Dzień Dobry

Proszę o oferty na zakup systemu SIEM Energy Logserver

System musi spełniać wymagania:

System musi być oparty o nowoczesną nierelacyjną bazę danych typu noSQL

System musi pracować w oparciu o architekturę Linux.

System musi mieć możliwość centralnego zbierania i zarządzania logami System działać w trybie zbliżonym do rzeczywistego System musi umożliwiać funkcjonowanie bez dostępu do sieci internet System musi mieć możliwość działania jako niezależne instancje zainstalowane w oddziałach Zamawiającego wraz z możliwość centralnego dostępu. Instancje systemu muszą mieć możliwość działania w przypadku odłączenia scentralizowanego dostępu.System musi zapewniać efektywną obsługę do 100  GB danych dziennieOferowana licencja nie może ograniczać ilości zarejestrowanych lub jednoczesnych użytkowników systemu. System musi umożliwiać rozbudowę bez potrzeby wyłączania lub restartu środowiska. Architektura rozwiązania musi umożliwiać rozdzielenie ról systemu pomiędzy osobne komponenty (serwery/maszyny wirtualne). Należy przewidzieć rozdzielenie przynajmniej 3 typów ról: Agregacja, Prezentacja, Retencja. Dołączenie nowego węzła przetwarzania, prezentacji lub przechowywania pozwalającego na skalowanie wydajności. Rozszerzenie takie powinno odbywać się bez konieczności restartu działającego systemu. Interfejs musi posiadać angielską lub polską wersję językową. System musi być tworzony zgodnie z zaleceniami standardu OWASP Testing Guide, a w szczególności OWASP - TOP 10 (Open Web Application Security Project). Projektowany System powinna spełniać wymagania standardu OWASP ASVS (Application Security Verification Standard) w wersji 4.0 co najmniej na poziomie pierwszym (L1).System musi zapewniać pełen audyt aktywności jego użytkowników, w tym: udanych/nieudanych logowaniach, pełnej historię operacji, realizowanych zapytań, zmian uprawnień. System musi umożliwiać ręczne ustawianie poziomu szczegółowości gromadzonych danych audytowych. System musi posiadać autoryzowane przez producenta narzędzie/moduł do kontroli wydajności dostarczonego systemu. Wsparcie producenta musi obejmować zakresem również to narzędzie. System musi zapewniać mechanizmy umożliwiające pracę w trybie multitenant. System musi pozwalać na tworzenie parserów z poziomu GUI System musi umożliwiać predykcję danych w oparciu o dowolne dane historyczne zgromadzone w systemie. System musi zapewniać budowę modeli prognostycznych w oparciu o metody matematyczne i statystyczne tzw. Machine Learning. System musi być wyposażony w zaawansowane metody analizy danych oparte na algorytmach sztucznej inteligencji. Algorytmy sztucznej inteligencji muszą umożliwiać przewidywanie zachowań systemu poprzez zrozumienie liczby generowanych zdarzeń oraz wartości liczbowych w tych zdarzeniach, takich jak wysłane bajty (sent_bytes), rozmiar pliku (file_size) i czas trwania sesji (session_duration).Algorytmy sztucznej inteligencji muszą wspierać pracę operatora w wykrywaniu anomalii w danych: pojedynczego parametru liczbowego, wielu parametrów liczbowych, tekstu oraz danych mieszanych. Oczekuje się, że wykrywanie anomalii będzie połączone z obliczaniem punktów, co umożliwi operatorowi skoncentrowanie swojej pracy na zdarzeniach o najwyższych wynikach. Algorytmy sztucznej inteligencji muszą umożliwiać nienadzorowane, dynamiczne grupowanie zdarzeń na podstawie ich wspólnych cech. Dodatkową wartością będzie możliwość graficznej wizualizacji zdarzeń tworzących większe lub mniejsze grupy, aby izolowane zdarzenia można było łatwo zidentyfikować. Wykrywanie anomalii musi umożliwiać tworzenie reguł detekcji, aby możliwa była szybka reakcja w sytuacjach, które się pojawiają. Algorytmy sztucznej inteligencji musi umożliwiać nienadzorowane, dynamiczne grupowanie zdarzeń na podstawie ich wspólnych cech. Dodatkową wartością będzie możliwość graficznej wizualizacji zdarzeń tworzących większe lub mniejsze grupy, aby izolowane zdarzenia można było łatwo zidentyfikować.Wykrywanie anomalii musi umożliwiać tworzenie reguł detekcji, aby możliwa była szybka reakcja w sytuacjach, które się pojawiają.System musi zapewniać wizualizację danych w postaci, oryginalnych logów, list, wykresów i diagramów. System musi umożliwiać graficzną wizualizację zidentyfikowanych połączeń sieciowych pomiędzy adresami IP.Wizualizacja danych powinna być również możliwa dla wartości tekstowych jak i liczbowych przekazywanych w logach.System musi umożliwiać funkcjonalność eksportu danych o Zdarzeniach i Incydentach do formatu CSV i HTML m.in. w celu analizy wyników działania reguł korelacyjnych. System musi zapewniać parsowanie spływających do niego wiadomości w formatach: Syslog,WEF,Flat file,Event log,WMI,SNMP trap,XML,JSON,JDBC/ODBCCSV,Email,Jak również musi pozwalać na implementację innych formatów w przypadku zaistnienia takiej potrzeby ze strony Zamawiającego.System musi zbierać logi z rozwiązań chmurowych opartych minimum o AWS oraz Microsoft Azure. System musi umożliwiać prezentację logu o zdarzeniu w interfejsie użytkownika w takiej formie w jakiej ten log został przesłany do Systemu tj. wyświetlenie logu w postaci surowej (RAW) przed parsowaniem. System musi do przyjmowania zdarzeń wykorzystywać zarówno mechanizmy agentowe jak i bezagentowe. System musi umożliwiać definiowanie parserów dla niestandardowych formatów logów w oparciu o składnię wyrażeń regularnych oraz formatów wymiany danych dla wszystkich obsługiwanych formatów.Interfejs musi umożliwić parsowanie warunkowe na podstawie dopasowania wartości pól.  Po dopasowaniu wzorca dalsze parsowanie powinno być konfigurowalne w celu wyboru optymalnej metody parsowania, np.: REGEX, JSON, XML oraz umożliwiać zastosowanie innego parsera.System musi posiadać predefiniowany zestaw parserów zdarzeń.System musi mieć funkcjonalność Bad IP Reputation tj. porównywania adresów IP z bazami reputacyjnymi dostarczonymi przez producenta.System musi wspierać geolokalizację zdarzeń na bazie adresów IP.System musi umożliwiać normalizowanie wiadomości po sparsowanych polach, np. dzięki zmianie wartości tych pól oraz wzbogacaniu tych danych o dodatkowe pola bazując na całych wartościach lub wzorcach wyszukiwania.System musi umożliwiać przeszukiwanie Danych Wejściowych z uwzględnieniem filtracji po sparsowanych polach. Proces parsowania musi umożliwiać wzbogacanie treści obieranych Wiadomości poprzez matematyczne operacje wykonywane na innych polach.Proces parsowania musi umożliwiać anonimizację Danych Wejściowych celem ukrycia fragmentów informacji, których składowanie nie jest konieczne lub narusza wewnętrzny procedury bezpieczeństwa.System powinien pozwalać na pracę z logami zdarzeń jednolinijkowych oraz wielolinijkowychSystem powinien pozwalać na rozpoznanie formatów czasu i daty oraz normalizowanie ich do jednego wspólnego formatu.System musi posiadać wbudowany komponent budowania elektronicznej dokumentacji z możliwością ręcznego i automatycznego dodawania treści oraz uzupełniania jej o wartości pochodzące ze zgromadzonych w Systemie danych.Komponent budowania elektronicznej dokumentacji musi mieć możliwość m.in. tworzenia lub dodawania diagramów architektury zasobów informatycznych, tabel oraz list.System musi umożliwiać łączenie wyników dwóch niezależnych zapytań w postaci jednej odpowiedzi, bez użycia składni SQLSystem musi posiadać interfejs umożliwiający zmianę wybranej wartości w zgromadzonych danych. Incydent, który powstał w wyniku korelacji, musi dać się wyszukiwać korzystając ze standardowego dostępnego w systemie mechanizmu wyszukiwania. System musi umożliwiać budowanie na jego podstawie kolejnych reguł korelacyjnych lub generowania alarmów.System musi posiadać funkcjonalność korelacji danych w czasie rzeczywistym.System musi umożliwiać tworzenie nowych reguł korelacyjnych oraz modyfikowanie istniejących.System musi umożliwiać tworzenie własnych reguł korelacyjnych na bazie reguł odpowiedzialnych za wykrywanie określonych zdarzeń pojawiających się w systemie, w tym:Wykrycia dowolnej treści w logach,Wykrycia wystąpienia wartości pola na wybranej liście,Wykrycia niewystępowania wartości pola na wybranej liście,Wykrycia zmiany jednego z kilku pól,Wykrycia zdarzeń występujących z zadaną częstotliwością,Wykrycia zdarzeń, których liczba zmienia się w wskazany sposób względem czasu poprzedniego,Wykrycia zaniku Wiadomości,Wykrycia nowej wartości pola w zadanym okresie czasu,Wykrycia incydentu będącego pochodną zdarzeń występujących w określonej kolejności System musi pozwalać na tworzenie własnych algorytmów ewaluacji IncydentówReguły korelacji oraz algorytmy ewaluacji incydentów muszą być możliwe do dodawania lub modyfikacji z poziomów zarówno GUI jak i API.System musi pozwolić na określenie okna czasowego oraz warunków dla zdarzeń, które mają zostać poddane regułom korelacyjnym.System musi pozwalać na realizację zapytań obejmujących całą historię gromadzonych w nim danych System musi umożliwić korelację zdarzeń pochodzących z różnych źródeł informacji z anomaliami wykrywanymi m.in. w. Netflow oraz wykrytymi podatnościami zidentyfikowanymi przez skaner podatności  System musi zapewnić mechanizmy obsługi incydentów i wymiany informacji pomiędzy, operatorami systemu w tym przypisanie incydentu do operatora i zmiana jego statusu.System musi posiadać funkcjonalność tworzenia scenariuszy obsługi incydentu tzw. PlaybookSystem musi automatycznie podpowiadać odpowiednie scenariusze obsługi incydentów. Scenariusze muszą mieć możliwość ich symulacji i weryfikacji, m.in. na przykładowym zasobie IT.System musi pozwalać na tworzenie własnych scenariuszy obsługi oraz edycję istniejących.Rozwiązanie musi posiadać funkcjonalność wysyłania powiadomień o Incydentach do innych systemów bądź zdefiniowanych użytkowników (co najmniej: powiadamianie email, opcjonalnie SMS, czat).System musi umożliwiać testowanie reguł korelacyjnych i alertów na etapie ich tworzenia. Wynik testu nie może tworzyć wpisu o sytuacji alarmowej i ewentualnego incydentu.System musi pozwalać na zautomatyzowane szacowanie ryzyka dla dowolnych kryteriów w ramach przetwarzanych zdarzeń. W rozwiązaniu musi być obecna funkcjonalność. kategoryzacji obiektów (adresy IP, loginy i inne pola), dla których mechanizm szacowania ryzyka uwzględni podane wagi.System umożliwia konfiguracje automatycznych akcji, które są wykonywane na monitorowanych systemach w przypadku detekcji zagrożenia wskazanego w reguleTworzone incydenty będące wynikiem pracy reguł bezpieczeństwa muszą posiadać wbudowany poziom istotności. Musi istnieć możliwość modyfikacji poziomu istotności dla każdej reguły.System musi posiadać wbudowany, dostepny z poziomu GUI moduł tworzenia i edycji elektronicznej dokumentacji bazującej oraz wzbogacającej dane gromadzone ze środowiska informatycznego. System musi umożliwiać zakup licencji wieczystych wraz ze wsparciem producenta na okres minimum 12 miesięcy od daty wdrożenia.Oferowana licencja nie może ograniczać ilości urządzeń będących źródłem logów.System musi umożliwiać czasowe przyjęcie zwiększonej ilości danych o minimum 30% bez potrzeby zwiększania zasobów sprzętowych lub licencyjnych. Wsparcie producenta musi być realizowane w języku polskim przez dedykowanych inżynierów.Support producenta musi być świadczony w formule minimum 8/5.Wsparcie nie może być limitowane ilością zgłoszeń i musi być realizowane zdalnie oraz z siedzibie Zamawiającego.Dokumentacja techniczna i baza wiedzy dotycząca oferowanego systemu musi być opublikowana na ogólnodostepnej stronie internetowej producenta.Zamawiający oczekuje, że Wykonawca wraz z licencją produkcyjną Wykonawca zobligowany jest dostarczyć licencję na potrzeby środowiska testowego, która umożliwi przetwarzanie minimum 1 000 EPS. Licencja testowa musi być objęta supportem producenta na takich samych zasadach jak licencja produkcyjna.Dostęp do systemuKomunikacja pomiędzy komponentami systemu odpowiadającymi za agregacji, retencję i wizualizację danych musi odbywac się w sposób szyfrowany z wykorzystaniem protokołu TLS w wersji minimum 1.3.Szyfrowanie komunikacji z przeglądarką internetową użytkownika musi wykorzystywać protoków TLS w wersji minimum 1.3.System musi posiadać interfejs graficzny dostępny z poziomu przeglądarki internetowej min. Firefox, Chrome, Internet Explorer.Dostęp do systemu musi być zabezpieczany hasłem lub certyfikatem.Autoryzacja do systemu musi być zintegrowana z: Microsoft AD, LDAP,RadiusHasła typu Windows AD bind muszą być przechowywane w postaci zaszyfrowanej.System musi wspierać mechanizm logowania typu Single Sign On.System musi umożliwiać zarządzanie czasem automatycznego wygasania sesji użytkowników.System musi posiadać dedykowany widok zarządzania użytkownikami i rolami.System powinien umożliwiać zarządzenie uprawnieniami do modyfikacji wytworzonych w systemie obiektów tj. wyszukiwania, wizualizacje, dashboardy. Dla utworzonych ról musi istnieć możliwość przypisania wspomnianych obiektów w podziale na dostęp typu „read only” oraz „pełny”. Obiekty, do których grupa nie ma dostępu, nie mogą być widoczne dla użytkownika.Przyjmowanie, identyfikacja i wizualizacja danych Musi istnieć możliwość automatycznego importu informacji IoC (ang. Indicator Of Compromise), a następnie automatyczne przeszukiwanie wśród zgromadzonych zdarzeń w wyznaczonym czasie.System musi posiadać natywną integrację z bazą MISP min. Adresy IP, hash zainfekowanych plików, adresy domen, adresy URL.System posiada natywną integrację z Mitre ATT@CK.Reguły korelacyjne, alerty i obsługa incydentówSystem musi posiadać bazę minimum 700 predefiniowanych reguł korelacyjnychSystem musi dostarczać funkcjonalność badania integralności plików i rejestrach na monitorowanych hostach, w tym: monitorowanie zmian na zawartości plików i katalogów, zmiany uprawnień dostępu do pliku, zmiany w atrybutach plików oraz zmian na sumach kontrolnych MD5 i SHA1.System musi posiadać funkcjonalność monitorowania konfiguracji systemów oraz aplikacji w celu zapewnienia zgodności z politykami i standardami bezpieczeństwa oraz praktykami dotyczącymi hardeningu, takimi jak CIS Benchmark.System musi posiadać gotowe wizualizacje i polityki zgodności z GDPR, PCI-DSS, NIST, ISO 27001System musi posiadać możliwość skanowania środowiska pod kątem detekcji rootkit’u i wykrywania ukrytych procesów, plików, portów System musi posiadać funkcjonalności skanowania podatności dla aplikacji oraz systemów operacyjnych Linux i Windows System musi posiadać funkcjonalność ciągłego śledzenia polityk OpenSCAP Raportowanie i Archiwizacja danych System musi zapewniać wbudowany mechanizm archiwizacji danych w postaci plików płaskich oraz ich zarządzaniem z poziomu konsoli użytkownika .Mechanizm archiwizacji musi posiadać funkcjonalność przesyłania danych online do archiwum według zadanych kryteriów w sposób automatyczny lub ręczny. Mechanizm archiwizacji musi umożliwiać pozwalać na przywracanie danych do systemu celem analizy online. Mechanizm archiwizacji musi zapewniać funkcjonalność wyszukiwania w spakowanych danych bez potrzeby ich wcześniejszego rozpakowania. System musi zapewniać funkcjonalność generowania raportów z dowolnych danych gromadzonych w systemie. Raporty muszą być generowane ręcznie oraz automatycznie według zdefiniowanego harmonogramu. System musi generować raporty do formatów minimum PDF, docx oraz JPEG z jednoczesną możliwością opatrywania dokumentu logo Zamawiającego oraz komentarzami. Lista źródeł 1000 aktywnych źródeł Wdrożenie (OPCJA)Zakres oczekiwanych prac związanych z wdrożenie systemu: Opracowanie harmonogramu wdrożenia systemu. Przeprowadzenie przez Wykonawcę analizy przedwdrożeniowej oraz projektu technicznego wdrożenia. Przeprowadzenie instalacji i konfiguracji systemu. Podłączenie do systemu wskazanych przez Zamawiającego w OPZ źródeł danych. Do podłączonych źródeł Wykonawca musi skonfigurować reguły korelacyjne, raporty oraz dashboardy z wykorzystaniem gotowych komponentów dostarczonych wraz z systemem. Jeżeli oferowany system  nie posiada predefiniowanych parserów, wizualizacji, dashboardów oraz reguł korelacyjnych Wykonawca jest zobligowany do ich implementacji na etapie wdrożenia. Wykonawca na etapie analizy przedwdrożeniowej przedstawi do akceptacji Zamawiającego listę proponowanych reguł korelacyjnych, wizualizacji oraz dashboardów odnoszących się do zidentyfikowanych źródeł danych. Przygotowanie i przeprowadzenie scenariuszy testowych weryfikujących wydajność i poprawność wdrożonego systemu w środowisku Zamawiającego. Proponowane scenariusze będą przedłożone Zamawiającemu do akceptacji.

Wymagania niefunkcjonalne
Szkolenia Wykonawca przeprowadzi szkolenia z zakresu użytkowania oraz administrowania systemem dla (liczba pracowników)  pracowników zamawiającego w wymiarze 2 dni roboczych (min. 16h roboczych).Grupa szkoleniowa będzie miała nie więcej niż 10  słuchaczy. Szkolenie odbędzie się w siedzibie Zamawiającego. Szkolenie musi być prowadzone w języku polskim. Każdy uczestnik szkolenia otrzyma materiały szkoleniowe przygotowane w języku polskim lub angielskim. Osoby prowadzące szkolenie muszą posiadać certyfikat wystawiony przez producenta oferowanego rozwiązania potwierdzające ich kompetencje w zakresie użytkowania i administrowania systemem. Utrzymanie systemuWsparcie producenta musi być realizowane w języku polskim przez dedykowanych inżynierów. Support producenta musi być świadczony w formule minimum 8/5.Wsparcie nie może być limitowane ilością zgłoszeń i musi być realizowane zdalnie oraz z siedzibie Zamawiającego. Dokumentacja techniczna i baza wiedzy dotycząca oferowanego systemu musi być opublikowana na ogólnodostepnej stronie internetowej producenta. Usługa rozwoju systemu (OPCJA)Po podpisaniu protokołu odbioru końcowego Wykonawca zapewni dodatkowe wsparcie w wymiarze ... godzin roboczych miesięcznie do wykorzystania na prace rozwojowe i szkoleniowe przez okres … latInfrastruktura (OPCJA)Zamawiający zapewnia niezbędna infrastrukturę techniczną wymaganą do uruchomienia systemu. Strony określą wymagania dotyczące niezbędnego środowiska produkcyjnego na etapie tworzenia projektu technicznego. Integracja z SOAR (OPCJA do kryterium oceny ofert)Dostawca systemu SIEM musi umożliwiać rozbudowę oferowanego rozwiązania o moduł funkcjonalny SOAR lub zapewnić gotową integrację z systemem SOAR tego samego producenta.