGCP güvenlik servisleri hizmeti sunabilmelidir.
RTSP media stream için NAT adres çevrimini desteklemelidir.
Parçalı halde gelen H.323, SIP ve SCCP tabanlı ses ve multimedya dizisini denetleyebilmelidir.
Web Sense, Secure Computing/N2H2 tabanlı URL filtreleme programları ile çalışabilmelidir.
“Malware” indirilmesini önlemek için ActiveX ve Java appletlerini filtreleyebilmelidir.
Ağ haberleşmesinin durumunu takip eden “Stateful Inspection Firewall” servisini desteklemelidir.
Yetkisiz network ulaşımlarını önlemek için güvenlik servislerini desteklemelidir.
“Inbound” ve “Outbound” erişim kontrol listelerini desteklemeli ve bu sayede hem arayüzden içeri giren hem de dışarı çıkan trafiği kontrol edebilmelidir.
IP adresi yerine arayüzlere (interface)’lerin adına göre güvenlik politikaları yaratılabilmelidir.
Zaman Bağlı Erişim Kontrol Listesi ( Access Control List, ACL) konfigüre edilebilmelidir.
Erişim Kontrol Listesi (Access Control List, ACL) satırına ilişkin syslog mesajları gönderebilmelidir.
Kullanıcı bazında kimlik sorgulaması sonrasında Dinamik ACL (Access Control List, ACL) indirme ve uygulamayı desteklemelidir.
Cihazlar, networkler veya servisler gibi ağ nesnelerini lojik olarak gruplara ayırabilmelidir.
Dinamik, statik ve politika tabanlı NAT ve PAT’ı desteklemelidir.
Cihaz üzerinden “VPN Software Client”lara VPN politikası gönderilmeli ve bu yolla her bir “client”ın tek tek yönetiminin yapılmasına gerek olmadan son kurum politikası ile tüm “uzak VPN” bağlantıların gerçekleştirilmesi sağlanmalıdır.
“VPN client”ın tipine göre (donanım veya yazılım olmasından bağımsız olarak) ve “VPN Software Client”ın versiyonuna göre kontroller yapabilmelidir.
VPN bağlantısı kurulduğunda otomatik olarak veya isteğe bağlı olarak bağlı “VPN Software Client”ların yazılım güncellemelerini yapabilmelidir.
“TCP/UDP NAT ve PAT Traversal” methotlarını desteklemelidir.
“VPN Software Client” ile bağlanan kullanıcılar -geldikleri port üzerinden tekrar internete çıkarken- firewall kuralları, URL filtrelemesi ve diğer güvenlik kontrolleri işlemlerine tabii tutulabilmelidir.
Beraberinde gelen “VPN Software Client” LZS sıkıştırma özelliğini desteklemelidir.
Cihaz ile gelen “VPN Software Client”ın Windows 98, ME, NT, 2000,XP, Linux, Sun Solaris ve Apple Mac OS desteği olmalıdır.
SSL VPN ve beraberinde gelen dosya paylaşımı, Telnet ve “Windows Terminal Services” gibi TCP tabanlı uygulamalara erişim, “Port forwarding” gibi özellikler desteklenebilmelidir.
IPSec ve Web VPN için “clustering” desteklenmelidir.
VPN kullanıcıları ayrı bir RADIUS veya TACACS+ sunucusuna ihtiyaç olmadan “Microsoft Active Directory”, “Microsoft Windows Domain”, Kerberos, LDAP ve RSA secure ID ile direk entegre edebilmelidir.
IKE (Internet Key Exchange) ve IPSec VPN desteklemelidir.
“Hub-and-spoke” veya “meshed VPN” konfigürasyonlarını desteklemelidir.
OSPF dinamik yönlendirme protokolü ve “reverse-route injection” desteği ile bölgeden bölgeye tünellerinde güvenilirlik ve performansı arttırabilmelidir.
Aşağıda belirtilen asimetrik kripto algoritmaları desteklenmelidir.
RSA public/private key pairs, 512 to 4096 bits
DSA public/private key pairs, 512 to 1024 bits
Aşağıda belirtilen simetrik kripto algoritmaları desteklenmelidir.
Advanced Encryption Standard (AES): 128, 192, and 256 bits
Aşağıda belirtilen Diffie-Hellman grupları desteklenmelidir.
Group 1: 768 bits
Aşağıda belirtilen “hashing” algoritmaları desteklenmelidir.
Message Digest Algorithm (MD5): 128 bits
Secure Hash Algorithm 1 (SHA-1): 160 bits
Aşağıda belirtilen X.509 Sertifika Kayıt Metodları desteklenmelidir.
Manual (PKCS #7 and #10)
İlerde yanına eklenecek aynı model cihaz ile Aktif/Aktif ve Aktif/Yedek yapısında çalışabilecektir. Aktif/Yedek ve Aktif/Aktif çalışma sırasında üzerinden geçen bağlantı durumları ve konfigürasyon bilgisi her iki cihazda da sürekli senkron tutulabilecektir. Sistemde veya ağda oluşabilecek bir kesinti durumunda ağ oturumları otomatik olarak yedek cihaza aktarılabilecektir.
2. katmanda, “bridging” modda çalışabilmelidir.
“Vlan trunking” özelliği desteklenmeli ve tek bir fiziksel arayüz üzerinden birden fazla sanal arayüz desteklenebilecektir. Bu yolla toplamda 100 adet VLAN desteği sağlanabilecektir.
OSPF, RIP yönlendirme protokolü desteklenmelidir.
PIM Sparse Mode v2, IGMPv2 ve multicast trafik için NAT, PAT ve ACL destekleri olmalıdır.
Belli trafik akışları için önceliklendirme yapılabilmeli ve belli trafik akışları için de bir “Committed Rate” ( CR: bit/sec ) tanımlaması yapılabilmelidir.
IPv6 konfigure edilmiş ağ ortamlarında veya IPv4 ve IPv6’nın beraber yer aldığı ağ ortamlarında gerekli erişim kontrol ve firewall servisleri açılabilmelidir.
IPv6 kullanılırken HTTP, FTP, SMTP, ICMP, TCP ve UDP için kontrol servisleri açılabilmelidir.
IPv6 üzerinden SSHv2, Telnet, HTTP, HTTPS ve ICMP tabanlı yönetim desteği sağlamalıdır.
Birden fazla portunda DHCP sunucu servisini desteklemelidir.
“DHCP Relay” özelliğine sahip olmalıdır.
NTPv3 protokolü desteklenmelidir.
Web tabanlı ve istenirse bilgisayara da yüklenebilecek bir yazılım ile GUI bazlı yönetilebilmelidir.
Kullanım trendleri, performans değerleri ve güvenlik ile ilgili olaylar görüntülenebilmelidir.
Telnet, SSH ve Konsol bağlantılarıyla cihaza CLI erişim sağlanabilmelidir.
Belli trafik tipleri sınıf bazlı olarak ayrılabilmeli ve firewall, denetim ve Servis Kalitesi ( Servis Kalitesi, QoS) politikaları, bağlantı limitleri ve “timer” değerleri sınıf bazında konfigüre edilebilmelidir.
Cihaza erişimde “sadece görüntüleme”, “sadece okuma”, “sadece ağ konfigurasyon”, “sadece firewall konfigurasyon” gibi farklı toplam 16 farklı seviyede yönetim rolü konfigure edilebilmelidir.
Cihaza SSH, SSL, seri veya telnet gibi erişimlerde kimlik sorgulaması cihazın lokal veritabanında veya cihaz ile ilişkilendirilen TACACS+/RADIUS sunucular ile gerçekleştirilebilmelidir. Bu sunucu gruplarına cihazın erişimde bir kesinti olması durumunda tekrar lokal veritabanına geri dönülüp kontrolün orada gerçekleştirme opsiyonu açılabilmelidir.
“Accounting” bilgisi eş zamanlı olarak birden fazla RADIUS sunucuya gönderilebilmelidir.
Cihaza erişimlerde gerçekleştirilen konfigürasyon değişikliklerinin takibi amacıyla TACACS+ AAA bilgisi üretilebilmelidir.
Cihaz üzerinden bir kullanıcıya ait herhangi bir trafik geçişi olmadan önce cihaz üzerinde o kullanıcının kimlik sorgulaması telnet/ http/ https metotlarından biri kullanılarak yapılabilmelidir. Bu amaçla kullanıcı ad ve şifreleri cihaz üzerinde tutulabilmeli veya cihaz harici bir Radius/Tacacs+ sunucu ile ilişkilendirilebilmelidir.
SNMPv2c desteği olmalıdır.
SNMP v2 MIB, Interface grup MIB, IP MIB, Entity MIB desteği olmalıdır.
IPSec “Flow Monitoring” MIB desteği ile detaylı vpn tünel istatistikleri, tünelin ayakta kalma süresi, transfer edilen toplam paket ve byte sayısı gibi bilgilere ulaşılabilmelidir.
TCP veya UDP protokolleri üzerinden birden fazla syslog sunucu ile ilişkilendirilebilmelidir.
Yönetim/Görüntüleme Arayüzünde veya harici syslog sunucu üzerinde eş zamanlı görüntüleme yapılabilmelidir.
7 farklı seviyede loglama filtrelemesi açılabilmelidir.
TFTP, HTTP, HTTPS ve SCP ile konfigürasyon ve yazılım dosyaları cihaza gönderilebilmelidir.
Cihaz üzerinden konfigürasyon dosyası TFTP veya SCP yoluyla alınabilmelidir.
Cihaza yönetim amaçlı olarak SSHv1,SSHv2 veya SSL ile bağlanılabilmelidir.
SCP kullanılarak cihaza dosya veya imaj gönderimi gerçekleştirilebilmelidir.
“Flash memory”de birden fazla imaj ve konfigürasyon dosyası tutulabilmeli ve gerektiğinde diğer bir imaj veya konfigurasyona kolay geçiş yapılabilmelidir.
Gerekli konfigürasyon yapılandırılarak cihazın şifresi kırılması durumunda hafızanın içindeki tüm sertifikalar ve konfigurasyonlar otomatik olarak silinebilmelidir.
“Out of band” yönetim için iki adet 10/100/1000 çalışan ethernet portuna sahip olmalıdır.
Tüm portlarında paket yakalama özelliğini desteklemeli ve yakalanan paketler konsol, güvenli web erişimi veya TFTP’ye gönderilen bir dosya ile görülebilmelidir.
Cihaz üzerinden “extended ping” yapılabilmelidir.
Kritik olaylar meydana geldiğinde yöneticileri e-posta yoluyla haberdar edebilmelidir.
Sistemin (iki cihazın tamamının), bakım ve güncelleme desteğiyle kesin kabul tarihinden itibaren en az 2 yıl süre ile garantisi olacaktır.
Öğr. Gör. Serat KORSACILAR Yrd. Doç. Dr. Zafer DİCLE
SALDIRI TESPİT SİSTEMİ TEKNİK ŞARTNAMESİ Sayfa /