Public procurement notice: Contract Award Notice
Published: 2025-02-10
Buyer: МИНИСТЕРСТВО НА ЗДРАВЕОПАЗВАНЕТО
Country: BG
Region: BG411
Contract type: Supplies
Procedure: Open procedure
CPV classification: 48810000: Information systems
Estimated value: 2028700 BGN
Submission deadline: 2025-07-30
Award criteria: price
EU fund: eu-funds

Technical requirements: „Осигуряване на решения за подобряване на киберсигурността в сектор "Здравеопазване" в изпълнение на проект BG16RFPR002-2.003-0002-C01 „Повишаване на капацитета за реагиране при инциденти, засягащи информационната и комуникационна сигурност в сектор „Здравеопазване“, финансиран в рамките на Приоритет 2 на Програма „Научни изследвания, иновации и дигитализация за интелигентна трансформация” 2021-2027“, включваща 6 обособени позиции
Критерият за възлагане на поръчката е икономически най - изгодна оферта определена, съобразно предложена
„най - ниска цена“, на основание чл. 70, ал. 2, т. 1 от ЗОП.
Платф да включва права за ползване на модул за откриване на заплахи свързани с  организацията на Възложителя и модул за откриване на компрометирани идентичности от организацията на Възложителя за период не по-малък от 36 месеца.
Достъпът до различни функционалности/информация в платф да бъде разделен на модули с възможност за конфигуриране на ролеви базиран достъп
изисквания към платформат
Платф да включва разузнаване за заплахи на база отворени (уебсайтове, paste sites, хранилища за код (code repositories)) и затворени източници (TOR сайтове, форуми със силно ограничен достъп в darknet, пазари в darknet). Технически източници, включително сайтове за анализ на зловреден софтуер и индикатори на заплахи.
Платформата да има възможност да обединява данни от трети страни - Reversinglabs, Shodan, Avast, URLscan, като служи за единен източник за получаване на разузнавателна информация за заплахи.
Платформата да има възможност да предоставя информация за заплахи от доставчици като VISA и различни ISAC групи.
Платформата да има достъп, да събира и предоставя информация за заплахи от високи нива на международни криминални форуми.
Платформата да има възможност да събира и предоставя данни от затворени общности в тъмната мрежа и да предоставя опционални услуги за взаимодействие с участници в тъмната мрежа от форуми от средно и високо ниво.
Платформата да има възможност да извършва активно наблюдение на ботнет мрежи.
Разузнавателните данни в платформата предоставени й от трети страни да бъдат допълнително обогатени с информация и потвърдени.
Платформата да използва Natural Language Processing за автоматизирано анализиране на текст от различни езици: арабски, китайски (както опростена, така и традиционна писменост) английски, френски, немски, италиански, японски, португалски, руски, испански, шведски.
Платформата да е достъпна през единен портал, посредством уеб браузър, като уеб съдържание. Информация или визуализации от платформата да могат да бъдат експортирани във формати, като JSON, CSV, STIX, PPT, PNG, PDF и Word документи.
Платформата да поддържа възможност за достъп през API интерфейс.
Платформата да се обновява с нови данни в реално време.
Платформата да разполага и предоставя исторически данни за заплахи минимум 10 години назад.
Изисквания към модул за откриване на заплахи свързани с организацията на Възложителя
Модулът да включва права за ползване на изискваните функционалности от минимум четири потребителя на Възложителя.
Наблюдението на тъмната мрежа да бъде постигнато посредством автоматизирани и ръчни методи за активно наблюдение. Модулът да използва алгоритми за машинно обучение за събиране, структуриране и анализиране на данни със скоростта и мащаба на интернет, както и да използва ръчно събиране, което да се извършва от членове на вътрешен екип за изследване на заплахите.
Модулът да включва функционалност за засичане на Domain Abuse, като наблюдава и събира информация от издателите на сертификати с фокус в/у домейни видени за първи път в Certificate Trust List. Подхода позволява разширяване на информацията за поддомейни и напълно квалифицирани имена на домейни (FQDN), както и за домейни от най-високо ниво (TLD), които имат регистратори, които са ориентирани към поверителността или са секретни.
Модулът да открива и алармира за възможно имитиране на фирмени ръководители, уебсайтове, домейни и лога.
Модулът да открива и алармира отвличане на профили в социалните мрежи Twitter и LinkedIn.
Модулът да предоставя оценка на риска за различни URL-и.
Модулът да засича "typosquat" домейни от поне 20 различни типа DNS-Twist правила.
Модулът да се достави с включени минимум 25 броя Takedown услуги годишно за предприемане на действия от страна на производителя по премахване на съдържание като:
•  Домейни/уеб сайтове с подобен URL адрес на марката, който хоства злонамерено или phishing съдържание.
•  Domain squats.
•  Злоупотреба с марката в социалните медии.
•  Измамно съдържание или съдържание в нарушение на марката.
•  Неоторизирани мобилни приложения. Мобилни приложения, използващи брандиране на организацията без разрешение. например дублиране на легитимно приложение или версия, която е била подправена (рекламен, злонамерен софтуер, шпионски софтуер и т.н., вградени в приложението, създавайки негативно изживяване за крайния потребител и причинявайки щети на марката).
•  Сървъри за злонамерен софтуер, насочени към клиенти. Изпускане на зони, командни и контролни структури, пренасочвания на зловреден софтуер и изтегляния.
Изисквания към модул за откриване на компрометирани идентичности от организацията на Възложителя.
Модулът да позволява откриване на изтекли идентификационни данни от домейни на организацията.
Модулът да включва права за ползване на изискваните функционалности от минимум 1 (един) потребител и мониториране на минимум 25 000 идентичности.
Модулът да открива изтекли идентификационни данни в тъмната мрежа и затворени хакерски форуми, изтекли бази данни в тъмната мрежа и регистрационни файлове.
Модулът да събира изтеклите данни както под формата на машинно (автоматично) , така и ръчно събиране.
Модулът да взима информация за кражба на идентичности от логове на актуални вируси, като включва минимум данни от:
● Vidar
● Redline Stealer
● Racoon Stealer
● Meta Stealer
● Ficker Stealer
Модулът да позволява филтриране на резултатите въз основа на датата на изтичане, както и въз основа на атрибути на парола, за да се елиминират течове, при които корпоративен имейл адрес е бил използван за регистриране за частни дейности.
Модулът да предоставя подробности за открити изтекли идентификационни данни, включващи:
● Източници на изтичане
● Дати на кражба на данни от зловреден софтуер
● Информация дали паролата е налична в ясен текст
● Популярни хешове на пароли (MD5, NTLM, SHA)
● Адресът на услугата за оторизация, за която е изтекла паролата
● Откраднати бисквитки
● Тип Infostealer
● Точният път на файла infostealer
● Името на компютъра на жертвата
Система за откриване на заплахи, на база поведенчески анализ на данните от мрежовия трафик
Минимални изисквания
Да бъде доставена система за откриване на заплахи, на база поведенчески анализ на данните от мрежовия трафик. Участникът да достави всички необходими лицензи с права за ползване на всички изисквани функционалности за не по-малко от 1000 (хиляда) IP адреса, за период от минимум 36 (тридесет и шест) месеца.
Системата да предоставя функционалност за откриване на заплахи в реално време в мониторираните мрежи на Възложителя въз основа на идентифициране на поведение и действия типични при атака. Механизмите на предложената система за откриване на заплахи да не зависят от правила и сигнатури.
Системата да може да работи без да е необходима връзка с интернет, например в air-gap среда. Предложената система да не изисква съхранение, обработка и обогатяване на метаданни извън мрежата на Възложителя.
Системата да може да извършва анализ на мрежов трафик във вътрешните мрежи на възложителя и в облачни мрежи. Системата да осигурява видимост в North-South, East-West трафик.
Системата да не изисква използването на агенти за предоставяне на изискваните функционалности.
Системата да може да идентифицира заплахи в криптиран трафик, без да е необходимо неговото декриптиране.
Системата да включва функционалност за генериране на автоматични известия при откриване на заплахи.
Системата да разполага с механизъм за динамично оценяване на риска на отделните хостове в мрежата на организацията на база тяхното поведение във времето.
Системата да създава Fingerprint на хостовете в мрежата за да може да проследява поведението на един и същ хост във времето, дори при промяна на неговия IP адрес, така че при проява на индикатори за развитие/напредване на атаката да се увеличава тежестта на риска асоцииран към съответния хост.
Системата да предлага възможност за бъдещо надграждане с функционалност за извличане и обогатяване на метаданни от мрежовия трафик и тяхното препращане за съхранение в облачно приложение и хранилище на производителя с цел извършване на задълбочен анализ и откриване на заплахи.
Системата да може да открива заплахи в ранен етап, на база идентифициране на индикатори за поведение и действия типични за атакуващите и посредством съпоставяне на случващото се с тактиките и техниките описани в MITRE ATT&CK framework.
Архитектурата на предложената система да е базирана на дистрибутирани в мрежата сензори, които извличат метаданни от мрежовите пакети в реално време и препращат събраните метаданни към централен компонент, който извършва анализа на поведението необходим за откриване на заплахи. За извличане на метаданните сензорите на системата да използват копие на мрежовия трафик. Сензорите на предложената система да могат да получават мрежов трафик минимум от SPAN портове, огледални (mirror) портове, TAPs, брокери на пакети и виртуални комутатори на VMware.
Сензорите на предложената система да могат да бъдат под формата на виртуални машини, специализирани физически устройства или инстанции предназначени за инсталация в AWS или Azure облачнa среда.
Основният елемент на предложената система да може да бъде под формата на виртуална машина или специализирано физическо устройство.
Системата да може да открива заплахи и идентифицира потенциална злонамерена дейност или компрометиране въз основа на контекста на наблюдаваното поведение в хостове, акаунти и услуги.
Системата да може да класифицира откритите заплахи използвайки терминология с препратки към Mitre ATT&CK framework.
Системата да може да изгражда модел на взаимодействията между различни потребителски акаунти, хостове и услуги в наблюдаваната мрежа на база, на който да може да засича аномалии и да открива злоупотреба с привилегировани акаунти, като нетипично използване на потребителски акаунт на различни устройства или използване на услуги на хостове, които обикновено потребителя не използва.
Предложената система да включва централизирано управление и администриране на всички нейни компоненти.
Системата да включва функционалност за сортиране на събитията по важност, включително инструмент за предлагане и създаване на автоматични правила за филтриране на събития, които с голяма вероятност са в резултат на нормална комуникация в инфраструктурата на организацията.
Системата да използва пасивна техника за инспекция на трафика, да не въвежда латентност в мрежата и да не оказва въздействие върху производителността на съществуващи услуги и приложения в организацията.
Системата да използва, като основен източник на данни, метаданни от необработен мрежов трафик прихванат от сензорите на предложената система.
Системата трябва да идентифицира хостове и акаунти, засегнати от конкретна кампания за атака, позволявайки на анализаторите да идентифицират всички засегнати хостове и акаунти и да разберат първоизточника на атаката и последователността от събития.
Системата трябва да събира всички засичания на ниво хост и акаунт и да извежда приоритетно информация за хостове или акаунти, които показват злонамерено поведение.
Предложената система да включва права за обновяване на алгоритмите за машинно обучение и добавяне на нови алгоритми от производителя на системата.
Системата трябва да може да идентифицира и проследява хостове, включително когато се свързват през VPN. Да проследява страничното движение на нападатели и всички засегнати хостове, да изгражда и предоставя изглед на цялата кампания на атаката, и да добавя информация за взаимовръзките между засегнатите хостове, акаунти и използвани услуги.
Системата трябва да може да съхранява отделни аларми в PCAP формат с цел подпомагане на дейности за разследване. Системата трябва да започне да събира събития в инцидент само след като бъде засечено подозрително поведение с цел намаляване на необходимото пространство за съхранение на данните.
Системата да може да съхранява локално записи за откритите заплахи за период не по-малък от 3 месеца.
Решение за защита от зловреден софтуер, откриване и отговор на заплахи на работни станции и сървъри и услуги за реакция при инциденти и откриване на заплахи.
Минимални изисквания
Участникът трябва да достави всички необходими лицензи с права за ползване на всички изисквани функционалности за защита на не по-малко от 500 работни станции и сървъри, за период от минимум 36 (тридесет и шест) месеца.
Антивирусни функционалности от следващо поколение базирани на машинно обучение, локален анализ и предотвратяване на заплахи
Предотвратяване на заплахи, базирано на поведение и динамичен анализ на работещи процеси
Предотвратяване на експлоатация чрез техника на експлоатиране
Автоматизирана интеграция с базирана в облак услуга за предотвратяване на злонамерен софтуер, с отчети за анализ и поддръжка на минимум 100MB размера на файла
Модул за инспекция на мрежата с цел спиране на мрежови атаки
Функционалност за създаване на профили за сигурност и задаване на изключения
Извънредно и планирано сканиране на крайни точки
Отдалечено изолиране на единична крайна точка или множество крайни точки
Защита срещу злонамерен софтуер, крипто вируси и атаки без файлове
Унифициран агент за защита, откриване и реакция срещу заплахи на крайните точки
Отдалечено изтриване на файл на една или няколко крайни точки
Единна уеб-базирана конзола за управление за сигурността на крайните точки, както и разширено откриване и реакция при инциденти
Откриване и  отговор на заплахи, включващи управлявани и неуправлявани крайни точки
Защитна стена на хоста
Възможност за криптиране на диска
Възможност за управление на USB устройства
Персонализирани правила за превенция
Автоматично групиране на свързани сигнали от различни източници в един инцидент
Интуитивен изглед на инцидента с възможност за преглед на инцидента, тактики на MITRE и ключова информация за инцидента.
Възможност за персонализирано оценяване на инциденти
Списък на забележителни артефакти от сигнали и обогатена информация от услуга за разузнаване за заплахи
Изброяване на потребители и хостове, участващи в инциденти, за бързо определяне на обхвата на инцидента
Функционалност за добавяне на коментари към инциденти
Обединяване на инциденти по избор
Функционалност за отдалечен терминал
Функционалност за изпълнение на команди и скриптове на CMD, PowerShell и Python в Windows
Функционалност за изпълнение на команди на Bash и Python на macOS и Linux
Функционалност за преглеждане, спиране или прекратяване на работещи процеси или изтегляне на двоични файлове с графичен мениджър на задачи за Windows, macOS и Linux
Мащабируемо, облачно базирано управление, както и инсталация на агент
Контрол на достъпа, базиран на роли (RBAC) за персонализирани права
Възможност за достъп до платформата посредством мултифакторна автентикация (MFA)
Персонализирани информационни изгледи с високо ниво на сигурност и оперативна информация
Инструменти за управление на трети страни, базирани на стандарти приложно програмни интерфейси, които се интегрират и извършват административни действия
Решението да включва права за използване на облачна среда за съхранение и анализиране на логове от крайни устройства и защитни стени с капацитет минимум 30GB на ден и 30 дневен период за съхранение.
Автоматизирано свързване на данни от крайни точки, мрежа, облак и данни за идентичност, включително предупреждения и събития за сигурност
Автоматизиран анализ на първопричината за всеки сигнал, включително мрежови сигнали, ако има налични данни за крайната точка
Да има възможност за предоставяне на анализа във времева линия, за да може да се видят всички действия и сигнали и тяхната последователност
Възможност за използване на база за разузнаване (Threat Intelligence) на заплахи от източници на трети страни във формати JSON и CSV
Решението да прави анализ на крайните устройства включително инвентаризация, оценка и управление на уязвимости, както и незабавно намиране и премахване на заплахи
Решението да включва следните разширени функционалности за събиране, задълбочен анализ и разследване на данни Windows базирани машини:
История на браузъра (Chrome, Edge, Firefox, Internet Explorer)
Достъп до файлове
Стартиране на процеси
Мрежова активност
История на команди
Отдалечен достъп

Откриване и реагиране на заплахи, включващи облачни сървъри
Непрекъснато събиране и централизирано съхранение на всички данни за сигурност с цел поведенчески анализи
Една година съхранение  на одитни дневници на административна и следствена дейност
Да бъде включена услуга предоставяна от производителя по заявка на Възложителя за реакция при инциденти и откриване на заплахи.
Услугата да е за период от минимум 3 години.
Услугата да включва минимум 400 часа за реакция при инциденти.
Услугата да е налична 24/7/365 с до 2 часа време за реакция.
Услугата трябва да идентифицира индикатори за злонамерена дейност и присъствие на заплаха.
Услугата трябва да  открива потенциално нежелани програми, неупълномощена дейност, рискови конфигурации и необичайна потребителска активност, които обикновено могат да се пропуснат от автоматичните системи.
Услугата трябва да открива скрит риск от ransomware, като се фокусира върху ранните етапи на ransomware чрез анализиране на телеметрията на крайната точка и търсене на индикатори за компрометиране, свързани със сложни ransomware групи.
Услугата трябва да открива неавтентикирано проникване, ескалация на привилегиите и странично движение.
Услугата трябва да помага с разработването на политики, процедури, стандарти и работни потоци.
Услугата трябва да събира, възстановява и интерпретира  информация, събрана от цифрови медии чрез прилагане на патентовани най-съвременни инструменти за цифрова криминалистика.
Услугата трябва да извършва дигитални разследвания, включително въпроси, свързани с вътрешни заплахи и кражба на интелектуална собственост.


Number of bids: 0