1. არსებული მდგომარეობა
სააგენტოში დღეისათვის ფუნქციონირებს კომპანია IBM-ის მიერ წარმოებული
QRADAR SIEM სისტემა, რომლის ლიცენზიის მოქმედების ვადა არის 2025 წლის 31
აგვისტო.
2. შემსყიდველი იძლევა შესაძლებლობას, რომ პრეტენდენტის მიერ
შემოთავაზებაში გამოყენებული იყოს სააგენტოში უკვე არსებული SIEM
სისტემა.
2.1 იმ შემთხვევაში თუ პრეტენდენტის მიერ შემოთავაზებული იქნება
ლიცენზია იმ სისტემისთვის, რომელიც სააგენტოში არსებობს, მიმწოდებელმა
ხელშეკრულების გაფორმებიდან 14 კალენდარული დღის ვადაში უნდა
უზრუნველყოს შესყიდვის ობიექტის მიწოდება ელექტრონული სახით, რომლის
მოქმედების ვადა უნდა იყოს მინიმუმ 2027 წლის 31 აგვისტომდე;
2.2 იმ შემთხვევაში თუ პრეტენდენტის მიერ შემოთავაზებული იქნება
ლიცენზია სააგენტოში არსებული სისტემისაგან განსხვავებული
სისტემისთვის, პრეტენდენტის შემოთვაზება უნდა აკმაყოფილებდეს მე-3
მუხლში მოცემულ ტექნიკურ პარამეტრებს და შესყიდვის ობიექტის
მიწოდების ვადებს.
3. არსებულისაგან განსხვავებული სისტემისთვის ლიცენზიის
შემოთავაზების შემთხვევაში შესყიდვის ობიექტის ტექნიკური
პირობები:
3.1 SIEM სისტემის ყველა კომპონენტის, ფუნქციონალის მართვა უნდა
ხორციელდებოდეს ცენტრალიზებულად ერთიანი Web ინტერფეისის
საშუალებით;
3.2 SIEM სისტემას უნდა ჰქონდეს კომპონენტებს შორის კომუნიკაციის
შიფრაციის შესაძლებლობა;
3.3 SIEM-ის სისტემაში შესაძლებელი უნდა იყოს ტექნიკური დავალების დანართში
ჩამოთვლილი საინფორმაციო რესურსების (წყაროების) ხდომილებების
ჟურნალირება, დამუშავება, კორელაცია და ანალიტიკა (აღნიშნული
ჩამონათვალი არის მინიმალური).
3.4 SIEM-ის სისტემაში შესაძლებელი უნდა იყოს in-house სისტემის და
არასტანდარტული სისტემის ჩართვის შესაძლებლობა;
3.5 SIEM სისტემას უნდა ჰქონდეს ღია API მონაცემთა ბაზაში განთავსებული
ინფორმაციის გაზიარებისათვის;
3.6 შესყიდვის ობიექტმა უნდა უზრუნველყოს მინიმუმ ოთხი ადმინისტრატორის
და ექვსი ანალიტიკოსის მუშაობის შესაძლებლობა;
3.7 SIEM სისტემა უნდა ინტეგრირდებოდეს MS AD-ს მომხმარებლების
აუთენტიფიკაციის უზრულველყოფისათვის;
3.8 SIEM სისტემას უნდა შეეძლოს ინტეგრაცია სხვადასხვა უსაფრთხოების
სისტემებთან:
- IPS / IDS ;
- IDM / AM;
- Vulnerability Scanners;
3.9 SIEM სისტემის ძირითად კომპონენტებს უნდა შეეძლოთ მაღალი მდგრადობით
სამუშაო რეჟიმის შენარჩუნების საშუალება;
3.10 SIEM სისტემას უნდა ჰქონდეს ცალკეული კომპონენტების მუშაობის
უზრუნველყოფის საშუალება ერთ-ერთი კომპონენტის მწყობრიდან გამოსვლის
შემთხვევაშიც (მაგალითად, ცენტრალური კონსოლის მწყობრიდან გამოსვლის
შემთხვევაში ლოგების კოლექტორები უნდა აგრძელებდეს
ფუნქციონირებას);
3.11 SIEM სისტემას უნდა ჰქონდეს კონფიგურაციის ავტომატიზირებული
რეზერვირების (Backup) და აღდგენის (Recovery) შესაძლებლობა მომხმარებლის
გრაფიკული კონსოლიდან;
3.12 SIEM სისტემას უნდა ჰქონდეს თავისი მდგომარეობის ანალიზის
შესაძლებლობა და მომხმარებლის შეტყობინების საშუალება პრობლემის
წარმოქმნის შემთხვევაში;
3.13 SIEM სისტემის ყველა კომპონენტი წარმოდგენილი უნდა იყოს ვირტუალური
მანქანის სახით (Virtual Appliance), რომელიც თავსებადია VmWare 8.X გარემოსთან;
3.14 SIEM სისტემას უნდა ჰქონდეს ადვილად გაფართოების შესაძლებლობა, როგორც
წარმადობის ასევე ფუნქციონალის გაზრდით. სისტემის გაფართოება უნდა
ხორციელდებოდეს არსებულ სისტემაზე შესაბამისი კომპონენტების
დამატებით;
3.15 SIEM სისტემას უნდა შეეძლოს ნაკადების (Flows) წაკითხვა და დამუშავება,
კერძოდ:
- NetFlow პროტოკოლის და IPFIX სხვა ტიპის პროტოკოლების მხარდაჭერა;
- ქსელის ნაკადების წაკითხვის, დამუშავების, ანალიზის და ჩაწერის
შესაძლებლობა L7 დონეზე (ქსელის OSI მოდელის მიხედვით);
- Vmware-ს ვირტუალური ინფრასტრუქტურის ნაკადების წაკითხვა და
დამუშავება;
3.16 SIEM სისტემას უნდა შეეძლოს ქსელის ტრაფიკის პროფილირება L7 დონეზე
(ქსელის OSI მოდელის მიხედვით);
3.17 SIEM სისტემა უნდა იყოს გათვლილი:
- შემომავალი ხდომილებების დამუშავება წამში - 5.000 ხდომილება;
- ქსელური ნაკადების დამუშავება 25.000 flow/წუთში ან 500 Mbps ქსელური ტრაფიკის
დამუშავება;
3.18 პიკური დატვირთვის დროს თუ ხდომილებების და/ან ნაკადების რაოდენობამ
გადააჭარბა 3.17 პუნქტში მითითებულ რაოდენობას, SIEM სისტემამ უნდა
შეატყობინოს სისტემის ადმინისტრატორს და მონაცემების დაუკარგავად
გააგრძელოს ფუნქციონირება;
3.19 ხდომილებების და ქსელური ნაკადების გაზრდის შემთხვევაში SIEM სისტემას
უნდა ჰქონდეს რაოდენობის გაზრდის შესაძლებლობა;
3.20 SIEM სისტემამ უნდა უზრუნველყოს შეგროვებული ინფორმაციის მთლიანობის
შენარჩუნება;
3.21 SIEM სისტემას უნდა შეეძლოს მონაცემების კორელაცია კომპონენტების
განაწილებული ინსტალაციის მოდელის შემთხვევაში;
3.22 SIEM სისტემას უნდა ჰქონდეს ხდომილებების ჟურნალების შეგროვების და
არქივაციის შესაძლებლობა. ჟურნალების შენახვა შესაძლებელი უნდა იყოს
როგორც online-ში ასევე offline რეჟიმში;
3.23 SIEM სისტემას უნდა შეეძლოს ჟურნალების შენახვა გარე მატარებლებზე;
3.24 SIEM სისტემას უნდა შეეძლოს მონაცემების წაკითხვა Hadoop-ის სანახიდან;
3.25 SIEM სისტემას უნდა შეეძლოს შეგროვებული ინფორმაციის შეკუმშვა;
3.26 SIEM სისტემას უნდა შეეძლოს ხდომილებების სრულ ინფორმაციაზე წვდომის
უზრუნველყოფა ხდომილებების არსებობის პერიოდის განმავლობაში;
3.27 SIEM სისტემას უნდა შეეძლოს ხდომილებების ინფორმაციის შენახვა, როგორც
საწყის ფორმაში, ასევე ნორმალიზებული სახით, შემდგომი
ანალიზისათვის;
3.28 SIEM სისტემას უნდა ჰქონდეს ხდომილებების ანალიზის შესაძლებლობა
რეალურ რეჟიმში;
3.29 SIEM სისტემას უნდა ჰქონდეს ხდომილებების ანალიზის შესაძლებლობა
კონკრეტული პერიოდის განმავლობაში, რომელიც მითითებული იქნება
მომხმარებლის/ადმინისტრატორის მიერ;
3.30 SIEM სისტემას უნდა ჰქონდეს მომხმარებლის ფილტრის მიხედვით
მონაცემების შეგროვების და ანალიზის შესაძლებლობა;
3.31 SIEM სისტემაში რეალიზებული უნდა იყოს რეპორტების გენერაციის
შესაძლობა. სისტემში უნდა არსებობდეს წინასწარ განსაზღვრული
რეპორტების ნიმუშები (შაბლონები). ასევე სისტემაში უნდა იყოს საკუთარი
რეპორტების გენერაციის შესაძლებლობა;
3.32 SIEM სისტემაში რეალიზებული უნდა იყოს, გარკვეული დროის პერიოდში,
რეპორტების ავტომატიზირებული გენერაციის შესაძლებლობა;
3.33 SIEM სისტემაში უნდა არსებობდეს რეპორტების ჩამოყალიბების
შესაძლებლობა საერთაშორისო სტანდარტების მიხედვით (ISO 27002, PCI, FISMA);
3.34 SIEM სისტემას უნდა გააჩნდეს რეპორტების ავტომატიზირებული
განაწილების შესაძლებლობა;
3.35 SIEM სისტემაში უნდა არსებობდეს ხდომილებების კორელაციის გამზადებული
წესები (წესების ჩამონათვალი);
3.36 SIEM სისტემაში რეალიზებული უნდა იყოს ხდომილებების დამუშავების
საკუთარი წესების შექმნის ინსტრუმენტი, რომელიც რეალიზებული უნდა იყოს
გრაფიკული ინტერფეისის სახით;
3.37 SIEM სისტემას უნდა გააჩნდეს ინციდენტების ერთ „საქმეში“ ავტომატური
გაერთიანების შესაძლებლობა და ამ „საქმის“ გადაწერის შესაძლებლობა
შესაბამის პასუხისმგებელ თანამშრომელზე;
3.38 ერთ „საქმეში“ შესაძლებელი უნდა იყოს უსაფრთხოების ხდომილებების და
ქსელური ნაკადების ინფორმაციის გაერთიანება;
3.39 უკვე არსებული „საქმის” განახლება შესაბამისი უსაფრთხოების
ხდომილებების და ქსელური ნაკადებიდან ინფორმაციის დამატებით;
3.40 SIEM სისტემას უნდა გააჩნდეს ქსელური ტრაფიკის და პროცესების ანომალური
ქმედებების აღმოჩენის და ანალიზის შესაძლებლობა;
3.41 SIEM სისტემას უნდა შეეძლოს DoS შეტევების აღმოჩენა;
3.42 SIEM სისტემას უნდა შეეძლოს პოტენციურად საშიში პროგრამული
უზრუნველყოფის აღმოჩენა ქსელის ტრაფიქში;
3.43 SIEM სისტემაში რეალიზებული უნდა იყოს სერვისების ამოცნობის
მექანიზმი;
3.44 SIEM სისტემას უნდა შეეძლოს ქსელურ ტრაფიკში განასხვავოს და
პროფილირება გაუწიოს სხვადასხვა აპლიკაციებს, არა მარტო ცნობილი TCP
პორტების საშუალებით;
3.45 SIEM სისტემა რეალურ დროში უნდა შეეძლოს ქსელურ ტრაფიკში ნაკადების
აღმოჩენა და გეოგრაფიული რეგიონების მიხედვით მიკუთვნება;
3.46 SIEM სისტემას უნდა შეეძლოს გამოვლენილი ხდომილების სერიოზულობის
დონის განსაზღვრა ობიექტის/აქტივის უსაფრთხოების და დაუცველობის
პარამეტრებით;
3.47 SIEM სისტემაში რეალიზებული უნდა იყოს აქტივების (Asset) ბაზა და მისი
მართვის ინსტრუმენტები. აქტივების ბაზაში უნდა იყოს ინფორმაცია
მოწყობილობების, სერვისების შესახებ. აქტივების ბაზაში ინფორმაცია
უნდა შედიოდეს ავტომატიზირებულად;
3.48 SIEM სისტეში ავტომატიზირებული გზით უნდა გროვდებოდეს ინფორმაცია
სხვადასხვა უსაფრთხოების სისტემებისად, მაგალითად IPS/IDS, IDM/AM,
უსაფრთხოების სკანერებიდან;
3.49 SIEM სისტემაში რეალიზებული უნდა იყოს IP Reputation მექანიზმები. სისტემას
ავტომატიზირებულად უნდა შეეძლოს შემდეგი შეერთებების გამოვლენა:
- BotNet ქსელებთან;
- Mailware რესურსებთან;
- Anonym Proxy;
- Spam საიტებთან ;
3.50 SIEM სისტემაში აქტივების ბაზა ფართოდ უნდა იყოს გამოყენებული როგორც
კონტექსტის მიმწოდებელი, რამაც უნდა უზრუნველყოს კორელაციის
სიზუსტე;
3.51 SIEM სისტემას უნდა გააჩნდეს რისკების მართვის ინსტრუმენტი. სისტემაში
შესაძლებელი უნდა იყოს ინფრაქტრუქტურის რისკების პრიორიტიზაცია
ქსელური ტრაფიკის, ხდომილებათა ჟურნალების, უსაფრთხოების სკანერების
ინფორმაციის საფუძველზე;
3.52 შესყიდვის ობიექტს უნდა გააჩნდეს სკანირების ობიექტების რაოდენობის
გაზრდის შესაძლებლობა;
3.53 წარმოდგენილ SIEM სისტემაზე ლიცენზიის მოქმედების ვადა უნდა
ვრცელდებოდეს მინიმუმ 2027 წლის 31 აგვისტომდე.
4. სააგენტოში არსებული სისტემისაგან განსხვავებული სისტემისთვის
ლიცენზიის შემოთავაზების შემთხვევაში, სისტემის თანმდევი
მომსახურება
4.1. იმ შემთხვევაში თუ მიმწოდებელი წარმოადგენს არსებული SIEM
სისტემისაგან განსხვავებულ პროდუქტს, მაშინ მან უნდა უზრუნველყოს
შემდეგი თანმდევი მომსახურება სისტემის ინსტალაცია და კონფიგურაცია
უნდა განხორციელდეს მიმწოდებლის მიერ;
4.2. არსებულ სისტემაზე ყველა მიბმული ობიექტის გადატანა ახალ
სისტემაში;
4.3. არსებული კორელაციის წესების გადატანა ახალ სისტემაში;
4.4. სააგენტოს პასუხისმგებელი თანამშრომლების ტრენინგი;
4.5. SIEM სისტემის ინსტალაცია და კონფიგურაცია უნდა განხორციელდეს ქვემოთ
მოცემულ ვადებში:
- სისტემის ინსტალაცია, კონფიგურაცია - ხელშეკრულების დადებიდან ერთი
კვირის ვადაში;
- საინფორმაციო რესურსების მიბმა - ხელშეკრულების დადებიდან ორი კვირის
ვადაში;
- კორელაციის პირველადი წესების ჩამოყალიბება - ხელშეკრულების
დადებიდან სამი თვის ვადაში;
4.6. ხელშეკრულების მოქმედების პერიოდში მომწოდებელმა უნდა უზრუნველყოს
სისტემის სრული ადმინისტრირება და დამკვეთის მოთხოვნების და
ამოცანების შესრულება.