『경기도사이버중앙도서관 웹방화벽 』과업 지시서

Ⅰ. 사 업 개 요

1. 사 업 명 : 경기도 사이버 중앙 도서관 웹방화멱 구매

2. 목    적

□ 외부 해킹을 방어 하기 위한 홈페이지 보안 강화

□ 개인정보 유출 차단

□ 검색엔진 (Google)을 이용한 검색엔진 해킹 차단

□ 사이버 도서관 기 보유중인 방화벽 장비의 취약점 보완

□ 국정원 8대 보안 취약점 보안 및 OWASP Top 10 웹 취약점 공격에 대한 방어

□ 공공기관 개인정보보호에 관한 시행 법률 강화로 이한 개인정보 유출 차단

3. 납품 및 설치기한 : 계약체결일로부터 7일 이내 □공휴일 포함

4. 설치장소 : 경기도사이버중앙도서관(전산실)

5. 주요사업 및 구매내역

가. 사이버 도서관 운영용 웹방화벽 1식

□ 세부내역 □III.물품규격서□ 참조

Ⅱ. 일반사항

1. 목적

본 규격서는 경기도사이버중앙도서관(이하 □갑□이라 한다.)에서 경기도 사이버 도서관 웹방화벽 도입에 관련 필요한 세부사항을 명확히 정의하기 위함.

2. 입찰참가자격

가. 부가가치세법 또는 소득세법에 의한 전산설비 제조 또는 도·소매에 관한 사업자 등록증을 교부받거나, 납세번호를 부여받은 자.

나. 국가종합전자조달시스템 입찰참가자격등록규정('03.4.7 개정)에 의하여 반드시 G2B분류번호(6자리 431729)로 입찰참가 등록한 업체.

다. 과업 지시서에 의거 공고된 내용의 물품을 납품할 수 있는 자.

3. 계약자 준수사항

가. □을□은 전자 입찰 낙찰 후 3일 이내에 계약을 하여야 한다 기간내에 미계약시 계약 포기로 간주한다.

나. □을□은 계약 전에 본 규격서를 비롯한 기타 계약서류를 조사 검토하여 시행하여야 하며, 의문 사항은 반드시 □갑□의 의견을 확인하고 계약 후에는 □갑□의 해석과 관계법규를 준수하여야 한다.

다. □을□은 시방서에 명시된 물품 일체를 일괄공급방식으로 납품□설치하여야 한다.

라. □을□은 본 규격서 및 구매품목에서 기재되지 않은 사항이라도 시스템 구축     및 운영에 필요한 사항은 반영시켜 납품하여야 한다.

마. □을□은 □갑□이 승인하여 납품 완료한 기기일지라도 본 사양의 성능 발휘에    중대한 차질이 발생 될 경우 □을□의 책임 및 부담으로 수리 또는 교환한다.

바. □을□은 납품하는 장비에 대하여 설비를 하자 없이 수행 하여야하며 □갑□의

경기도사이버도서관 시스템 납품 에 있어서 최대한 협조하여야 한다.

사. □을□은 시스템 납품 후 시스템의 안전성과 신뢰성을 보장하기 위하여 □갑□이 지정하는 장소에 일정시간 상주하여 시스템 안정화를 위한 감시 및 튜닝을 실시하여야 한다.

4. 적용규격

가. 설치되는 모든 제품은 □갑□이 규정한 사양 이어야 하며, 납품 후라도 기준 미달 부분이 발견되거나 누락되어 있는 부분이 있을 때에는 즉시 교체하거나 적합한 제품을 납품하여야 한다.

나. 설치되는 모든 제품은 제조 및 공급사의 100% 정품으로 납품되어야 한다.

다. 규격의 누락 또는 기준 미달의 경우 장비의 성능 및 안정성을 인증하는 인증서를 계약시 첨부하지 않고 타사 제품을 사용한 경우에는 □갑□은 계약을 해지할 수 있다.

5. 납품 및 설치

가. □을□은 H/W 및 S/W에 대한 세부물품리스트, 설치일정표, 제조사공급자증명원,제조사기술지원확약서를 계약당일 제출하여 감독공무원 또는 담당관의 승인을 얻어야 한다.

나. 납품 및 설치는 계약 체결일로부터 7일로 한다. 기일 내에 설치하지 못할 경우 계약 해지 또는 법령이 정하는 지체상금을 납부하여야 한다.

다. 납품장비는 제품 출시 후 1년 이하의 최신의 제품이어야 하고, S/W는 최신버전으로 제공하되 본 규격서 III항의 품목별 세부규격을 우선으로 주 전산기 및 부대장비 일체를 일괄 납품, 설치하여야 한다.

라. 장비설치 및 개통에 필요한 통신시설, 전원설비에 대한 환경조성 등 모든 필요한 사항을 조치하여 설치하여야  하며, 설치 시 필요한 일체의 부품 및 부대비용은 □을□이 부담한다.

마. 신규장비 구축작업은 경기도사이버중앙도서관 및 각종 서버와 연계된 기존 업무에 지장이 없어야 하며, 경기도사이버중앙도서관에서 운영중인 각종장비(주전산기, 백업장비, LAN)의 정상 운영에도 지장이 없어야 한다.

바. 검수 완료 후에라도 본 시스템의 운영과 관련된 □을□ 의 책임으로 발생되는    모든 사고와 그로 인한 손해에 대하여는 □을□이 변상 조치하여야 한다.

사. □을□은 무상 유지보수 기간 동안 향후 제품의 기능향상(업그레이드)으로 인하여 프로그램 추가 설치가 필요한 경우에는 동일 버전으로 무상지원 하여야 한다.

아. 경기도사이버중앙도서관에 납품되는 모든 물품의 OEM 납품을 금지한다.

자. 상용 S/W 납품시 해당 S/W 라이센스 및 BOX 정품으로 납품 하여야 하여 번들 KIT 납품은 금지한다.

6. 보안대책

가. □을□은 전산실 출입 등에 대하여 □갑□이 요구하는 제반 보안사항을 충실히 이행하여야 하며 보안각서를 제출하여야 한다.

나. □을□은 설치 중 취득한 □갑□의 보안사항 및 기타 시스템의 내부구성, 네트워크, 데이터 등 일체에 대하여 보안을 유지하여야 하며 이에 따른 문제발생 시 □을□이 모든 민형사상 책임을 진다.

7. 검사 및 검수

가. 검수의 대상범위는 본 규격서에 의한 시스템의 납품, 설치 및 시스템의 정상 가동여부에 대한 확인과정을 포함한다.

나. 물품규격의 확인은 본 구매규격서의 내역에 따르며, 규격 확인이 어렵거나 미흡한 경우 □을□은 관련 증빙서류 제출 및 기타 확인과정을 통하여 이를 입증하여야 한다.

다. □을□은 검수개시 1주전까지 구매규격서의 요구조건을 충분히 포함하는 시험항목 및 방법 등을 기술한 검수계획서를 □갑□에게 서면으로 제출하여 승인을 받아야 하며, 검수계획서에는 다음의 사항들이 필히 포함되어야 한다.

1) 장비구성 품목 및 구성도

2) 시험항목 및 방법

라. □을□은 검수에 필요한 시스템 개요와 운영관련 기술을 □갑□에게 충분히 제공 하여야 하며 시험가동과 검수에 필요한 물품은 □을□이 무상으로 제공하여야 한다.

마. □을□은 검수 요청 전 시스템의 정상작동 여부를 시험가동하고 그 결과 문제가 없을 경우 검수 요청을 하여야 하며, 시험 가동 시 발견되는 에러나 불합리한 문제점, 시스템 보완요구 사항에 대해서는 즉시 조치하여야 한다.

바. 최종 검수 결과 시스템 운영이 불가하다고 판단되거나 기기의 하자발생으로 계약조건을 이행하지 못하는 것으로 판단될 시 □갑□의 요구에 의해 □을□은 납품·설치한 모든 장비를 철거 및 회수해야 하며 그 비용은 □을□의 부담으로 한다.

사. 납품일 내에 다음 사항을 입증해야만 검수 요청을 할 수 있으며, 시스템의 하자로 시스템 가동이 지체될 경우 시스템 일체를 교체하여야 한다.

1) 본 구매규격서 내역에 맞는 시스템 납품 및 설치

2) 기존 통신장비 및 기타 주변장치와의 정상 가동

아. S/W 납품시 Package 가 아닌 자체 개발 프로그램 납품시 관련 소스를 검수시 제출 하여야한다.

자. 감독관이라 함은 경기도 사이버중앙 도서관으로부터 감독의 임무를 부여받은 직원을 말하며 시공업체 현장대리인에 대한 지시, 승인, 검사 등을 수행한다.

8. 하자보증 및 유지보수

가. 무상하자보증기간은 검수 일로부터 1년 까지 하고, 숙련된 전담기술자를 지정하여 월1회 이상 정기점검과 OS 및 기타Device 등의 Patch 적용을 실시하고, 결과보고서를 제출하여야 한다.

나. 하자보증기간 중 발생한 하자에 대해서 □을□은 신속하게 수리 또는 교체  하여 운영의 중단을 초래하지 않아야 하며, 하자로 인한 피해가 발생할 시는 □을□이 부담 변상조치 하여야 한다.

다. □을□은 24시간 비상연락체제를 유지하여 장애복구에 책임을 져야 하며 장애(고장)통보를 받은 시간으로부터 4시간 이내에 도착하여 보수에 착수하고 24시간 이내에 복구하여야 한다.

라. 장애발생시 48시간(일과 후 시간포함)이상 정상운영이 불가능한 경우에는 즉시 동일규격의 장비로 대체 설치하여 업무에 지장이 없도록 하여야 한다.

마. 다, 라항과 관련하여 피해가 발생할 시는□을□은 변상 조치하여야 하며, 장애복구에 따른 시간초과로 정상적인 업무에 지장을 초래한 경우 □을□은 지방자치단체를 당사자로 하는 계약에 관한 법률 시행 규칙 안 제75조에 의하여 지체상금을 지불하여야 한다.

바. 모든 납품 H/W, S/W에 대해 월3회 이상 동일한 장애가 발생하였을 경우, □갑□의 요청에 따라 □을□은 납품한 전 품목을 신규로 교체하여 제공하여야 한다. 월3회라 함은 최초발생기준 30일 이내 3회 이상 발생을 의미한다.

사. □갑□이 추후 무상 유지보수기간동안 시스템을 확장하거나 이설, 타 기종으로 교체 등이 발생할 경우 □을□(서버 설치 작업을 실시했던 모든 협력업체 포함)은 이에 적극 지원하여야 한다.

아. 일과 후 및 공휴일에도 기술팀과 항시 연락될 수 있도록 비상연락체제를  구축하고 변동사항 발생 시 수시로 그 명단과 연락처를 제출하여야 한다.

9. 제출서류

가. □을□은 계약시 다음의 산출물을 문서화하여 제출하여야 하며 사업 수행 중 □갑□이 필요하다고 판단되는 산출물은 □을□이 추가 제출하여야 한다.

1) 납품 제품 및 업그레이드 관련 부품 제조사의 공급자 증명서 및 기술지원 확약서 원본 1부.

2) 기타 납품되는 H/W(부품별), S/W일체에 대한 LIST 및 정품보증서 1부.

3) 낙찰업체는 제조업체가 발행한 제조사의 공급확약서 및 기술지원 확약서를 계약 당 일 반드시 제출하여야 하며 미 제출 시 계약포기로 간주한다.

10. 교육 및 운영지원

가. □갑□이 요청할 시 □을□은 시스템 설치 완료 후 중급 기술자 1명 이상을 1주 이상 □갑□이 정하는 장소에 상주시키며, 다음과 같은 사항을 지원하여야 하며 필요한 경우 상주일은 □갑□과 협의하여 조정할 수 있다.

1) 납품한 시스템(H/W 및 S/W)의 전반적인 보완, 개선 작업

2) 장애발생 시 신속한 복구 및 기술 지원

3) □갑□의 시스템관리자에게 운영에 관련된 실질적인 기본교육 지원

4) □을□과의 협의 창구 역할 수행

나. □을□은 납품 계약 및 납품 완료 시 □갑□ 전산 요원의 시스템 운영에 필요한 아래 과정의 교육을 무료로 실시하여야 하며 □갑□의 별도 요구 시 공인 교육 기관의 교육 쿠폰을 해당 과정 수에 따라 무상으로 제공하여야 한다.

1) 교육인원 : 과정별 1명 이상

2) 교육내용

- 개인정보 방화벽 SYSEM 교육(관리자, 개발자)

3) 교육용 교재 : 무료 제공

다. □을□은 본 시스템의 유지관리 및 운용을 위한 시스템 설명서, 장비별 운용법, 예방점검법 등을 납품 시 □갑□에게 제출하여야 한다.

라. 본 시스템을 확장하거나 타 장비와 접속하고자 하는 경우 인터페이스가 가능하도록 관련 기술을 지원하여야 한다.

Ⅲ. 물품규격서(세부납품규격)

1. 웹방화벽

구 분	주 요 사 양
도입품목	·품명 : 웹방화벽
세부사양 (H/W 사양 및 기능)	o 웹 기반 해킹으로부터 홈페이지 방어 o 신규 어플리케이션 추가시 편의성을 위한 마법사(Wizard) 기능제공 o 기존 정책으로부터 정책 백업 시 관리자가 선택하여 특정 부분만 선택하여 백업 기능 o 직접 로그로부터 예외룰을 운영중인 정책에 재 정의 기능 o 어플리케이션 정책 및 예외정책 적용 유연성 방안 제시 o 웹서버의 소스 수정없도록 HTTPS 구축가능할 것(클라이언트와 웹보안장비 구간은 HTTPS, 웹보안장비와 웹서버 구간은 HTTP로 구현) o 웹주소 변환 WAT(Web Address Translation) 기능 o Layer 7 Rate Control - L7 DoS Protection o 웹 해킹에 이용될 수 있는 취약점 정보 수집의 사전 차단 기능 o Crawling(크롤링) 툴에 의한 사이트 구조 노출 차단 o Active Directory, LDAP 연동을 통한 강력한 사용자 인증(AAA) o 전체페이지가 아닌 특정 페이지에 대한 HTTPS 리다이렉션 기능 (부분적인 SSL암호화) o 쿠키 암호화를 통한 쿠키변조 차단 o 웹서비스 공격 차단 방지 기능 (Schema Poisoning, XML Parameter 변조, XDoS 방지, WSDL 스캐닝등) o 웹 서버가 여러 세그먼트로 분산되어 있을 경우 정책 적용 방안 제시 o 자동학습 기능 이외 사용자 정의 정책 가능 여부 명시 o 관리 콘솔과 장비 간에 데이터 암호화 처리 o 웹 서버 정보, OS 정보 등에 대한 은폐 기능 o 파일 압축, 캐싱 지원 (Compression, Caching 등)

구 분	주 요 사 양
세부사양 (H/W 사양 및 기능)	o 주요 보안 취약점(OWASP Top 10)에 대한 공격 차단 기능 . OWASP Top Ten Most Critical Web Application Vulnerability (New Top Ten 2004) . 입력값 검증 부재 (A1 : Unvalidated Input) . 취약한 접근 통제 (A2 : Broken Access Control) . 취약한 인증 및 세션관리 (A3 : Broken Authentication and Session Management) . 크로스 사이트 스크립팅(XSS) 취약점 (A4 : Cross Site Scripting Flaws) . 버퍼 오버플로우 (A5 : Buffer Overflow) . 삽입 취약점 (A6 : Injection Flaws) . 부적절한 에러 처리 (A7 : Improper Error Handling) . 취약점 정보 저장 방식 (A8 : Insecure Storage) . 서비스 방해 공격 (A9 : Denial of Service) . 부적절한 환경 설정 (A10 : Insecure Configuration Management) . 네트워크 DoS 방지 기능 . 파일 업로드 취약점 방지 기능 o 주민번호, 신용카드 번호, 쿠키 암호화 등 Cloaking 기능 제공 o HTTP, HTTPS이외의 Protocol에 대한 보안기능 (예 : FTP, SMTP, POP 등) o 장비에 접속하지 않고도 정책을 편집/설정 후 장비에 접속하여 정책을 업로드할 수 있는 오프라인 에디팅 기능 제공 o 세밀한 웹페이지 접근 통제 기능 - 관리자 페이지에 대한 특정 네트워크에서만 접근 허용 - 특정 페이지에 대해 Method 제한 - 특정 디렉토리에 대한 자동학습 기능 선별 지원 - 전체적 차단 모드에서 특정 서비스만 모니터링 모드 지원 o 웹 보안시스템의 관리방안 및 웹 보안시스템 자체의 보안성 명시 o 서비스 트래픽과 관리 트래픽의 모듈 분리 구현 여부와 상세 아키텍처 제시 o 장비 자체 HA (High Availability) 지원(L2~3 스위치 연동) o 정책 설정 파일의 자동 백업(일별, 주별) 및 복구기능 o 웹 서비스의 부분적인 개편 시 기존 정책에 영향 없이 추가적인 정책 적용 방안 제시 o 네트워크 상에서 웹서버의 설정 변경없이 투명하게 인라인으로 구성될 것 o 웹서버의 설정변경없이 클라이언트의 소스 IP를 웹로그 및 게시판 등에서 클라이언트의 실제 IP로 기록

구 분	주 요 사 양
세부사양 (H/W 사양 및 기능)	o 성능 기준(제안 장비 1대 기준, HTTP기준) : 18,000 TPS(Transaction Per Second) 이상 (1k인 경우) 10,000 CPS(Connection Per Second) 이상 (1k인 경우) 700,000 만 동시 세션 이상 처리 응답지연 시간이 1ms 이내일 것 o 트래픽 처리 2 port 이상 지원 및 10/100/1000 지원 o 요청/응답 헤더 재작성 기능 o 관리자가 직접 정규식(Regular Expression)을 사용하여 URL ACL 차단 정책을 생성/등록 가능할 것 (Regulare Expression 지원) o HA구성시 각각의 장비에서 원격의 웹사이트를 모니터링함으로서 장비의 이상유무를 판단하여 Fail Over시킬 수 있는 Front-End Health Check 지원 o 클라이언트가 웹서버에 대해 웹공격등 잘못된 접근시 차단 근거에 따라 다른 Response 정책을 지정 및 편집 할 수 있을 것 o 로그인 ID별 역할 기반(Role Based) 웹방화벽 정책의 수정/접근/모니터링등 제어 기능 (Read/Write/Owner) o AVDL (Application Vulnerability Description Language) 을 지원하는 Web Application Vulnerability Scanner와 호환 여부 o 지정단위검색(월별/주별/일별/시간별 로그에 대한 통계를 보고) o 시스템 로그(CPU, Memory사용량, 트래픽 추이) 지원 o 공격자 TOP 10 차트 출력 o 추출된 정보를 다양한 포맷으로 export 기능 제공(doc, html등) o 정의된 조건에 해당시 해당 이벤트 이메일 전송 기능 o File Size에 의한 로그 분리 저장 o 실시간 Chart 제공(공격대응, 공격자 TOP 10, 공격유형등) o 통계 리포트 공격 국가별 현황 자료 출력 o 검색 기능 (룰이름별, URI별, 포함조건 검색, 제외조건 검색) o 다양한 그래프 출력 (예: 막대, 파이, 선형등) o SNMP Trap을 이용한 연동 지원 o 블랙리스트 클라이언트에 대한 지정된 기간 동안의 공격 추이분석을 통한 추적 기능 o 위험도에 따른 침해행위 자동 분석 기능 o 최근 1시간 공격 유형 분포 통계 o 히트수 통계 제공 o 룰별 분포 통계 제공 o 5초, 10초, 1분등 지정된 시간을 통해 장비로부터의 전송된 실시간 로그 자동 refresh기능