Modernisierung des zentralen Firewall-Systems im Forschungsverbund Berlin e.V.

Modernisierung der Firewall- und Security-Gesamtarchitektur: inklusive Next Generation Endpoint Protection für den Forschungsverbund Berlin e.V., wobei die Lösung Anforderungen an Informationssicherheit, Verfügbarkeit, Skalierbarkeit, Mandantenfähigkeit, Nachvollziehbarkeit administrativer Tätigkeiten und wirtschaftlichen Betrieb erfüllen muss. Anforderungen an die neue Firewall-Struktur: mehrstufige Firewall-Struktur mit zentral betriebenem Perimeter-Firewall-Cluster und Segmentierungs-Firewall-Clustern je Institut (Dual-Vendor-Strategie), VLAN- und IP-basierte institutsbezogene Segmentierung, virtuelle Domains für Segmentierung der Perimeter-Firewall der Corporate IT, mindestens zwei Appliances pro geografischem Standort im Active-Passive-Betrieb, Ausbau des Backbone-Durchsatzes auf 10 Gigabit pro Sekunde (erweiterbar auf 40 Gigabit pro Sekunde ohne Hardwaretausch) sowie schleifenfreie Netzauslegung, Anzahl gleichzeitiger Sessions: 20.000 bis 65.000, VPN-Nutzung je Institut: mindestens 40 bis 70 Nutzer (maximal 1.600 Mitarbeitende im FVB), Berücksichtigung von QoS-Mechanismen für VoIP und latenzsensible Anwendungen, granulares, verbundweites einheitliches Rollen- und Berechtigungskonzept für administrative Zugriffe, Multifaktor-Authentifizierung für Benutzer (nativ oder über Identity-Provider) und Administratoren (nativ), NGFW-Funktionalitäten (IPS, IDS, Application IP, Geo-IP-Filter), Separierung von Netzen (z.B. Labornetze) via VLAN, zentraler DNS-Security-Service, DoS-Abwehr, Content-Filterung und Advanced-Threat-Protection sowie Einbindung externer Blacklists auf Perimeter-Ebene, leistungsfähige und praktikable DoS-Abwehr, gemeinsamer, mandantenfähiger WAF-Service für Web-Anwendungen, Plattformunterstützung beim VPN-Zugang für Windows, Linux und MacOS, Compliance-Prüfung für alle Betriebssysteme, zentrales Management für Perimeter- (zwingend) und Segmentierungsfirewalls (optional), Mandantentrennung mit granularer Abstufung von Administrationsrechten, offene Schnittstellen zur Unterstützung von REST- oder XML-basierten APIs, Syslog, Net-Flow/IPFIX, SAML, LDAP, RADIUS und weiteren marktüblichen Integrationsschnittstellen, Remote Access (Unterstützung etablierter Verfahren mit Split-Tunneling und Carrier-Grade-NAT), Identifikation der Institutszugehörigkeit (z.B. über Zertifikate oder Namenskonventionen), SSL-Interception (Inbound für veröffentlichte Dienste sowie Outbound für kritische Server/Clients), E-Mail-Security (mandantenfähig, optional erwerbbar je Institut), Sandbox-Funktionen, Out-of-Band-Management, mindestens eine Schnittstelle zur automatischen Einbindung von Zertifikaten, IPv6-Zukunftsfähigkeit (keine Umstellung auf IPv6 im Rahmen des Projekts geplant), zentrales, mandantenfähiges Log-Management mit mindestens dreimonatiger Vorhaltezeit, lokaler Pufferung bzw. kurzzeitiger Fallback-Vorhaltung und Schnittstellen zu einem möglichen SIEM, mandantenbezogenes und institutsspezifisches Logging. Support- und Serviceleistungen für Hardware, Software, Subskriptionen und Managementkomponenten: Störungsbeseitigung, Wartung, Softwarepflege, Hersteller- und Systemhaus-Support, Hardwaretausch, Patch- und Release-Management, Betriebsunterstützung, nachvollziehbarer Eskalationsprozess. Verfügbarkeit der Lösung: mindestens 99,9 % pro Jahr. NOC-Leistungen mit Security-Analyse. SOC-Leistungen als ergänzende Option/Add-on, inklusive Monitoring, Triage, Analyse, Alarmierung, Erstbearbeitung, Incident Response, Meldeketten, Rufbereitschaft, Mandantenfähigkeit, SIEM-/SOAR-Anbindung, Logquellen, Sensorik, Reporting und Kommunikationswege.

Auftragsdokumente

Weitere Details