Номер извещения: 0851200000626007271

Общая информация о закупке

Внимание! За нарушение требований антимонопольного законодательства Российской Федерации о запрете участия в ограничивающих конкуренцию соглашениях, осуществления ограничивающих конкуренцию согласованных действий предусмотрена ответственность в соответствии со ст. 14.32 КоАП РФ и ст. 178 УК РФ

Способ определения поставщика (подрядчика, исполнителя): Электронный аукцион

Наименование электронной площадки в информационно-телекоммуникационной сети «Интернет»: ЭТП Газпромбанк

Адрес электронной площадки в информационно-телекоммуникационной сети «Интернет»: https://etpgpb.ru/

Размещение осуществляет: Уполномоченное учреждение ГОСУДАРСТВЕННОЕ КАЗЕННОЕ УЧРЕЖДЕНИЕ НОВОСИБИРСКОЙ ОБЛАСТИ "УПРАВЛЕНИЕ КОНТРАКТНОЙ СИСТЕМЫ"

Наименование объекта закупки: Оказание услуг по предоставлению простой (неисключительной) лицензии на право использования программного средства для сбора и анализа событий

Этап закупки: Подача заявок

Сведения о связи с позицией плана-графика: 202603513001135001000044

Контактная информация

Размещение осуществляет: Уполномоченное учреждение

Организация, осуществляющая размещение: ГОСУДАРСТВЕННОЕ КАЗЕННОЕ УЧРЕЖДЕНИЕ НОВОСИБИРСКОЙ ОБЛАСТИ "УПРАВЛЕНИЕ КОНТРАКТНОЙ СИСТЕМЫ"

Почтовый адрес: 630005, Новосибирская область , Г НОВОСИБИРСК, УЛ ФРУНЗЕ, ЗД. 88, ОФИС 401

Место нахождения: 630005, Новосибирская область , Г НОВОСИБИРСК, УЛ ФРУНЗЕ, ЗД. 88, ОФИС 401

Ответственное должностное лицо: Михалев Д. И.

Адрес электронной почты: uksis@zakaznso.ru

Номер контактного телефона: 8-383-2387272-6077

Дополнительная информация: Информация отсутствует

Регион: Новосибирская обл

Информация о процедуре закупки

Дата и время начала срока подачи заявок: 27.10.2026 15:17 (МСК+4)

Дата и время окончания срока подачи заявок: 05.11.2026 08:00 (МСК+4)

Дата проведения процедуры подачи предложений о цене контракта либо о сумме цен единиц товара, работы, услуги: 05.11.2026

Дата подведения итогов определения поставщика (подрядчика, исполнителя): 09.11.2026

Начальная (максимальная) цена контрактов

Начальная (максимальная) цена контракта: 983 179,08

Валюта: РОССИЙСКИЙ РУБЛЬ

Идентификационный код закупки (ИКЗ): 262543313778054330100100520010000244

Информация об объекте закупки

Код позиции - Наименование товара, работы, услуги - Ед. измерения - Количество (объем работы, услуги) - Цена за ед., ? - Стоимость, ?

- 58.29.50.000 58.29.11.000-00000004 - Программное обеспечение Способ предоставления Удаленный доступ через информационно-телекоммуникационные сети, в том числе через информационно-телекоммуникационную сеть Интернет Класс программ для электронных вычислительных машин и баз данных (03.02) Средства управления событиями информационной безопасности Информационная сеть Заказчика включает в себя, рабочих станций ? 27 - Условная единица - 27,00 - 36 414,04 - 983 179,08

ГОСУДАРСТВЕННОЕ БЮДЖЕТНОЕ УЧРЕЖДЕНИЕ ЗДРАВООХРАНЕНИЯ НОВОСИБИРСКОЙ ОБЛАСТИ "НОВОСИБИРСКАЯ КЛИНИЧЕСКАЯ РАЙОННАЯ БОЛЬНИЦА №1" - 27 -

- Наименование характеристики Значение характеристики Единица измерения характеристики Способ предоставления Удаленный доступ через информационно-телекоммуникационные сети, в том числе через информационно-телекоммуникационную сеть Интернет Класс программ для электронных вычислительных машин и баз данных (03.02) Средства управления событиями информационной безопасности Информационная сеть Заказчика включает в себя, рабочих станций ? 27 Модули Модуль сбора и анализа событий; Модуль администрирования; Модуль хранения данных; Модуль аудита журналов контроллера домена; Модуль аудита СУБД; Модуль аудита антивирусов; Модуль аудита журналов регистрации 1С; Модуль аудита почтовых серверов; Модуль аудита событий Syslog; Модуль аудита средств виртуализации; Модуль аудита сетевых устройств; Модуль аудита устройств сетевой безопасности; Модуль аудита событий операционной системы и приложений на базе Linux; Модуль аудита файловой системы; Модуль аудита активности пользователей; Модуль аудита подключаемых внешних устройств; Модуль сканирования сети; Модуль отображения карты инцидентов; Модуль представления статистики; Модуль аудита групповых политик; Модуль кросс-корреляции событий; Модуль создания пользовательских правил; Модуль аудита DHCP-серверов. Требования к системе в целом Система имеет удобный и понятный пользовательский интерфейс, где все сообщения и документация должны быть на русском языке. Система должна поддерживать сбор и анализ следующих данных: событий журналов контроллера домена, Windows Event Log; логов и баз данных СУБД; баз данных и событий Syslog антивирусов; событий журналов регистрации 1С; логов почтовых серверов; логов DHCP-серверов; событий Syslog; событий средств виртуализации; событий сетевых устройств; событий устройств сетевой безопасности; событий операционной системы Linux и приложений на базе Linux; файловых операций пользователей на компьютерах и файловых серверах; активности пользователей за компьютером; операций с файлами на подключаемых внешних устройствах; сведений о сетевых ресурсах – имена, IP- и MAC-адреса, используемые порты, операционная система. Система должна предполагать возможность сбора данных с каждого из перечисленных источников в отдельности. Система должна осуществлять формирование инцидентов ИБ как на основании данных из одного источника, так и на основании данных из разных источников. Подсчет количества лицензий в Системе должен осуществляться только по узлам сети вне зависимости от количества обрабатываемых событий в единицу времени. Система должна обеспечивать ограничение прав доступа к собранной информации и настройкам системы. Система должна поддерживать ролевую модель доступа к данным. Система не должна накладывать ограничений на нормальное функционирование серверов и рабочих станций Заказчика. Система не должна ухудшать основные функциональные характеристики ИС (надежность, быстродействие, возможность изменения конфигурации, удобство использования). Система обладает характеристиками масштабирования и отказоустойчивости. Система обеспечивает возможность автоматического резервного копирования базы данных инцидентов ИБ и ее восстановления. Система обеспечивает интеграцию в существующую у Заказчика вычислительную сеть без изменения топологии сети. Система имеет сертификат ФСТЭК. Требования к структуре Системы В состав Системы должны входить основные логические модули: ? модуль сбора и анализа событий; ? модуль администрирования; ? модуль хранения данных; ? модуль аудита журналов контроллера домена; ? модуль аудита СУБД; ? модуль аудита антивирусов; ? модуль аудита журналов регистрации 1С; ? модуль аудита почтовых серверов; ? модуль аудита событий Syslog; ? модуль аудита средств виртуализации; ? модуль аудита сетевых устройств; ? модуль аудита устройств сетевой безопасности; ? модуль аудита событий операционной системы и приложений на базе Linux; ? модуль аудита файловой системы; ? модуль аудита активности пользователей; ? модуль аудита подключаемых внешних устройств; ? модуль сканирования сети; ? модуль отображения карты инцидентов; ? модуль представления статистики; ? модуль аудита групповых политик; ? модуль кросс-корреляции событий; ? модуль создания пользовательских правил; ? модуль аудита DHCP-серверов. 1. Требования к функционированию Системы Модуль сбора и анализа событий должен предоставлять возможности настройки параметров работы, чтения событий источников данных и их анализа с целью выявления угроз и нарушений правил информационной безопасности. Модуль администрирования должен обеспечивать лицензирование Системы, синхронизацию с Active Directory, управление настройками разграничения прав доступа пользователей, управление настройками и контроль работоспособности всех модулей Системы. Модуль хранения должен обеспечивать: ­ запись и хранение в базах данных MongoDB версии 4.0.13 или ниже информации, полученной модулем сбора событий; ­ запись и хранение в базах данных PostgreSQL либо Microsoft SQL Server 2008 R2 SP3 и выше информации, полученной модулем администрирования. Модуль аудита журналов контроллера домена отвечает за сбор и анализ событий журналов контроллера домена. Модуль аудита СУБД обеспечивает чтение логов серверов Microsoft SQL Server, чтение таблиц баз данных и логов серверов Oracle, а также чтение логов серверов PostgreSQL. Модуль аудита антивирусов осуществляет подключение к базам данных антивирусов Kaspersky, Symantec, McAfee и чтение их записей, а также сбор событий Syslog антивируса ESET. Модуль аудита журналов регистрации 1С обеспечивает сбор и анализ событий журналов приложения 1С:Предприятие. Модуль аудита почтовых серверов обеспечивает чтение логов почтовых серверов Exchange и IBM Domino. Модуль аудита событий Syslog осуществляет сбор событий системных журналов аппаратных устройств (серверов, роутеров, принтеров и т.п.) и приложений. Модуль аудита средств виртуализации обеспечивает сбор событий VMware ESX. Модуль аудита сетевых устройств обеспечивает сбор событий сетевых устройств Cisco. Модуль аудита устройств сетевой безопасности обеспечивает сбор событий устройств комплексной сетевой безопасности FortiGate, межсетевых экранов Check Point и Palo Alto. 2. Требования к функционированию Системы Модуль аудита событий операционной системы приложений на базе Linux осуществляет сбор событий ОС Linux, веб-сервера Apache, почтового сервера Postfix и FTP-сервера Very Secure FTP Daemon. Модуль аудита файловой системы должен обеспечивать аудит всех файловых операций. Модуль аудита активности пользователей обеспечивает сбор данных об активности пользователей за компьютером. Модуль аудита подключаемых внешних устройств должен протоколировать информацию о файлах, копируемых и запускаемых с подключаемых внешних устройств. Модуль сканирования сети обеспечивает сбор такой информации о компьютерах и устройствах сети, как имена, IP- и MAC-адреса, номера используемых портов, сведения об операционной системе и прочие характеристики объектов сети. Модуль отображения карты инцидентов осуществляет демонстрацию распределения инцидентов по узлам сети и пользователям по указанному временному периоду. Модуль представления статистики отображает в виде графиков и диаграмм сводную статистическую и аналитическую информацию по инцидентам в выбранных срезах. Модуль аудита групповых политик осуществляет сбор информации об изменении групповых политик. Модуль кросс-корреляции событий осуществляет агрегацию событий из различных источников, и выявляет перекрестные корреляции между ними. Модуль создания пользовательских правил осуществляет сбор данных с источников в соответствии с инструкциями скриптов PowerShell. Модуль аудита DHCP-серверов обеспечивает чтение логов на DHCP-сервере посредством выполнения на нем PowerShell скриптов. Требования к характеристикам взаимосвязей Предусмотреть взаимодействие доменов и поддоменов, как связанных, так и не связанных отношениями доверия. Предусмотреть возможность однозначного определения данных сотрудника компании, отправившего информацию, благодаря интеграции с Active Directory: учетной записи пользователя, информации об использованной рабочей станции (имени, IP- и MAC-адреса). Требования к способам и средствам связи для информационного обмена Внедряемая Система должна функционировать в составе информационно-вычислительной сети Заказчика. Система должна работать на платформе Windows server 2016 или Astra Linux 1.7, или Ubuntu Linux 22.04. Система должна корректно работать в сетях доменного типа. Система должна поддерживать виртуальную инфраструктуру (VMware ESX/ESXi). Для информационного обмена между компонентами системы должны использоваться только стандартные унифицированные протоколы семейства TCP/IP и интерфейсы (Ethernet/ Fast Ethernet /Gigabit Ethernet). Требования к режимам функционирования Системы Система должна обеспечивать возможность работы в следующих режимах: ­ штатный режим (непрерывная круглосуточная работа) - основной режим функционирования Системы. ­ сервисный режим (для проведения обслуживания, реконфигурации и модернизации модулей Системы); автономный режим (в случае отсутствия связи с компонентами / источниками Системы или с внешними сетями, для доступа к конфигурационной и архивной информации). Требования по диагностированию Системы Система должна обеспечивать возможность записи в системный журнал информации по служебным событиям и сбоям. Записи в журналах должны содержать информацию, достаточную для установления причины неисправности. Перспективы развития и модернизации Системы Система должна предоставлять возможность расширения функционала за счет наращивания количества источников данных. Система должна допускать наращивание производительности за счет улучшения характеристик технических средств. Система должна обеспечивать возможность модернизации путем замены технического и/или программного обеспечения. Требования к характеристикам, при которых сохраняется целевое назначение Системы Система должна обеспечивать штатное функционирование в случае одновременной работы всех пользователей и источников данных Заказчика на объекте автоматизации. Целевое назначение Системы должно сохраняться на протяжении всего срока эксплуатации системы. Срок эксплуатации системы определяется сроком устойчивой работы технических средств вычислительных комплексов, своевременным проведением работ по замене (обновлению) технических средств, по сопровождению и обновлению программного обеспечения системы (в рамках гарантийного и послегарантийного обслуживания) и его модернизации. Требования к надежности Должна быть обеспечена непрерывность бизнес-процессов Заказчика в случае отказов Системы. Система должна быть реализована таким образом и/или определен комплекс мер и мероприятий, обеспечивающих восстановление ее работоспособности и данных при сбоях силами штатного обслуживающего персонала (предпочтительно) в срок не более 6 рабочих часов. В случае возникновения сбоя технического или программного обеспечения Системы должна быть обеспечена возможность восстановления ее данных и настроек. Система должна обеспечивать функционал автоматического резервного копирования базы данных инцидентов (в том числе на внешний источник данных). Также должна быть предусмотрена возможность восстановления из архива базы инцидентов за определенную дату и/или по выбранному коннектору/правилу. Процедуры настройки работоспособности Системы должны быть описаны и задокументированы в соответствующей эксплуатационной документации на Систему. Требования к модулю сбора и анализа событий Модуль должен обеспечивать настройку и возможность запуска/остановки модулей аудита, осуществляющих сбор событий источников данных. Модуль должен предоставлять конфигурирование, запуск/остановку, создание новых на основе базовых, архивирование правил информационной безопасности. Модуль должен предоставлять возможность поиска инцидентов с учетом фильтрации по периоду времени, пользователям, компьютерам, IP-/MAC-адресам, произведенным операциям, расширениям файлов и др. атрибутам. Модуль должен обеспечивать печать и экспорт инцидентов в форматы HTML, XML, XLS, XLSX, PDF, TXT. Требования к модулю администрирования Модуль должен предоставлять возможность лицензирования Системы. Модуль должен обеспечивать возможность синхронизации с одним или более доменом Active Directory. Модуль должен обеспечивать возможность разграничения прав доступа пользователей в консолях Системы. Модуль должен предоставлять возможность контроля работоспособности Системы. Модуль должен обеспечивать возможность управления службами Системы. Модуль должен предоставлять возможность мониторинга дискового пространства на серверах Системы. Модуль должен предоставлять возможность автоматического оповещения о важных событиях. Модуль должен обеспечивать возможность управления настройками модулей Системы. Требования к модулю хранения данных Модуль должен обеспечивать хранение в БД MongoDB следующих данных модуля сбора и анализа событий SIEM: ­ событий, полученных от источников; ­ зафиксированных инцидентов безопасности; ­ списка пользователей и компьютеров, получаемого модулем администрирования в процессе синхронизации с Active Directory; ­ зафиксированных операций с файлами; ­ данных об активности пользователей в течение рабочего дня; ­ операций с файлами на внешних устройствах. Модуль должен обеспечивать хранение в БД PostgreSQL либо Microsoft SQL Server 2008 R2 SP3 и выше следующих данных модуля администрирования DataCenter: ­ данных по лицензиям; ­ списка объектов Active Directory, полученных в результате синхронизации с контроллером домена; ­ настроек прав доступа пользователей. Требования к модулю аудита журналов контроллера домена Модуль должен обеспечивать настройку параметров подключения к журналам любого количества контроллеров доменов. Модуль должен осуществлять регистрацию событий журналов контроллера домена по следующим правилам: ? Подбор паролей ? Несколько учетных записей на одном ПК ? Задание пароля администратором домена ? Устаревшие пароли ? Статистика входов в систему ? Одна учетная запись на нескольких ПК ? Использование служебных учетных записей сотрудника ? Смена пароля пользователем ? Попытка входа под несуществующим пользователем ? Попытка входа под заблокированным пользователем ? Подбор логина ? Временное переименование учетной записи ? Временное включение учетной записи ? Временное добавление учетной записи в группу ? Устаревшие учетные записи AD ? Временная выдача прав доступа AD ? Создание временной учетной записи ? Операции над учетной записью ? Изменение состава критичных групп пользователей ? Блокировка пользователя ? Очистка журнала событий пользователем ? Изменение политики аудита ? Пользовательское правило ­ AD. Мониторинг. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий журналов контроллера домена согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю аудита СУБД Модуль должен обеспечивать настройку параметров подключения к любому количеству серверов Microsoft SQL, Oracle и PostgreSQL. Модуль должен осуществлять чтение: ? логов сервера Microsoft SQL Server 2008 R2 и выше, ? таблиц баз данных и логов сервера Oracle 12 и выше, ? логов сервера PostgreSQL (PostgreSQL на базе Linux версии 9.6 и выше). Модуль должен осуществлять регистрацию событий сервера MS SQL по следующим правилам: ­ Временное создание учетных данных MS SQL ­ Временное включение учетных данных MS SQL ­ Статистика изменения прав доступа MS SQL ­ Временное включение пользователя в роль безопасности БД ­ Задание пароля учетной записи SQL администратором БД ­ Временное переименование учетных данных MS SQL Модуль должен осуществлять регистрацию событий сервера Oracle по следующим правилам: ? Неудачные попытки входа в систему ? Удачные попытки входа в систему ? Создание пользователя или роли ? Удаление пользователя или роли ? Блокировка/разблокировка пользователя ? Изменения пароля пользователя ? События Listener. Модуль должен осуществлять регистрацию событий сервера PostgreSQL по следующим правилам: ? Добавление прав доступа роли или пользователю ? Изменение атрибутов роли или пользователя ? Ошибку аутентификации пользователя ? Ошибки при работе с PostgreSQL ? Переименование роли или пользователя ? Событие включения пользователя ? Событие выключения пользователя ? Создание роли или пользователя ? Удаление прав доступа роли или пользователя ? Удаление роли или пользователя. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей логов SQL-серверов согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю аудита антивирусов Модуль обеспечивает настройку параметров подключения к любому количеству баз данных Kaspersky Endpoint Security, Symantec EPM, McAfee на сервере Microsoft SQL. Модуль осуществляет подключение к базе данных Kaspersky Endpoint Security 11 и выше, Symantec EPM, McAfee и чтение ее записей. Модуль обеспечивает возможность настройки параметров работы службы и получать события Syslog от антивируса ESET. Модуль осуществляет регистрацию событий антивируса Kaspersky по следующим правилам: Самозащита антивируса заблокировала выполнение программ; Самозащита антивируса отключена; Отключены антивирусные компоненты защиты; Критический статус компьютера; Обнаружена потенциально опасная программа; ?Не удалось выполнить административную задачу управления ?Отсутствует лицензия на антивирус ?Изменение в составе административной группы управления ?Заблокированные и зараженные программы ?Выявлена вирусная эпидемия. Модуль осуществляет регистрацию событий антивируса ESET по следующим правилам: ?Журнал аудита ?События Firewall ?События HIPS ?События Enterprise Inspector ?Обнаруженные угрозы ?Обнаружено повторное заражение ?Обнаружена эпидемия ?Собственное правило ESET ?Остальные события ESET. Модуль осуществляет регистрацию событий антивируса Symantec по следующим правилам: ?Обнаружен вирус ?Выявлена вирусная эпидемия ?Выявлена сетевая атака или использование уязвимости ПО ?Выбранные методы лечения ?События сканирования ?Системные события агента ?Журнал оповещений Symantec. Модуль осуществляет регистрацию событий антивируса McAfee по следующим правилам: ?Выявлена вредоносная программа ?Выявлена шпионская программа ?Выявлена нежелательная программа ?Выявлены прочие угрозы ?Выявлена вирусная эпидемия ?Журнал задач McAfee ?Журнал аудита McAfee ?Компьютеры с установленными агентами (Системы). Модуль предоставляет возможность сохранения событий в собственную базу данных под управлением MongoDB. Требования к модулю аудита журналов регистрации 1С Модуль должен обеспечивать настройку параметров подключения к журналам любого количества серверов 1С:Предприятие версии 8.2 и выше. Модуль должен осуществлять регистрацию событий платформы 1С:Предприятие по следующим правилам: ­ Вход в нерабочие часы ­ Изменение прав доступа к регистрам ­ Изменение прав доступа пользователя ­ Изменение права администрирования пользователя ­ Изменение привилегированного режима пользователя ­ Изменение проведенного документа ­ Изменение состава роли ­ Изменение списка ролей ­ Изменение списка ролей пользователя ­ Использование привилегированного режима ­ Создание нового пользователя ­ Вход под отсутствующим пользователем Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей журналов 1С согласно настройкам правил и оповещать уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю аудита почтовых серверов Модуль должен обеспечивать настройку параметров подключения к любому количеству почтовых серверов Microsoft Exchange и IBM Domino. Модуль должен осуществлять чтение логов почтового сервера Exchange 2010 и выше. Модуль должен осуществлять чтение логов почтового сервера IBM Domino 8.5 и выше. Модуль должен осуществлять регистрацию событий сервера Exchange по следующим правилам: ? Изменение параметров аудита администратора ? Группы ролей управления изменены ? Доступ к почтовому ящику не владельца ? Изменение статуса почтового ящика ? Изменение прав доступа к почтовому ящику ? Изменение состава ролей управления ? Предоставление доступа по Outlook Web App Модуль должен осуществлять регистрацию событий сервера Domino по следующим правилам: ? События центра отслеживания почты ? События почтового журнала ? События маршрутизации почты ? Статистика входа/выхода через WEB ? Ошибки HTTP-запросов ? Блокировка учетной записи Domino ? Подбор паролей ? HTTP-трафик ? Создание сертификатов ? События безопасности ? События журнала DDM ? Прочие события. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей логов серверов MS Exchange и IBM Domino согласно настройкам правил и оповещать уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю аудита событий Syslog Модуль должен обеспечивать настройку параметров работы службы модуля. Модуль должен получать события Syslog от различных аппаратных средств и приложений. Модуль должен различать события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий по следующим правилам: ? Собственные правила Syslog ? События ядра операционной системы ? События пользовательского уровня ? События почтовых систем ? События системных демонов ? События безопасности и авторизации ? Внутренние события Syslog ? События протокола построчной печати ? События новостного протокола ? События подсистем UUCP ? События сервисов времени ? События FTP демонов ? События подсистем NTP ? События журналирования ? Предупреждения журналирования ? События сервисов планирования ? Другие события. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей событий Syslog согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю аудита средств виртуализации Модуль должен обеспечивать настройку параметров работы службы модуля. Модуль должен получать события от средств виртуализации VMware ESX. Модуль должен различать события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий по следующим правилам: ­ События входа/выхода VMview ­ События входа/выхода VMware ­ Неправильные пароли ­ Неудачные попытки входа ­ Создание группы пользователей ­ Смена пароля пользователя ­ Создание/удаление пользователей ­ Удаление снапшотов ­ Удаление директорий VM ­ Остановка/запуск виртуальных машин ­ Удаление виртуальной машины ­ Ошибки соединения с LDAP ­ Перегрев оборудования ­ Прочие события VMware ­ Собственное правило VMware. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий от средств виртуализации VMware ESX согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю аудита сетевых устройств Модуль должен обеспечивать настройку параметров работы службы модуля. Модуль должен получать события от сетевых устройств Cisco. Модуль должен различать события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий по следующим правилам: ­ Ошибки при работе системы ­ Ошибки питания ­ Отказ системы охлаждения ­ Конфликты и ошибки DHCP ­ Ошибки маршрутизации ­ Найден дублирующий ID роутера ­ Сбой аутентификации Wi-Fi ­ Переполнение буфера ­ События входа/выхода в консоль ­ Вход под встроенной учетной записью ­ Вход с повышенными привилегиями ­ Ввод команд ­ Команды write term/write memory ­ Изменения конфигурации ­ Уведомления об атаках ­ Заблокированные DNS запросы ­ События TeamViewer (ASA) ­ Собственное правило Cisco ­ Прочие события Cisco ­ События ACL ­ События фильтрации соединений ­ Сброшенные или не установленные соединения. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий от сетевых устройств Cisco согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю аудита устройств сетевой безопасности Модуль должен обеспечивать настройку параметров работы службы модуля. Модуль должен получать события устройства комплексной сетевой безопасности FortiGate. Модуль должен получать события межсетевого экрана Check Point. Модуль должен получать события межсетевого экрана Palo Alto. Модуль должен различать события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий FortiGate по следующим правилам: ? События журнала Anomaly ? События журнала App ? События журнала AV ? События журнала DLP ? События журнала Email ? События журнала Event ? События журнала GTP ? События журнала IPS ? События журнала Traffic ? События журнала VoIP ? События журнала WAF ? События журнала Web. Модуль должен осуществлять регистрацию событий Check Point по следующим правилам: ? События Identity Awareness ? События Endpoint Security On Demand ? События SecureClient и Edge ? События IPS ? События AntiVirus ? События AntiBot и AntiMalware ? События Threat Emulation ? События AntiSpam ? События URL Filtering ? События Application Control ? События DLP ? События SmartDashboard ? Собственное правило Check Point ? Остальные события Check Point. Модуль должен осуществлять регистрацию событий Palo Alto по следующим правилам: ? События журнала Traffic ? События журнала Thread ? События журнала Config ? События журнала System ? События журнала Hip-match ? События журнала UserID ? События журнала Tunnel Inspection ? События журнала Authentication ? События журнала Correlated. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий от устройств комплексной сетевой безопасности FortiGate, межсетевых экранов Check Point и Palo Alto согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю аудита операционной системы и приложений на базе Linux Модуль обеспечивает настройку параметров работы службы модуля. Модуль получает события Syslog операционной системы Linux, веб-сервера Apache, почтового сервера Postfix и FTP-сервера Very Secure FTP Daemon. Модуль различает события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий Linux по следующим правилам: ?Пользователь не входит в группу sudoers ?Вход с повышенными привилегиями ?Изменение пользовательской оболочки ?Неудачные попытки авторизации ?Консольный вход ROOT ?События входа/выхода ?Открытие/закрытие сессии ?Неуспешные попытки доступа ?Многочисленный сбой аутентификации ?Неправильный пароль ?Вход запрещен ?Не получена строка идентификации ?Пользователь не существует ?Соединение отклонено ?Ошибка обратного сопоставления адреса ?Ошибка создания учетной записи ?Изменение первичной группы пользователя ?Блокировка/разблокировка учетной записи ?Изменение UID пользователя ?Добавление/удаление пользователя в группу ?Переименование учетной записи ?Изменение домашней директории пользователя ?Создание/удаление учетной записи ?Изменение параметров учетной записи?Изменение пароля пользователем ?Отказ передачи зоны DNS ?Отказ при запросе DNS ?Проблема определения PTR NS записи ?Сессия открыта/закрыта ?Замещение заданий Cron ?Запуск задачи ?Удаление пользователя из crontab ?Лог выполнения команд ?Выполнение команды посредством sudo ?Изменение политики паролей ?Недостаточно места на жестком диске ?События DHCP ?Ошибки сегментации ?Операции с shadow ?Создание/удаление группы пользователей ?Изменение пула ресурсов ?Неудачная аутентификация на MySQL ?Собственное правило Linux ?Остальные события Linux. 2. Требования к модулю аудита операционной системы и приложений на базе Linux Модуль должен осуществлять регистрацию событий Apache по следующим правилам: ? Ошибки авторизации ? Пользователь не найден ? Неправильный пароль ? Использована неправильная схема авторизации ? Клиент отклонен в связи с конфигурацией сервера ? Ошибки Nonce ? Неизвестный алгоритм шифрования ? Другие ошибки. Модуль должен осуществлять регистрацию событий Very Secure FTP Daemon по следующим правилам: ? Соединение клиента с FTP ? Скачивание файла с FTP ? Создание файла на FTP ? Удаление файла с FTP ? Удаление директории на FTP ? Создание директории на FTP. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий операционной системы и приложений на базе Linux согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю аудита файловой системы Модуль должен осуществлять сбор данных об операциях с файлами, а также об изменении прав доступа к файлам/папкам. Модуль должен обеспечивать возможность выборки протоколируемых ресурсов (рабочие станции, файл-серверы, отдельные жесткие диски и папки). Модуль должен обеспечивать регистрацию следующих событий с файлами: создание, чтение, запись, удаление, переименование, выполнение, изменение расширения, перемещение, копирование, запрет доступа, изменение прав доступа. Модуль должен осуществлять регистрацию событий по следующим правилам: ? Временная выдача прав на файл/папку ? Обращение к критичным ресурсам ? Большое количество пользователей, работающих с файлом ? Работа с определенными типами файлов ? Статистика изменений прав доступа к файлам/папкам. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ файловых операций согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте, а также в группу Telegram. Требования к модулю аудита активности пользователей Модуль должен протоколировать активность пользователей за компьютерами. Модуль должен обеспечивать регистрацию активности пользователей вне рабочего времени, а также проявление активности пользователем, учетная запись которого была долгое время неактивной. Модуль должен осуществлять регистрацию событий по следующим правилам: ? Активность вне рабочего времени ? Активность давно отсутствующего пользователя. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей активности пользователей за компьютером согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю аудита подключаемых внешних устройств Модуль должен протоколировать информацию о файлах, копируемых и запускаемых с подключаемых внешних устройств. Модуль должен осуществлять регистрацию событий по следующим правилам: ? Копирование на съемное устройство ? Операции с исполнимыми файлами на устройствах ? Выполнение файла со съемного устройства ? Копирование большого числа файлов на съемное устройство ? Копирование большого объема данных на устройство. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ операций с файлами внешних устройств согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю сканирования сети Модуль должен обеспечивать настройку параметров работы службы: количество одновременно запущенных процессов сканирования, тип сканирования, частота запуска сканирования, диапазон сканируемых IP-адресов сети и портов. Модуль должен формировать «слепки» сети с настройками сканирования: даты/времени, режима сканирования, продолжительности процесса и количества найденных устройств. К списку «слепков» должны быть применимы фильтры. Модуль должен формировать список объектов сети, найденных в результате последнего сканирования, а также определять тип устройства, операционную систему, IP- и MAC-адрес, количество и номера портов, которые на них открыты. К списку устройств должны быть применимы фильтры. В результате углубленного сканирования модуль должен формировать перечень найденных открытых портов с указанием количества устройств, на которых они открыты. К списку портов должны быть применимы фильтры. Модуль должен предусматривать объединение выбранных устройств сети в пользовательскую группу. Требования к модулю отображения карты инцидентов Модуль должен в графическом виде отображать распределение инцидентов по узлам сети и пользователям. Модуль должен давать возможность просмотреть статистику инцидентов в разрезе коннекторов и конкретных правил. Модуль должен предоставлять выбор, по какому коннектору(-ам) отобразить инциденты. Модуль должен предоставлять возможность поиска как по узлу сети, так и по имени пользователя. Модуль должен предоставлять возможность фильтрации отображения по количеству инцидентов и/или по диапазону дат. Требования к модулю представления статистики Модуль должен предоставлять статистическую информацию по инцидентам в графическом виде. Представление должно быть возможно в виде графиков и диаграмм или других уместных форм графического представления. Пользователь должен иметь возможность отобразить на одном дашборде любое необходимое количество графических виджетов. Модуль должен давать возможность отобразить детализированную информацию по любому виджету на все окно. Модуль должен осуществлять автоматическое обновление данных в представленных виджетах. Модуль должен давать возможность настроить частоту обновления данных как для каждого виджета отдельно, так и для всех виджетов сразу. Модуль должен давать возможность настроить фильтрацию данных для виджетов по используемым параметрам (дата, коннектор, правило, пользователь и др.). Модуль должен давать возможность выносить графическое представление в отдельное окно. Требования к модулю аудита групповых политик Модуль должен осуществлять подключение и сбор данных из журналов групповых политик по следующим правилам: ? Делегирование разрешений для GPO ? Изменение настроек GPO ? Изменение состояний GPO ? Изменение списка GPO ? Применение GPO к подразделениям. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий групповых политик согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю кросс-корреляции событий Модуль должен осуществлять агрегацию событий, регистрируемых другими модулями. Модуль должен предоставлять возможность создания пользовательских правил кросс-корреляции на основании агрегируемых событий. Модуль должен позволять создавать правила, формирующие инциденты на основании двух или трех событий от одного или разных источников. Модуль должен иметь графический интерфейс создания пользовательских правил, не требующий от пользователя знания языков программирования. Модуль должен позволять настраивать триггеры формирования инцидентов на уровне коннектора, события и атрибутов события. Модуль должен позволять задавать временной интервал, в рамках которого должны происходить события для формирования инцидента. Требования к модулю создания пользовательских правил Модуль должен предоставлять сбор событий с источников данных в соответствии с инструкциями скриптов PowerShell. При создании пользовательских правил модуль должен предусматривать: ? Выбор для правила предустановленных шаблонов скриптов; ? Редактирование выбранных шаблонов скриптов и возможность их сохранения с целью дальнейшего использования; ? Ввод скриптов PowerShell вручную; ? Проверку корректности скрипта. Модуль должен предусматривать возможность как локального выполнения скриптов PowerShell, так и удаленного. Модуль должен позволять настройку расписания запуска скрипта на источнике данных. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий согласно настройкам пользовательских правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. Требования к модулю аудита DHCP-серверов Модуль должен обеспечивать чтение логов на DHCP-сервере посредством выполнения на нем PowerShell скриптов. В настройках правил должна быть предусмотрена возможность указания событий, которые необходимо получать от источника данных. Модуль должен осуществлять сбор событий по следующим встроенным правилам: ? События по протоколу IPv4 ? События по протоколу IPv6. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать чтение логов DHCP-сервера согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. 3. Требования к модулю аудита операционной системы и приложений на базе Linux Модуль должен осуществлять регистрацию событий Postfix по следующим правилам: ? Ошибка верификации отправителя ? Ошибка определения имени домена получателя ? Ошибки SSL соединений ? Потеря соединения после AUTH команды ? Многочисленные ошибки после команды AUTH ? Ошибка определения адреса ? Имя хоста отправителя не найдено ? Доступ к релею запрещен ? Неизвестное SMTP соединение ? Статистика max connection rate ? Неудачная попытка аутентификации ? События с неизвестным пользователем ? Попытка отправить почту на неизвестный домен ? Вход с неизвестного источника. 2. Требования к модулю аудита антивирусов Модуль должен обеспечивать анализ записей баз данных KES, Symantec EPM, McAfee и событий Syslog ESET согласно настройкам правил и оповещать уполномоченных лиц об имеющихся инцидентах по электронной почте. - Наименование характеристики - Значение характеристики - Единица измерения характеристики - Способ предоставления - Удаленный доступ через информационно-телекоммуникационные сети, в том числе через информационно-телекоммуникационную сеть Интернет - - Класс программ для электронных вычислительных машин и баз данных - (03.02) Средства управления событиями информационной безопасности - - Информационная сеть Заказчика включает в себя, рабочих станций - ? 27 - - Модули - Модуль сбора и анализа событий; Модуль администрирования; Модуль хранения данных; Модуль аудита журналов контроллера домена; Модуль аудита СУБД; Модуль аудита антивирусов; Модуль аудита журналов регистрации 1С; Модуль аудита почтовых серверов; Модуль аудита событий Syslog; Модуль аудита средств виртуализации; Модуль аудита сетевых устройств; Модуль аудита устройств сетевой безопасности; Модуль аудита событий операционной системы и приложений на базе Linux; Модуль аудита файловой системы; Модуль аудита активности пользователей; Модуль аудита подключаемых внешних устройств; Модуль сканирования сети; Модуль отображения карты инцидентов; Модуль представления статистики; Модуль аудита групповых политик; Модуль кросс-корреляции событий; Модуль создания пользовательских правил; Модуль аудита DHCP-серверов. - - Требования к системе в целом - Система имеет удобный и понятный пользовательский интерфейс, где все сообщения и документация должны быть на русском языке. Система должна поддерживать сбор и анализ следующих данных: событий журналов контроллера домена, Windows Event Log; логов и баз данных СУБД; баз данных и событий Syslog антивирусов; событий журналов регистрации 1С; логов почтовых серверов; логов DHCP-серверов; событий Syslog; событий средств виртуализации; событий сетевых устройств; событий устройств сетевой безопасности; событий операционной системы Linux и приложений на базе Linux; файловых операций пользователей на компьютерах и файловых серверах; активности пользователей за компьютером; операций с файлами на подключаемых внешних устройствах; сведений о сетевых ресурсах – имена, IP- и MAC-адреса, используемые порты, операционная система. Система должна предполагать возможность сбора данных с каждого из перечисленных источников в отдельности. Система должна осуществлять формирование инцидентов ИБ как на основании данных из одного источника, так и на основании данных из разных источников. Подсчет количества лицензий в Системе должен осуществляться только по узлам сети вне зависимости от количества обрабатываемых событий в единицу времени. Система должна обеспечивать ограничение прав доступа к собранной информации и настройкам системы. Система должна поддерживать ролевую модель доступа к данным. Система не должна накладывать ограничений на нормальное функционирование серверов и рабочих станций Заказчика. Система не должна ухудшать основные функциональные характеристики ИС (надежность, быстродействие, возможность изменения конфигурации, удобство использования). Система обладает характеристиками масштабирования и отказоустойчивости. Система обеспечивает возможность автоматического резервного копирования базы данных инцидентов ИБ и ее восстановления. Система обеспечивает интеграцию в существующую у Заказчика вычислительную сеть без изменения топологии сети. Система имеет сертификат ФСТЭК. - - Требования к структуре Системы - В состав Системы должны входить основные логические модули: ? модуль сбора и анализа событий; ? модуль администрирования; ? модуль хранения данных; ? модуль аудита журналов контроллера домена; ? модуль аудита СУБД; ? модуль аудита антивирусов; ? модуль аудита журналов регистрации 1С; ? модуль аудита почтовых серверов; ? модуль аудита событий Syslog; ? модуль аудита средств виртуализации; ? модуль аудита сетевых устройств; ? модуль аудита устройств сетевой безопасности; ? модуль аудита событий операционной системы и приложений на базе Linux; ? модуль аудита файловой системы; ? модуль аудита активности пользователей; ? модуль аудита подключаемых внешних устройств; ? модуль сканирования сети; ? модуль отображения карты инцидентов; ? модуль представления статистики; ? модуль аудита групповых политик; ? модуль кросс-корреляции событий; ? модуль создания пользовательских правил; ? модуль аудита DHCP-серверов. - - 1. Требования к функционированию Системы - Модуль сбора и анализа событий должен предоставлять возможности настройки параметров работы, чтения событий источников данных и их анализа с целью выявления угроз и нарушений правил информационной безопасности. Модуль администрирования должен обеспечивать лицензирование Системы, синхронизацию с Active Directory, управление настройками разграничения прав доступа пользователей, управление настройками и контроль работоспособности всех модулей Системы. Модуль хранения должен обеспечивать: ­ запись и хранение в базах данных MongoDB версии 4.0.13 или ниже информации, полученной модулем сбора событий; ­ запись и хранение в базах данных PostgreSQL либо Microsoft SQL Server 2008 R2 SP3 и выше информации, полученной модулем администрирования. Модуль аудита журналов контроллера домена отвечает за сбор и анализ событий журналов контроллера домена. Модуль аудита СУБД обеспечивает чтение логов серверов Microsoft SQL Server, чтение таблиц баз данных и логов серверов Oracle, а также чтение логов серверов PostgreSQL. Модуль аудита антивирусов осуществляет подключение к базам данных антивирусов Kaspersky, Symantec, McAfee и чтение их записей, а также сбор событий Syslog антивируса ESET. Модуль аудита журналов регистрации 1С обеспечивает сбор и анализ событий журналов приложения 1С:Предприятие. Модуль аудита почтовых серверов обеспечивает чтение логов почтовых серверов Exchange и IBM Domino. Модуль аудита событий Syslog осуществляет сбор событий системных журналов аппаратных устройств (серверов, роутеров, принтеров и т.п.) и приложений. Модуль аудита средств виртуализации обеспечивает сбор событий VMware ESX. Модуль аудита сетевых устройств обеспечивает сбор событий сетевых устройств Cisco. Модуль аудита устройств сетевой безопасности обеспечивает сбор событий устройств комплексной сетевой безопасности FortiGate, межсетевых экранов Check Point и Palo Alto. - - 2. Требования к функционированию Системы - Модуль аудита событий операционной системы приложений на базе Linux осуществляет сбор событий ОС Linux, веб-сервера Apache, почтового сервера Postfix и FTP-сервера Very Secure FTP Daemon. Модуль аудита файловой системы должен обеспечивать аудит всех файловых операций. Модуль аудита активности пользователей обеспечивает сбор данных об активности пользователей за компьютером. Модуль аудита подключаемых внешних устройств должен протоколировать информацию о файлах, копируемых и запускаемых с подключаемых внешних устройств. Модуль сканирования сети обеспечивает сбор такой информации о компьютерах и устройствах сети, как имена, IP- и MAC-адреса, номера используемых портов, сведения об операционной системе и прочие характеристики объектов сети. Модуль отображения карты инцидентов осуществляет демонстрацию распределения инцидентов по узлам сети и пользователям по указанному временному периоду. Модуль представления статистики отображает в виде графиков и диаграмм сводную статистическую и аналитическую информацию по инцидентам в выбранных срезах. Модуль аудита групповых политик осуществляет сбор информации об изменении групповых политик. Модуль кросс-корреляции событий осуществляет агрегацию событий из различных источников, и выявляет перекрестные корреляции между ними. Модуль создания пользовательских правил осуществляет сбор данных с источников в соответствии с инструкциями скриптов PowerShell. Модуль аудита DHCP-серверов обеспечивает чтение логов на DHCP-сервере посредством выполнения на нем PowerShell скриптов. - - Требования к характеристикам взаимосвязей - Предусмотреть взаимодействие доменов и поддоменов, как связанных, так и не связанных отношениями доверия. Предусмотреть возможность однозначного определения данных сотрудника компании, отправившего информацию, благодаря интеграции с Active Directory: учетной записи пользователя, информации об использованной рабочей станции (имени, IP- и MAC-адреса). - - Требования к способам и средствам связи для информационного обмена - Внедряемая Система должна функционировать в составе информационно-вычислительной сети Заказчика. Система должна работать на платформе Windows server 2016 или Astra Linux 1.7, или Ubuntu Linux 22.04. Система должна корректно работать в сетях доменного типа. Система должна поддерживать виртуальную инфраструктуру (VMware ESX/ESXi). Для информационного обмена между компонентами системы должны использоваться только стандартные унифицированные протоколы семейства TCP/IP и интерфейсы (Ethernet/ Fast Ethernet /Gigabit Ethernet). - - Требования к режимам функционирования Системы - Система должна обеспечивать возможность работы в следующих режимах: ­ штатный режим (непрерывная круглосуточная работа) - основной режим функционирования Системы. ­ сервисный режим (для проведения обслуживания, реконфигурации и модернизации модулей Системы); автономный режим (в случае отсутствия связи с компонентами / источниками Системы или с внешними сетями, для доступа к конфигурационной и архивной информации). - - Требования по диагностированию Системы - Система должна обеспечивать возможность записи в системный журнал информации по служебным событиям и сбоям. Записи в журналах должны содержать информацию, достаточную для установления причины неисправности. - - Перспективы развития и модернизации Системы - Система должна предоставлять возможность расширения функционала за счет наращивания количества источников данных. Система должна допускать наращивание производительности за счет улучшения характеристик технических средств. Система должна обеспечивать возможность модернизации путем замены технического и/или программного обеспечения. - - Требования к характеристикам, при которых сохраняется целевое назначение Системы - Система должна обеспечивать штатное функционирование в случае одновременной работы всех пользователей и источников данных Заказчика на объекте автоматизации. Целевое назначение Системы должно сохраняться на протяжении всего срока эксплуатации системы. Срок эксплуатации системы определяется сроком устойчивой работы технических средств вычислительных комплексов, своевременным проведением работ по замене (обновлению) технических средств, по сопровождению и обновлению программного обеспечения системы (в рамках гарантийного и послегарантийного обслуживания) и его модернизации. - - Требования к надежности - Должна быть обеспечена непрерывность бизнес-процессов Заказчика в случае отказов Системы. Система должна быть реализована таким образом и/или определен комплекс мер и мероприятий, обеспечивающих восстановление ее работоспособности и данных при сбоях силами штатного обслуживающего персонала (предпочтительно) в срок не более 6 рабочих часов. В случае возникновения сбоя технического или программного обеспечения Системы должна быть обеспечена возможность восстановления ее данных и настроек. Система должна обеспечивать функционал автоматического резервного копирования базы данных инцидентов (в том числе на внешний источник данных). Также должна быть предусмотрена возможность восстановления из архива базы инцидентов за определенную дату и/или по выбранному коннектору/правилу. Процедуры настройки работоспособности Системы должны быть описаны и задокументированы в соответствующей эксплуатационной документации на Систему. - - Требования к модулю сбора и анализа событий - Модуль должен обеспечивать настройку и возможность запуска/остановки модулей аудита, осуществляющих сбор событий источников данных. Модуль должен предоставлять конфигурирование, запуск/остановку, создание новых на основе базовых, архивирование правил информационной безопасности. Модуль должен предоставлять возможность поиска инцидентов с учетом фильтрации по периоду времени, пользователям, компьютерам, IP-/MAC-адресам, произведенным операциям, расширениям файлов и др. атрибутам. Модуль должен обеспечивать печать и экспорт инцидентов в форматы HTML, XML, XLS, XLSX, PDF, TXT. - - Требования к модулю администрирования - Модуль должен предоставлять возможность лицензирования Системы. Модуль должен обеспечивать возможность синхронизации с одним или более доменом Active Directory. Модуль должен обеспечивать возможность разграничения прав доступа пользователей в консолях Системы. Модуль должен предоставлять возможность контроля работоспособности Системы. Модуль должен обеспечивать возможность управления службами Системы. Модуль должен предоставлять возможность мониторинга дискового пространства на серверах Системы. Модуль должен предоставлять возможность автоматического оповещения о важных событиях. Модуль должен обеспечивать возможность управления настройками модулей Системы. - - Требования к модулю хранения данных - Модуль должен обеспечивать хранение в БД MongoDB следующих данных модуля сбора и анализа событий SIEM: ­ событий, полученных от источников; ­ зафиксированных инцидентов безопасности; ­ списка пользователей и компьютеров, получаемого модулем администрирования в процессе синхронизации с Active Directory; ­ зафиксированных операций с файлами; ­ данных об активности пользователей в течение рабочего дня; ­ операций с файлами на внешних устройствах. Модуль должен обеспечивать хранение в БД PostgreSQL либо Microsoft SQL Server 2008 R2 SP3 и выше следующих данных модуля администрирования DataCenter: ­ данных по лицензиям; ­ списка объектов Active Directory, полученных в результате синхронизации с контроллером домена; ­ настроек прав доступа пользователей. - - Требования к модулю аудита журналов контроллера домена - Модуль должен обеспечивать настройку параметров подключения к журналам любого количества контроллеров доменов. Модуль должен осуществлять регистрацию событий журналов контроллера домена по следующим правилам: ? Подбор паролей ? Несколько учетных записей на одном ПК ? Задание пароля администратором домена ? Устаревшие пароли ? Статистика входов в систему ? Одна учетная запись на нескольких ПК ? Использование служебных учетных записей сотрудника ? Смена пароля пользователем ? Попытка входа под несуществующим пользователем ? Попытка входа под заблокированным пользователем ? Подбор логина ? Временное переименование учетной записи ? Временное включение учетной записи ? Временное добавление учетной записи в группу ? Устаревшие учетные записи AD ? Временная выдача прав доступа AD ? Создание временной учетной записи ? Операции над учетной записью ? Изменение состава критичных групп пользователей ? Блокировка пользователя ? Очистка журнала событий пользователем ? Изменение политики аудита ? Пользовательское правило ­ AD. Мониторинг. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий журналов контроллера домена согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю аудита СУБД - Модуль должен обеспечивать настройку параметров подключения к любому количеству серверов Microsoft SQL, Oracle и PostgreSQL. Модуль должен осуществлять чтение: ? логов сервера Microsoft SQL Server 2008 R2 и выше, ? таблиц баз данных и логов сервера Oracle 12 и выше, ? логов сервера PostgreSQL (PostgreSQL на базе Linux версии 9.6 и выше). Модуль должен осуществлять регистрацию событий сервера MS SQL по следующим правилам: ­ Временное создание учетных данных MS SQL ­ Временное включение учетных данных MS SQL ­ Статистика изменения прав доступа MS SQL ­ Временное включение пользователя в роль безопасности БД ­ Задание пароля учетной записи SQL администратором БД ­ Временное переименование учетных данных MS SQL Модуль должен осуществлять регистрацию событий сервера Oracle по следующим правилам: ? Неудачные попытки входа в систему ? Удачные попытки входа в систему ? Создание пользователя или роли ? Удаление пользователя или роли ? Блокировка/разблокировка пользователя ? Изменения пароля пользователя ? События Listener. Модуль должен осуществлять регистрацию событий сервера PostgreSQL по следующим правилам: ? Добавление прав доступа роли или пользователю ? Изменение атрибутов роли или пользователя ? Ошибку аутентификации пользователя ? Ошибки при работе с PostgreSQL ? Переименование роли или пользователя ? Событие включения пользователя ? Событие выключения пользователя ? Создание роли или пользователя ? Удаление прав доступа роли или пользователя ? Удаление роли или пользователя. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей логов SQL-серверов согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю аудита антивирусов - Модуль обеспечивает настройку параметров подключения к любому количеству баз данных Kaspersky Endpoint Security, Symantec EPM, McAfee на сервере Microsoft SQL. Модуль осуществляет подключение к базе данных Kaspersky Endpoint Security 11 и выше, Symantec EPM, McAfee и чтение ее записей. Модуль обеспечивает возможность настройки параметров работы службы и получать события Syslog от антивируса ESET. Модуль осуществляет регистрацию событий антивируса Kaspersky по следующим правилам: Самозащита антивируса заблокировала выполнение программ; Самозащита антивируса отключена; Отключены антивирусные компоненты защиты; Критический статус компьютера; Обнаружена потенциально опасная программа; ?Не удалось выполнить административную задачу управления ?Отсутствует лицензия на антивирус ?Изменение в составе административной группы управления ?Заблокированные и зараженные программы ?Выявлена вирусная эпидемия. Модуль осуществляет регистрацию событий антивируса ESET по следующим правилам: ?Журнал аудита ?События Firewall ?События HIPS ?События Enterprise Inspector ?Обнаруженные угрозы ?Обнаружено повторное заражение ?Обнаружена эпидемия ?Собственное правило ESET ?Остальные события ESET. Модуль осуществляет регистрацию событий антивируса Symantec по следующим правилам: ?Обнаружен вирус ?Выявлена вирусная эпидемия ?Выявлена сетевая атака или использование уязвимости ПО ?Выбранные методы лечения ?События сканирования ?Системные события агента ?Журнал оповещений Symantec. Модуль осуществляет регистрацию событий антивируса McAfee по следующим правилам: ?Выявлена вредоносная программа ?Выявлена шпионская программа ?Выявлена нежелательная программа ?Выявлены прочие угрозы ?Выявлена вирусная эпидемия ?Журнал задач McAfee ?Журнал аудита McAfee ?Компьютеры с установленными агентами (Системы). Модуль предоставляет возможность сохранения событий в собственную базу данных под управлением MongoDB. - - Требования к модулю аудита журналов регистрации 1С - Модуль должен обеспечивать настройку параметров подключения к журналам любого количества серверов 1С:Предприятие версии 8.2 и выше. Модуль должен осуществлять регистрацию событий платформы 1С:Предприятие по следующим правилам: ­ Вход в нерабочие часы ­ Изменение прав доступа к регистрам ­ Изменение прав доступа пользователя ­ Изменение права администрирования пользователя ­ Изменение привилегированного режима пользователя ­ Изменение проведенного документа ­ Изменение состава роли ­ Изменение списка ролей ­ Изменение списка ролей пользователя ­ Использование привилегированного режима ­ Создание нового пользователя ­ Вход под отсутствующим пользователем Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей журналов 1С согласно настройкам правил и оповещать уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю аудита почтовых серверов - Модуль должен обеспечивать настройку параметров подключения к любому количеству почтовых серверов Microsoft Exchange и IBM Domino. Модуль должен осуществлять чтение логов почтового сервера Exchange 2010 и выше. Модуль должен осуществлять чтение логов почтового сервера IBM Domino 8.5 и выше. Модуль должен осуществлять регистрацию событий сервера Exchange по следующим правилам: ? Изменение параметров аудита администратора ? Группы ролей управления изменены ? Доступ к почтовому ящику не владельца ? Изменение статуса почтового ящика ? Изменение прав доступа к почтовому ящику ? Изменение состава ролей управления ? Предоставление доступа по Outlook Web App Модуль должен осуществлять регистрацию событий сервера Domino по следующим правилам: ? События центра отслеживания почты ? События почтового журнала ? События маршрутизации почты ? Статистика входа/выхода через WEB ? Ошибки HTTP-запросов ? Блокировка учетной записи Domino ? Подбор паролей ? HTTP-трафик ? Создание сертификатов ? События безопасности ? События журнала DDM ? Прочие события. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей логов серверов MS Exchange и IBM Domino согласно настройкам правил и оповещать уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю аудита событий Syslog - Модуль должен обеспечивать настройку параметров работы службы модуля. Модуль должен получать события Syslog от различных аппаратных средств и приложений. Модуль должен различать события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий по следующим правилам: ? Собственные правила Syslog ? События ядра операционной системы ? События пользовательского уровня ? События почтовых систем ? События системных демонов ? События безопасности и авторизации ? Внутренние события Syslog ? События протокола построчной печати ? События новостного протокола ? События подсистем UUCP ? События сервисов времени ? События FTP демонов ? События подсистем NTP ? События журналирования ? Предупреждения журналирования ? События сервисов планирования ? Другие события. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей событий Syslog согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю аудита средств виртуализации - Модуль должен обеспечивать настройку параметров работы службы модуля. Модуль должен получать события от средств виртуализации VMware ESX. Модуль должен различать события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий по следующим правилам: ­ События входа/выхода VMview ­ События входа/выхода VMware ­ Неправильные пароли ­ Неудачные попытки входа ­ Создание группы пользователей ­ Смена пароля пользователя ­ Создание/удаление пользователей ­ Удаление снапшотов ­ Удаление директорий VM ­ Остановка/запуск виртуальных машин ­ Удаление виртуальной машины ­ Ошибки соединения с LDAP ­ Перегрев оборудования ­ Прочие события VMware ­ Собственное правило VMware. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий от средств виртуализации VMware ESX согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю аудита сетевых устройств - Модуль должен обеспечивать настройку параметров работы службы модуля. Модуль должен получать события от сетевых устройств Cisco. Модуль должен различать события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий по следующим правилам: ­ Ошибки при работе системы ­ Ошибки питания ­ Отказ системы охлаждения ­ Конфликты и ошибки DHCP ­ Ошибки маршрутизации ­ Найден дублирующий ID роутера ­ Сбой аутентификации Wi-Fi ­ Переполнение буфера ­ События входа/выхода в консоль ­ Вход под встроенной учетной записью ­ Вход с повышенными привилегиями ­ Ввод команд ­ Команды write term/write memory ­ Изменения конфигурации ­ Уведомления об атаках ­ Заблокированные DNS запросы ­ События TeamViewer (ASA) ­ Собственное правило Cisco ­ Прочие события Cisco ­ События ACL ­ События фильтрации соединений ­ Сброшенные или не установленные соединения. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий от сетевых устройств Cisco согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю аудита устройств сетевой безопасности - Модуль должен обеспечивать настройку параметров работы службы модуля. Модуль должен получать события устройства комплексной сетевой безопасности FortiGate. Модуль должен получать события межсетевого экрана Check Point. Модуль должен получать события межсетевого экрана Palo Alto. Модуль должен различать события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий FortiGate по следующим правилам: ? События журнала Anomaly ? События журнала App ? События журнала AV ? События журнала DLP ? События журнала Email ? События журнала Event ? События журнала GTP ? События журнала IPS ? События журнала Traffic ? События журнала VoIP ? События журнала WAF ? События журнала Web. Модуль должен осуществлять регистрацию событий Check Point по следующим правилам: ? События Identity Awareness ? События Endpoint Security On Demand ? События SecureClient и Edge ? События IPS ? События AntiVirus ? События AntiBot и AntiMalware ? События Threat Emulation ? События AntiSpam ? События URL Filtering ? События Application Control ? События DLP ? События SmartDashboard ? Собственное правило Check Point ? Остальные события Check Point. Модуль должен осуществлять регистрацию событий Palo Alto по следующим правилам: ? События журнала Traffic ? События журнала Thread ? События журнала Config ? События журнала System ? События журнала Hip-match ? События журнала UserID ? События журнала Tunnel Inspection ? События журнала Authentication ? События журнала Correlated. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий от устройств комплексной сетевой безопасности FortiGate, межсетевых экранов Check Point и Palo Alto согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю аудита операционной системы и приложений на базе Linux - Модуль обеспечивает настройку параметров работы службы модуля. Модуль получает события Syslog операционной системы Linux, веб-сервера Apache, почтового сервера Postfix и FTP-сервера Very Secure FTP Daemon. Модуль различает события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий Linux по следующим правилам: ?Пользователь не входит в группу sudoers ?Вход с повышенными привилегиями ?Изменение пользовательской оболочки ?Неудачные попытки авторизации ?Консольный вход ROOT ?События входа/выхода ?Открытие/закрытие сессии ?Неуспешные попытки доступа ?Многочисленный сбой аутентификации ?Неправильный пароль ?Вход запрещен ?Не получена строка идентификации ?Пользователь не существует ?Соединение отклонено ?Ошибка обратного сопоставления адреса ?Ошибка создания учетной записи ?Изменение первичной группы пользователя ?Блокировка/разблокировка учетной записи ?Изменение UID пользователя ?Добавление/удаление пользователя в группу ?Переименование учетной записи ?Изменение домашней директории пользователя ?Создание/удаление учетной записи ?Изменение параметров учетной записи?Изменение пароля пользователем ?Отказ передачи зоны DNS ?Отказ при запросе DNS ?Проблема определения PTR NS записи ?Сессия открыта/закрыта ?Замещение заданий Cron ?Запуск задачи ?Удаление пользователя из crontab ?Лог выполнения команд ?Выполнение команды посредством sudo ?Изменение политики паролей ?Недостаточно места на жестком диске ?События DHCP ?Ошибки сегментации ?Операции с shadow ?Создание/удаление группы пользователей ?Изменение пула ресурсов ?Неудачная аутентификация на MySQL ?Собственное правило Linux ?Остальные события Linux. - - 2. Требования к модулю аудита операционной системы и приложений на базе Linux - Модуль должен осуществлять регистрацию событий Apache по следующим правилам: ? Ошибки авторизации ? Пользователь не найден ? Неправильный пароль ? Использована неправильная схема авторизации ? Клиент отклонен в связи с конфигурацией сервера ? Ошибки Nonce ? Неизвестный алгоритм шифрования ? Другие ошибки. Модуль должен осуществлять регистрацию событий Very Secure FTP Daemon по следующим правилам: ? Соединение клиента с FTP ? Скачивание файла с FTP ? Создание файла на FTP ? Удаление файла с FTP ? Удаление директории на FTP ? Создание директории на FTP. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий операционной системы и приложений на базе Linux согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю аудита файловой системы - Модуль должен осуществлять сбор данных об операциях с файлами, а также об изменении прав доступа к файлам/папкам. Модуль должен обеспечивать возможность выборки протоколируемых ресурсов (рабочие станции, файл-серверы, отдельные жесткие диски и папки). Модуль должен обеспечивать регистрацию следующих событий с файлами: создание, чтение, запись, удаление, переименование, выполнение, изменение расширения, перемещение, копирование, запрет доступа, изменение прав доступа. Модуль должен осуществлять регистрацию событий по следующим правилам: ? Временная выдача прав на файл/папку ? Обращение к критичным ресурсам ? Большое количество пользователей, работающих с файлом ? Работа с определенными типами файлов ? Статистика изменений прав доступа к файлам/папкам. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ файловых операций согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте, а также в группу Telegram. - - Требования к модулю аудита активности пользователей - Модуль должен протоколировать активность пользователей за компьютерами. Модуль должен обеспечивать регистрацию активности пользователей вне рабочего времени, а также проявление активности пользователем, учетная запись которого была долгое время неактивной. Модуль должен осуществлять регистрацию событий по следующим правилам: ? Активность вне рабочего времени ? Активность давно отсутствующего пользователя. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей активности пользователей за компьютером согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю аудита подключаемых внешних устройств - Модуль должен протоколировать информацию о файлах, копируемых и запускаемых с подключаемых внешних устройств. Модуль должен осуществлять регистрацию событий по следующим правилам: ? Копирование на съемное устройство ? Операции с исполнимыми файлами на устройствах ? Выполнение файла со съемного устройства ? Копирование большого числа файлов на съемное устройство ? Копирование большого объема данных на устройство. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ операций с файлами внешних устройств согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю сканирования сети - Модуль должен обеспечивать настройку параметров работы службы: количество одновременно запущенных процессов сканирования, тип сканирования, частота запуска сканирования, диапазон сканируемых IP-адресов сети и портов. Модуль должен формировать «слепки» сети с настройками сканирования: даты/времени, режима сканирования, продолжительности процесса и количества найденных устройств. К списку «слепков» должны быть применимы фильтры. Модуль должен формировать список объектов сети, найденных в результате последнего сканирования, а также определять тип устройства, операционную систему, IP- и MAC-адрес, количество и номера портов, которые на них открыты. К списку устройств должны быть применимы фильтры. В результате углубленного сканирования модуль должен формировать перечень найденных открытых портов с указанием количества устройств, на которых они открыты. К списку портов должны быть применимы фильтры. Модуль должен предусматривать объединение выбранных устройств сети в пользовательскую группу. - - Требования к модулю отображения карты инцидентов - Модуль должен в графическом виде отображать распределение инцидентов по узлам сети и пользователям. Модуль должен давать возможность просмотреть статистику инцидентов в разрезе коннекторов и конкретных правил. Модуль должен предоставлять выбор, по какому коннектору(-ам) отобразить инциденты. Модуль должен предоставлять возможность поиска как по узлу сети, так и по имени пользователя. Модуль должен предоставлять возможность фильтрации отображения по количеству инцидентов и/или по диапазону дат. - - Требования к модулю представления статистики - Модуль должен предоставлять статистическую информацию по инцидентам в графическом виде. Представление должно быть возможно в виде графиков и диаграмм или других уместных форм графического представления. Пользователь должен иметь возможность отобразить на одном дашборде любое необходимое количество графических виджетов. Модуль должен давать возможность отобразить детализированную информацию по любому виджету на все окно. Модуль должен осуществлять автоматическое обновление данных в представленных виджетах. Модуль должен давать возможность настроить частоту обновления данных как для каждого виджета отдельно, так и для всех виджетов сразу. Модуль должен давать возможность настроить фильтрацию данных для виджетов по используемым параметрам (дата, коннектор, правило, пользователь и др.). Модуль должен давать возможность выносить графическое представление в отдельное окно. - - Требования к модулю аудита групповых политик - Модуль должен осуществлять подключение и сбор данных из журналов групповых политик по следующим правилам: ? Делегирование разрешений для GPO ? Изменение настроек GPO ? Изменение состояний GPO ? Изменение списка GPO ? Применение GPO к подразделениям. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий групповых политик согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю кросс-корреляции событий - Модуль должен осуществлять агрегацию событий, регистрируемых другими модулями. Модуль должен предоставлять возможность создания пользовательских правил кросс-корреляции на основании агрегируемых событий. Модуль должен позволять создавать правила, формирующие инциденты на основании двух или трех событий от одного или разных источников. Модуль должен иметь графический интерфейс создания пользовательских правил, не требующий от пользователя знания языков программирования. Модуль должен позволять настраивать триггеры формирования инцидентов на уровне коннектора, события и атрибутов события. Модуль должен позволять задавать временной интервал, в рамках которого должны происходить события для формирования инцидента. - - Требования к модулю создания пользовательских правил - Модуль должен предоставлять сбор событий с источников данных в соответствии с инструкциями скриптов PowerShell. При создании пользовательских правил модуль должен предусматривать: ? Выбор для правила предустановленных шаблонов скриптов; ? Редактирование выбранных шаблонов скриптов и возможность их сохранения с целью дальнейшего использования; ? Ввод скриптов PowerShell вручную; ? Проверку корректности скрипта. Модуль должен предусматривать возможность как локального выполнения скриптов PowerShell, так и удаленного. Модуль должен позволять настройку расписания запуска скрипта на источнике данных. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий согласно настройкам пользовательских правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. - - Требования к модулю аудита DHCP-серверов - Модуль должен обеспечивать чтение логов на DHCP-сервере посредством выполнения на нем PowerShell скриптов. В настройках правил должна быть предусмотрена возможность указания событий, которые необходимо получать от источника данных. Модуль должен осуществлять сбор событий по следующим встроенным правилам: ? События по протоколу IPv4 ? События по протоколу IPv6. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать чтение логов DHCP-сервера согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. - - 3. Требования к модулю аудита операционной системы и приложений на базе Linux - Модуль должен осуществлять регистрацию событий Postfix по следующим правилам: ? Ошибка верификации отправителя ? Ошибка определения имени домена получателя ? Ошибки SSL соединений ? Потеря соединения после AUTH команды ? Многочисленные ошибки после команды AUTH ? Ошибка определения адреса ? Имя хоста отправителя не найдено ? Доступ к релею запрещен ? Неизвестное SMTP соединение ? Статистика max connection rate ? Неудачная попытка аутентификации ? События с неизвестным пользователем ? Попытка отправить почту на неизвестный домен ? Вход с неизвестного источника. - - 2. Требования к модулю аудита антивирусов - Модуль должен обеспечивать анализ записей баз данных KES, Symantec EPM, McAfee и событий Syslog ESET согласно настройкам правил и оповещать уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Наименование характеристики - Значение характеристики - Единица измерения характеристики

Способ предоставления - Удаленный доступ через информационно-телекоммуникационные сети, в том числе через информационно-телекоммуникационную сеть Интернет -

Класс программ для электронных вычислительных машин и баз данных - (03.02) Средства управления событиями информационной безопасности -

Информационная сеть Заказчика включает в себя, рабочих станций - ? 27 -

Модули - Модуль сбора и анализа событий; Модуль администрирования; Модуль хранения данных; Модуль аудита журналов контроллера домена; Модуль аудита СУБД; Модуль аудита антивирусов; Модуль аудита журналов регистрации 1С; Модуль аудита почтовых серверов; Модуль аудита событий Syslog; Модуль аудита средств виртуализации; Модуль аудита сетевых устройств; Модуль аудита устройств сетевой безопасности; Модуль аудита событий операционной системы и приложений на базе Linux; Модуль аудита файловой системы; Модуль аудита активности пользователей; Модуль аудита подключаемых внешних устройств; Модуль сканирования сети; Модуль отображения карты инцидентов; Модуль представления статистики; Модуль аудита групповых политик; Модуль кросс-корреляции событий; Модуль создания пользовательских правил; Модуль аудита DHCP-серверов. -

Требования к системе в целом - Система имеет удобный и понятный пользовательский интерфейс, где все сообщения и документация должны быть на русском языке. Система должна поддерживать сбор и анализ следующих данных: событий журналов контроллера домена, Windows Event Log; логов и баз данных СУБД; баз данных и событий Syslog антивирусов; событий журналов регистрации 1С; логов почтовых серверов; логов DHCP-серверов; событий Syslog; событий средств виртуализации; событий сетевых устройств; событий устройств сетевой безопасности; событий операционной системы Linux и приложений на базе Linux; файловых операций пользователей на компьютерах и файловых серверах; активности пользователей за компьютером; операций с файлами на подключаемых внешних устройствах; сведений о сетевых ресурсах – имена, IP- и MAC-адреса, используемые порты, операционная система. Система должна предполагать возможность сбора данных с каждого из перечисленных источников в отдельности. Система должна осуществлять формирование инцидентов ИБ как на основании данных из одного источника, так и на основании данных из разных источников. Подсчет количества лицензий в Системе должен осуществляться только по узлам сети вне зависимости от количества обрабатываемых событий в единицу времени. Система должна обеспечивать ограничение прав доступа к собранной информации и настройкам системы. Система должна поддерживать ролевую модель доступа к данным. Система не должна накладывать ограничений на нормальное функционирование серверов и рабочих станций Заказчика. Система не должна ухудшать основные функциональные характеристики ИС (надежность, быстродействие, возможность изменения конфигурации, удобство использования). Система обладает характеристиками масштабирования и отказоустойчивости. Система обеспечивает возможность автоматического резервного копирования базы данных инцидентов ИБ и ее восстановления. Система обеспечивает интеграцию в существующую у Заказчика вычислительную сеть без изменения топологии сети. Система имеет сертификат ФСТЭК. -

Требования к структуре Системы - В состав Системы должны входить основные логические модули: ? модуль сбора и анализа событий; ? модуль администрирования; ? модуль хранения данных; ? модуль аудита журналов контроллера домена; ? модуль аудита СУБД; ? модуль аудита антивирусов; ? модуль аудита журналов регистрации 1С; ? модуль аудита почтовых серверов; ? модуль аудита событий Syslog; ? модуль аудита средств виртуализации; ? модуль аудита сетевых устройств; ? модуль аудита устройств сетевой безопасности; ? модуль аудита событий операционной системы и приложений на базе Linux; ? модуль аудита файловой системы; ? модуль аудита активности пользователей; ? модуль аудита подключаемых внешних устройств; ? модуль сканирования сети; ? модуль отображения карты инцидентов; ? модуль представления статистики; ? модуль аудита групповых политик; ? модуль кросс-корреляции событий; ? модуль создания пользовательских правил; ? модуль аудита DHCP-серверов. -

1. Требования к функционированию Системы - Модуль сбора и анализа событий должен предоставлять возможности настройки параметров работы, чтения событий источников данных и их анализа с целью выявления угроз и нарушений правил информационной безопасности. Модуль администрирования должен обеспечивать лицензирование Системы, синхронизацию с Active Directory, управление настройками разграничения прав доступа пользователей, управление настройками и контроль работоспособности всех модулей Системы. Модуль хранения должен обеспечивать: ­ запись и хранение в базах данных MongoDB версии 4.0.13 или ниже информации, полученной модулем сбора событий; ­ запись и хранение в базах данных PostgreSQL либо Microsoft SQL Server 2008 R2 SP3 и выше информации, полученной модулем администрирования. Модуль аудита журналов контроллера домена отвечает за сбор и анализ событий журналов контроллера домена. Модуль аудита СУБД обеспечивает чтение логов серверов Microsoft SQL Server, чтение таблиц баз данных и логов серверов Oracle, а также чтение логов серверов PostgreSQL. Модуль аудита антивирусов осуществляет подключение к базам данных антивирусов Kaspersky, Symantec, McAfee и чтение их записей, а также сбор событий Syslog антивируса ESET. Модуль аудита журналов регистрации 1С обеспечивает сбор и анализ событий журналов приложения 1С:Предприятие. Модуль аудита почтовых серверов обеспечивает чтение логов почтовых серверов Exchange и IBM Domino. Модуль аудита событий Syslog осуществляет сбор событий системных журналов аппаратных устройств (серверов, роутеров, принтеров и т.п.) и приложений. Модуль аудита средств виртуализации обеспечивает сбор событий VMware ESX. Модуль аудита сетевых устройств обеспечивает сбор событий сетевых устройств Cisco. Модуль аудита устройств сетевой безопасности обеспечивает сбор событий устройств комплексной сетевой безопасности FortiGate, межсетевых экранов Check Point и Palo Alto. -

2. Требования к функционированию Системы - Модуль аудита событий операционной системы приложений на базе Linux осуществляет сбор событий ОС Linux, веб-сервера Apache, почтового сервера Postfix и FTP-сервера Very Secure FTP Daemon. Модуль аудита файловой системы должен обеспечивать аудит всех файловых операций. Модуль аудита активности пользователей обеспечивает сбор данных об активности пользователей за компьютером. Модуль аудита подключаемых внешних устройств должен протоколировать информацию о файлах, копируемых и запускаемых с подключаемых внешних устройств. Модуль сканирования сети обеспечивает сбор такой информации о компьютерах и устройствах сети, как имена, IP- и MAC-адреса, номера используемых портов, сведения об операционной системе и прочие характеристики объектов сети. Модуль отображения карты инцидентов осуществляет демонстрацию распределения инцидентов по узлам сети и пользователям по указанному временному периоду. Модуль представления статистики отображает в виде графиков и диаграмм сводную статистическую и аналитическую информацию по инцидентам в выбранных срезах. Модуль аудита групповых политик осуществляет сбор информации об изменении групповых политик. Модуль кросс-корреляции событий осуществляет агрегацию событий из различных источников, и выявляет перекрестные корреляции между ними. Модуль создания пользовательских правил осуществляет сбор данных с источников в соответствии с инструкциями скриптов PowerShell. Модуль аудита DHCP-серверов обеспечивает чтение логов на DHCP-сервере посредством выполнения на нем PowerShell скриптов. -

Требования к характеристикам взаимосвязей - Предусмотреть взаимодействие доменов и поддоменов, как связанных, так и не связанных отношениями доверия. Предусмотреть возможность однозначного определения данных сотрудника компании, отправившего информацию, благодаря интеграции с Active Directory: учетной записи пользователя, информации об использованной рабочей станции (имени, IP- и MAC-адреса). -

Требования к способам и средствам связи для информационного обмена - Внедряемая Система должна функционировать в составе информационно-вычислительной сети Заказчика. Система должна работать на платформе Windows server 2016 или Astra Linux 1.7, или Ubuntu Linux 22.04. Система должна корректно работать в сетях доменного типа. Система должна поддерживать виртуальную инфраструктуру (VMware ESX/ESXi). Для информационного обмена между компонентами системы должны использоваться только стандартные унифицированные протоколы семейства TCP/IP и интерфейсы (Ethernet/ Fast Ethernet /Gigabit Ethernet). -

Требования к режимам функционирования Системы - Система должна обеспечивать возможность работы в следующих режимах: ­ штатный режим (непрерывная круглосуточная работа) - основной режим функционирования Системы. ­ сервисный режим (для проведения обслуживания, реконфигурации и модернизации модулей Системы); автономный режим (в случае отсутствия связи с компонентами / источниками Системы или с внешними сетями, для доступа к конфигурационной и архивной информации). -

Требования по диагностированию Системы - Система должна обеспечивать возможность записи в системный журнал информации по служебным событиям и сбоям. Записи в журналах должны содержать информацию, достаточную для установления причины неисправности. -

Перспективы развития и модернизации Системы - Система должна предоставлять возможность расширения функционала за счет наращивания количества источников данных. Система должна допускать наращивание производительности за счет улучшения характеристик технических средств. Система должна обеспечивать возможность модернизации путем замены технического и/или программного обеспечения. -

Требования к характеристикам, при которых сохраняется целевое назначение Системы - Система должна обеспечивать штатное функционирование в случае одновременной работы всех пользователей и источников данных Заказчика на объекте автоматизации. Целевое назначение Системы должно сохраняться на протяжении всего срока эксплуатации системы. Срок эксплуатации системы определяется сроком устойчивой работы технических средств вычислительных комплексов, своевременным проведением работ по замене (обновлению) технических средств, по сопровождению и обновлению программного обеспечения системы (в рамках гарантийного и послегарантийного обслуживания) и его модернизации. -

Требования к надежности - Должна быть обеспечена непрерывность бизнес-процессов Заказчика в случае отказов Системы. Система должна быть реализована таким образом и/или определен комплекс мер и мероприятий, обеспечивающих восстановление ее работоспособности и данных при сбоях силами штатного обслуживающего персонала (предпочтительно) в срок не более 6 рабочих часов. В случае возникновения сбоя технического или программного обеспечения Системы должна быть обеспечена возможность восстановления ее данных и настроек. Система должна обеспечивать функционал автоматического резервного копирования базы данных инцидентов (в том числе на внешний источник данных). Также должна быть предусмотрена возможность восстановления из архива базы инцидентов за определенную дату и/или по выбранному коннектору/правилу. Процедуры настройки работоспособности Системы должны быть описаны и задокументированы в соответствующей эксплуатационной документации на Систему. -

Требования к модулю сбора и анализа событий - Модуль должен обеспечивать настройку и возможность запуска/остановки модулей аудита, осуществляющих сбор событий источников данных. Модуль должен предоставлять конфигурирование, запуск/остановку, создание новых на основе базовых, архивирование правил информационной безопасности. Модуль должен предоставлять возможность поиска инцидентов с учетом фильтрации по периоду времени, пользователям, компьютерам, IP-/MAC-адресам, произведенным операциям, расширениям файлов и др. атрибутам. Модуль должен обеспечивать печать и экспорт инцидентов в форматы HTML, XML, XLS, XLSX, PDF, TXT. -

Требования к модулю администрирования - Модуль должен предоставлять возможность лицензирования Системы. Модуль должен обеспечивать возможность синхронизации с одним или более доменом Active Directory. Модуль должен обеспечивать возможность разграничения прав доступа пользователей в консолях Системы. Модуль должен предоставлять возможность контроля работоспособности Системы. Модуль должен обеспечивать возможность управления службами Системы. Модуль должен предоставлять возможность мониторинга дискового пространства на серверах Системы. Модуль должен предоставлять возможность автоматического оповещения о важных событиях. Модуль должен обеспечивать возможность управления настройками модулей Системы. -

Требования к модулю хранения данных - Модуль должен обеспечивать хранение в БД MongoDB следующих данных модуля сбора и анализа событий SIEM: ­ событий, полученных от источников; ­ зафиксированных инцидентов безопасности; ­ списка пользователей и компьютеров, получаемого модулем администрирования в процессе синхронизации с Active Directory; ­ зафиксированных операций с файлами; ­ данных об активности пользователей в течение рабочего дня; ­ операций с файлами на внешних устройствах. Модуль должен обеспечивать хранение в БД PostgreSQL либо Microsoft SQL Server 2008 R2 SP3 и выше следующих данных модуля администрирования DataCenter: ­ данных по лицензиям; ­ списка объектов Active Directory, полученных в результате синхронизации с контроллером домена; ­ настроек прав доступа пользователей. -

Требования к модулю аудита журналов контроллера домена - Модуль должен обеспечивать настройку параметров подключения к журналам любого количества контроллеров доменов. Модуль должен осуществлять регистрацию событий журналов контроллера домена по следующим правилам: ? Подбор паролей ? Несколько учетных записей на одном ПК ? Задание пароля администратором домена ? Устаревшие пароли ? Статистика входов в систему ? Одна учетная запись на нескольких ПК ? Использование служебных учетных записей сотрудника ? Смена пароля пользователем ? Попытка входа под несуществующим пользователем ? Попытка входа под заблокированным пользователем ? Подбор логина ? Временное переименование учетной записи ? Временное включение учетной записи ? Временное добавление учетной записи в группу ? Устаревшие учетные записи AD ? Временная выдача прав доступа AD ? Создание временной учетной записи ? Операции над учетной записью ? Изменение состава критичных групп пользователей ? Блокировка пользователя ? Очистка журнала событий пользователем ? Изменение политики аудита ? Пользовательское правило ­ AD. Мониторинг. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий журналов контроллера домена согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю аудита СУБД - Модуль должен обеспечивать настройку параметров подключения к любому количеству серверов Microsoft SQL, Oracle и PostgreSQL. Модуль должен осуществлять чтение: ? логов сервера Microsoft SQL Server 2008 R2 и выше, ? таблиц баз данных и логов сервера Oracle 12 и выше, ? логов сервера PostgreSQL (PostgreSQL на базе Linux версии 9.6 и выше). Модуль должен осуществлять регистрацию событий сервера MS SQL по следующим правилам: ­ Временное создание учетных данных MS SQL ­ Временное включение учетных данных MS SQL ­ Статистика изменения прав доступа MS SQL ­ Временное включение пользователя в роль безопасности БД ­ Задание пароля учетной записи SQL администратором БД ­ Временное переименование учетных данных MS SQL Модуль должен осуществлять регистрацию событий сервера Oracle по следующим правилам: ? Неудачные попытки входа в систему ? Удачные попытки входа в систему ? Создание пользователя или роли ? Удаление пользователя или роли ? Блокировка/разблокировка пользователя ? Изменения пароля пользователя ? События Listener. Модуль должен осуществлять регистрацию событий сервера PostgreSQL по следующим правилам: ? Добавление прав доступа роли или пользователю ? Изменение атрибутов роли или пользователя ? Ошибку аутентификации пользователя ? Ошибки при работе с PostgreSQL ? Переименование роли или пользователя ? Событие включения пользователя ? Событие выключения пользователя ? Создание роли или пользователя ? Удаление прав доступа роли или пользователя ? Удаление роли или пользователя. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей логов SQL-серверов согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю аудита антивирусов - Модуль обеспечивает настройку параметров подключения к любому количеству баз данных Kaspersky Endpoint Security, Symantec EPM, McAfee на сервере Microsoft SQL. Модуль осуществляет подключение к базе данных Kaspersky Endpoint Security 11 и выше, Symantec EPM, McAfee и чтение ее записей. Модуль обеспечивает возможность настройки параметров работы службы и получать события Syslog от антивируса ESET. Модуль осуществляет регистрацию событий антивируса Kaspersky по следующим правилам: Самозащита антивируса заблокировала выполнение программ; Самозащита антивируса отключена; Отключены антивирусные компоненты защиты; Критический статус компьютера; Обнаружена потенциально опасная программа; ?Не удалось выполнить административную задачу управления ?Отсутствует лицензия на антивирус ?Изменение в составе административной группы управления ?Заблокированные и зараженные программы ?Выявлена вирусная эпидемия. Модуль осуществляет регистрацию событий антивируса ESET по следующим правилам: ?Журнал аудита ?События Firewall ?События HIPS ?События Enterprise Inspector ?Обнаруженные угрозы ?Обнаружено повторное заражение ?Обнаружена эпидемия ?Собственное правило ESET ?Остальные события ESET. Модуль осуществляет регистрацию событий антивируса Symantec по следующим правилам: ?Обнаружен вирус ?Выявлена вирусная эпидемия ?Выявлена сетевая атака или использование уязвимости ПО ?Выбранные методы лечения ?События сканирования ?Системные события агента ?Журнал оповещений Symantec. Модуль осуществляет регистрацию событий антивируса McAfee по следующим правилам: ?Выявлена вредоносная программа ?Выявлена шпионская программа ?Выявлена нежелательная программа ?Выявлены прочие угрозы ?Выявлена вирусная эпидемия ?Журнал задач McAfee ?Журнал аудита McAfee ?Компьютеры с установленными агентами (Системы). Модуль предоставляет возможность сохранения событий в собственную базу данных под управлением MongoDB. -

Требования к модулю аудита журналов регистрации 1С - Модуль должен обеспечивать настройку параметров подключения к журналам любого количества серверов 1С:Предприятие версии 8.2 и выше. Модуль должен осуществлять регистрацию событий платформы 1С:Предприятие по следующим правилам: ­ Вход в нерабочие часы ­ Изменение прав доступа к регистрам ­ Изменение прав доступа пользователя ­ Изменение права администрирования пользователя ­ Изменение привилегированного режима пользователя ­ Изменение проведенного документа ­ Изменение состава роли ­ Изменение списка ролей ­ Изменение списка ролей пользователя ­ Использование привилегированного режима ­ Создание нового пользователя ­ Вход под отсутствующим пользователем Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей журналов 1С согласно настройкам правил и оповещать уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю аудита почтовых серверов - Модуль должен обеспечивать настройку параметров подключения к любому количеству почтовых серверов Microsoft Exchange и IBM Domino. Модуль должен осуществлять чтение логов почтового сервера Exchange 2010 и выше. Модуль должен осуществлять чтение логов почтового сервера IBM Domino 8.5 и выше. Модуль должен осуществлять регистрацию событий сервера Exchange по следующим правилам: ? Изменение параметров аудита администратора ? Группы ролей управления изменены ? Доступ к почтовому ящику не владельца ? Изменение статуса почтового ящика ? Изменение прав доступа к почтовому ящику ? Изменение состава ролей управления ? Предоставление доступа по Outlook Web App Модуль должен осуществлять регистрацию событий сервера Domino по следующим правилам: ? События центра отслеживания почты ? События почтового журнала ? События маршрутизации почты ? Статистика входа/выхода через WEB ? Ошибки HTTP-запросов ? Блокировка учетной записи Domino ? Подбор паролей ? HTTP-трафик ? Создание сертификатов ? События безопасности ? События журнала DDM ? Прочие события. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей логов серверов MS Exchange и IBM Domino согласно настройкам правил и оповещать уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю аудита событий Syslog - Модуль должен обеспечивать настройку параметров работы службы модуля. Модуль должен получать события Syslog от различных аппаратных средств и приложений. Модуль должен различать события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий по следующим правилам: ? Собственные правила Syslog ? События ядра операционной системы ? События пользовательского уровня ? События почтовых систем ? События системных демонов ? События безопасности и авторизации ? Внутренние события Syslog ? События протокола построчной печати ? События новостного протокола ? События подсистем UUCP ? События сервисов времени ? События FTP демонов ? События подсистем NTP ? События журналирования ? Предупреждения журналирования ? События сервисов планирования ? Другие события. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей событий Syslog согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю аудита средств виртуализации - Модуль должен обеспечивать настройку параметров работы службы модуля. Модуль должен получать события от средств виртуализации VMware ESX. Модуль должен различать события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий по следующим правилам: ­ События входа/выхода VMview ­ События входа/выхода VMware ­ Неправильные пароли ­ Неудачные попытки входа ­ Создание группы пользователей ­ Смена пароля пользователя ­ Создание/удаление пользователей ­ Удаление снапшотов ­ Удаление директорий VM ­ Остановка/запуск виртуальных машин ­ Удаление виртуальной машины ­ Ошибки соединения с LDAP ­ Перегрев оборудования ­ Прочие события VMware ­ Собственное правило VMware. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий от средств виртуализации VMware ESX согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю аудита сетевых устройств - Модуль должен обеспечивать настройку параметров работы службы модуля. Модуль должен получать события от сетевых устройств Cisco. Модуль должен различать события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий по следующим правилам: ­ Ошибки при работе системы ­ Ошибки питания ­ Отказ системы охлаждения ­ Конфликты и ошибки DHCP ­ Ошибки маршрутизации ­ Найден дублирующий ID роутера ­ Сбой аутентификации Wi-Fi ­ Переполнение буфера ­ События входа/выхода в консоль ­ Вход под встроенной учетной записью ­ Вход с повышенными привилегиями ­ Ввод команд ­ Команды write term/write memory ­ Изменения конфигурации ­ Уведомления об атаках ­ Заблокированные DNS запросы ­ События TeamViewer (ASA) ­ Собственное правило Cisco ­ Прочие события Cisco ­ События ACL ­ События фильтрации соединений ­ Сброшенные или не установленные соединения. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий от сетевых устройств Cisco согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю аудита устройств сетевой безопасности - Модуль должен обеспечивать настройку параметров работы службы модуля. Модуль должен получать события устройства комплексной сетевой безопасности FortiGate. Модуль должен получать события межсетевого экрана Check Point. Модуль должен получать события межсетевого экрана Palo Alto. Модуль должен различать события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий FortiGate по следующим правилам: ? События журнала Anomaly ? События журнала App ? События журнала AV ? События журнала DLP ? События журнала Email ? События журнала Event ? События журнала GTP ? События журнала IPS ? События журнала Traffic ? События журнала VoIP ? События журнала WAF ? События журнала Web. Модуль должен осуществлять регистрацию событий Check Point по следующим правилам: ? События Identity Awareness ? События Endpoint Security On Demand ? События SecureClient и Edge ? События IPS ? События AntiVirus ? События AntiBot и AntiMalware ? События Threat Emulation ? События AntiSpam ? События URL Filtering ? События Application Control ? События DLP ? События SmartDashboard ? Собственное правило Check Point ? Остальные события Check Point. Модуль должен осуществлять регистрацию событий Palo Alto по следующим правилам: ? События журнала Traffic ? События журнала Thread ? События журнала Config ? События журнала System ? События журнала Hip-match ? События журнала UserID ? События журнала Tunnel Inspection ? События журнала Authentication ? События журнала Correlated. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий от устройств комплексной сетевой безопасности FortiGate, межсетевых экранов Check Point и Palo Alto согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю аудита операционной системы и приложений на базе Linux - Модуль обеспечивает настройку параметров работы службы модуля. Модуль получает события Syslog операционной системы Linux, веб-сервера Apache, почтового сервера Postfix и FTP-сервера Very Secure FTP Daemon. Модуль различает события следующих уровней важности: аварийный, тревога, критический, ошибка, предупреждение, уведомление, информационный, отладочный. Модуль должен осуществлять регистрацию событий Linux по следующим правилам: ?Пользователь не входит в группу sudoers ?Вход с повышенными привилегиями ?Изменение пользовательской оболочки ?Неудачные попытки авторизации ?Консольный вход ROOT ?События входа/выхода ?Открытие/закрытие сессии ?Неуспешные попытки доступа ?Многочисленный сбой аутентификации ?Неправильный пароль ?Вход запрещен ?Не получена строка идентификации ?Пользователь не существует ?Соединение отклонено ?Ошибка обратного сопоставления адреса ?Ошибка создания учетной записи ?Изменение первичной группы пользователя ?Блокировка/разблокировка учетной записи ?Изменение UID пользователя ?Добавление/удаление пользователя в группу ?Переименование учетной записи ?Изменение домашней директории пользователя ?Создание/удаление учетной записи ?Изменение параметров учетной записи?Изменение пароля пользователем ?Отказ передачи зоны DNS ?Отказ при запросе DNS ?Проблема определения PTR NS записи ?Сессия открыта/закрыта ?Замещение заданий Cron ?Запуск задачи ?Удаление пользователя из crontab ?Лог выполнения команд ?Выполнение команды посредством sudo ?Изменение политики паролей ?Недостаточно места на жестком диске ?События DHCP ?Ошибки сегментации ?Операции с shadow ?Создание/удаление группы пользователей ?Изменение пула ресурсов ?Неудачная аутентификация на MySQL ?Собственное правило Linux ?Остальные события Linux. -

2. Требования к модулю аудита операционной системы и приложений на базе Linux - Модуль должен осуществлять регистрацию событий Apache по следующим правилам: ? Ошибки авторизации ? Пользователь не найден ? Неправильный пароль ? Использована неправильная схема авторизации ? Клиент отклонен в связи с конфигурацией сервера ? Ошибки Nonce ? Неизвестный алгоритм шифрования ? Другие ошибки. Модуль должен осуществлять регистрацию событий Very Secure FTP Daemon по следующим правилам: ? Соединение клиента с FTP ? Скачивание файла с FTP ? Создание файла на FTP ? Удаление файла с FTP ? Удаление директории на FTP ? Создание директории на FTP. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий операционной системы и приложений на базе Linux согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю аудита файловой системы - Модуль должен осуществлять сбор данных об операциях с файлами, а также об изменении прав доступа к файлам/папкам. Модуль должен обеспечивать возможность выборки протоколируемых ресурсов (рабочие станции, файл-серверы, отдельные жесткие диски и папки). Модуль должен обеспечивать регистрацию следующих событий с файлами: создание, чтение, запись, удаление, переименование, выполнение, изменение расширения, перемещение, копирование, запрет доступа, изменение прав доступа. Модуль должен осуществлять регистрацию событий по следующим правилам: ? Временная выдача прав на файл/папку ? Обращение к критичным ресурсам ? Большое количество пользователей, работающих с файлом ? Работа с определенными типами файлов ? Статистика изменений прав доступа к файлам/папкам. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ файловых операций согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте, а также в группу Telegram. -

Требования к модулю аудита активности пользователей - Модуль должен протоколировать активность пользователей за компьютерами. Модуль должен обеспечивать регистрацию активности пользователей вне рабочего времени, а также проявление активности пользователем, учетная запись которого была долгое время неактивной. Модуль должен осуществлять регистрацию событий по следующим правилам: ? Активность вне рабочего времени ? Активность давно отсутствующего пользователя. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ записей активности пользователей за компьютером согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю аудита подключаемых внешних устройств - Модуль должен протоколировать информацию о файлах, копируемых и запускаемых с подключаемых внешних устройств. Модуль должен осуществлять регистрацию событий по следующим правилам: ? Копирование на съемное устройство ? Операции с исполнимыми файлами на устройствах ? Выполнение файла со съемного устройства ? Копирование большого числа файлов на съемное устройство ? Копирование большого объема данных на устройство. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ операций с файлами внешних устройств согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю сканирования сети - Модуль должен обеспечивать настройку параметров работы службы: количество одновременно запущенных процессов сканирования, тип сканирования, частота запуска сканирования, диапазон сканируемых IP-адресов сети и портов. Модуль должен формировать «слепки» сети с настройками сканирования: даты/времени, режима сканирования, продолжительности процесса и количества найденных устройств. К списку «слепков» должны быть применимы фильтры. Модуль должен формировать список объектов сети, найденных в результате последнего сканирования, а также определять тип устройства, операционную систему, IP- и MAC-адрес, количество и номера портов, которые на них открыты. К списку устройств должны быть применимы фильтры. В результате углубленного сканирования модуль должен формировать перечень найденных открытых портов с указанием количества устройств, на которых они открыты. К списку портов должны быть применимы фильтры. Модуль должен предусматривать объединение выбранных устройств сети в пользовательскую группу. -

Требования к модулю отображения карты инцидентов - Модуль должен в графическом виде отображать распределение инцидентов по узлам сети и пользователям. Модуль должен давать возможность просмотреть статистику инцидентов в разрезе коннекторов и конкретных правил. Модуль должен предоставлять выбор, по какому коннектору(-ам) отобразить инциденты. Модуль должен предоставлять возможность поиска как по узлу сети, так и по имени пользователя. Модуль должен предоставлять возможность фильтрации отображения по количеству инцидентов и/или по диапазону дат. -

Требования к модулю представления статистики - Модуль должен предоставлять статистическую информацию по инцидентам в графическом виде. Представление должно быть возможно в виде графиков и диаграмм или других уместных форм графического представления. Пользователь должен иметь возможность отобразить на одном дашборде любое необходимое количество графических виджетов. Модуль должен давать возможность отобразить детализированную информацию по любому виджету на все окно. Модуль должен осуществлять автоматическое обновление данных в представленных виджетах. Модуль должен давать возможность настроить частоту обновления данных как для каждого виджета отдельно, так и для всех виджетов сразу. Модуль должен давать возможность настроить фильтрацию данных для виджетов по используемым параметрам (дата, коннектор, правило, пользователь и др.). Модуль должен давать возможность выносить графическое представление в отдельное окно. -

Требования к модулю аудита групповых политик - Модуль должен осуществлять подключение и сбор данных из журналов групповых политик по следующим правилам: ? Делегирование разрешений для GPO ? Изменение настроек GPO ? Изменение состояний GPO ? Изменение списка GPO ? Применение GPO к подразделениям. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий групповых политик согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю кросс-корреляции событий - Модуль должен осуществлять агрегацию событий, регистрируемых другими модулями. Модуль должен предоставлять возможность создания пользовательских правил кросс-корреляции на основании агрегируемых событий. Модуль должен позволять создавать правила, формирующие инциденты на основании двух или трех событий от одного или разных источников. Модуль должен иметь графический интерфейс создания пользовательских правил, не требующий от пользователя знания языков программирования. Модуль должен позволять настраивать триггеры формирования инцидентов на уровне коннектора, события и атрибутов события. Модуль должен позволять задавать временной интервал, в рамках которого должны происходить события для формирования инцидента. -

Требования к модулю создания пользовательских правил - Модуль должен предоставлять сбор событий с источников данных в соответствии с инструкциями скриптов PowerShell. При создании пользовательских правил модуль должен предусматривать: ? Выбор для правила предустановленных шаблонов скриптов; ? Редактирование выбранных шаблонов скриптов и возможность их сохранения с целью дальнейшего использования; ? Ввод скриптов PowerShell вручную; ? Проверку корректности скрипта. Модуль должен предусматривать возможность как локального выполнения скриптов PowerShell, так и удаленного. Модуль должен позволять настройку расписания запуска скрипта на источнике данных. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать анализ событий согласно настройкам пользовательских правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. -

Требования к модулю аудита DHCP-серверов - Модуль должен обеспечивать чтение логов на DHCP-сервере посредством выполнения на нем PowerShell скриптов. В настройках правил должна быть предусмотрена возможность указания событий, которые необходимо получать от источника данных. Модуль должен осуществлять сбор событий по следующим встроенным правилам: ? События по протоколу IPv4 ? События по протоколу IPv6. Модуль должен предоставлять возможность сохранения событий в собственную базу данных под управлением MongoDB. Модуль должен обеспечивать чтение логов DHCP-сервера согласно настройкам правил и оповещение уполномоченных лиц об имеющихся инцидентах по электронной почте. -

3. Требования к модулю аудита операционной системы и приложений на базе Linux - Модуль должен осуществлять регистрацию событий Postfix по следующим правилам: ? Ошибка верификации отправителя ? Ошибка определения имени домена получателя ? Ошибки SSL соединений ? Потеря соединения после AUTH команды ? Многочисленные ошибки после команды AUTH ? Ошибка определения адреса ? Имя хоста отправителя не найдено ? Доступ к релею запрещен ? Неизвестное SMTP соединение ? Статистика max connection rate ? Неудачная попытка аутентификации ? События с неизвестным пользователем ? Попытка отправить почту на неизвестный домен ? Вход с неизвестного источника. -

2. Требования к модулю аудита антивирусов - Модуль должен обеспечивать анализ записей баз данных KES, Symantec EPM, McAfee и событий Syslog ESET согласно настройкам правил и оповещать уполномоченных лиц об имеющихся инцидентах по электронной почте. -

- Обоснование включения дополнительной информации в сведения о товаре, работе, услуге В Описание объекта закупки включены дополнительные потребительские свойства, в том числе функциональные, технические, качественные, эксплуатационные характеристики товара, которые не установлены в позиции Каталога товаров, работ, услуг, предусмотренного постановлением Правительства РФ от 08.02.2017 № 145, в связи с тем, что характеристики, указанные в КТРУ, не является исчерпывающей и не позволяет точно определить качественные, функциональные и технические характеристики закупаемого товара. Заказчиком указана дополнительная информация в силу потребностей Заказчика, норм выдачи и соблюдения необходимых санитарных норм и правил, а также вида размещения, что является для Заказчика значимым условием. С учетом технических особенностей формирования структурированного описания объекта закупки обоснование включения конкретной дополнительной характеристики представлено в прилагаемом документе «Описание объекта закупки».

Преимущества, требования к участникам

Преимущества: Преимущество в соответствии с ч. 3 ст. 30 Закона № 44-ФЗ - Размер преимущества не установлен

Требования к участникам: 1. Единые требования к участникам закупок в соответствии с ч. 1 ст. 31 Закона № 44-ФЗ 2. Требования к участникам закупок в соответствии с ч. 1.1 ст. 31 Закона № 44-ФЗ

Применение национального режима по ст. 14 Закона № 44-ФЗ

Применение национального режима по ст. 14 Закона № 44-ФЗ: Основанием для установки указания запретов, ограничений закупок товаров, происходящих из иностранных государств, выполняемых работ, оказываемых услуг иностранными лицами, а так же преимуществ в отношении товаров российского происхождения, а также товаров происходящих из стран ЕАЭС, выполняемых работ, оказываемых услуг российскими лицами, а также лицами, зарегистрированными в странах ЕАЭС, является Постановление Правительства Российской Федерации о мерах по предоставлению национального режима от 23.12.2024 № 1875.

Сведения о связи с позицией плана-графика

Сведения о связи с позицией плана-графика: 202603513001135001000044

Начальная (максимальная) цена контракта: 983 179,08

Валюта: РОССИЙСКИЙ РУБЛЬ

Идентификационный код закупки (ИКЗ): 262543313778054330100100520010000244

Срок исполнения контракта (отдельных этапов исполнения контракта) включает в том числе приемку поставленного товара, выполненной работы, оказанной услуги, а также оплату заказчиком поставщику (подрядчику, исполнителю) поставленного товара, выполненной работы, оказанной услуги

Дата начала исполнения контракта: с даты заключения контракта

Срок исполнения контракта: 30.12.2026

Закупка за счет собственных и иных средств: Да

Место поставки товара, выполнения работы или оказания услуги: Российская Федерация, обл. Новосибирская, г.о. рабочий поселок Кольцово, рп. Кольцово, з. АБК, к. 3

Требуется обеспечение исполнения контракта: Да

Размер обеспечения исполнения контракта: 10 %

Порядок предоставления обеспечения исполнения контракта, требования к обеспечению: Обеспечение исполнения контракта предоставляется участником закупки в соответствии со ст. 96 Федерального закона от 05.04.2013 №44-ФЗ.Антидемпинговые меры применяются в соответствии со ст. 37 Федерального закона о 05.04.2013 №44-ФЗ.Условия независимой гарантии установлены в соответствии со ст. 45 Федерального закона от 05.04.2013 №44-ФЗ.

Платежные реквизиты для обеспечения исполнения контракта: p/c 03224643500000005100, л/c 030120225, БИК 015004950, СИБИРСКОЕ ГУ БАНКА РОССИИ//УФК ПО НОВОСИБИРСКОЙ ОБЛАСТИ Г.НОВОСИБИРСК, к/c 40102810445370000043

Банковское или казначейское сопровождение контракта не требуется

Информация о сроках исполнения контракта и источниках финансирования

Срок исполнения контракта (отдельных этапов исполнения контракта) включает в том числе приемку поставленного товара, выполненной работы, оказанной услуги, а также оплату заказчиком поставщику (подрядчику, исполнителю) поставленного товара, выполненной работы, оказанной услуги

Дата начала исполнения контракта: с даты заключения контракта

Срок исполнения контракта: 30.12.2026

Закупка за счет собственных и иных средств: Да

Документы

Общая информация

Документы

Журнал событий