Objeto: 1. Para fins desta licitação o objeto se constitui na aquisição de equipamento firewall e licença de antivírus para proteção da rede interna de computadores, conforme especificações e quantidades estabelecidas abaixo:
1.2 É obrigatória a apresentação de marca e modelo para o item 01, sob pena de desclassificação.
1.3 É obrigatória a apresentação de marca para o item 02, sob pena de desclassificação.
1.4 Visando a não identificação do licitante que possua produto de marca própria ou fabricação própria na disputa eletrônica, o mesmo deverá indicar os termos “marca própria” ou “fabricação própria” no campo marca e/ou modelo do sistema, sob pena de desclassificação. A indicação dos termos “marca própria” ou “fabricação própria” somente será aceita no preenchimento do sistema. Na proposta de preços final será obrigatória a apresentação da marca e/ou modelo do produto, de acordo com o exigido no Termo de Referência.




  

1.5 Observações:
SLA:
Chamados, suporte de funcionalidade (manutenção), ajustes ou configuração:
Uma (1) hora para início de atendimento no máximo, (atendimento físico ou remoto).
Quatro (4) horas para resolução no máximo.
Atestado de Capacitação Técnica.
1.6 Detalhamento dos itens:
1.6.1 ITEM 1 - FIREWALL DE PERÍMETRO
1. Appliance UTM
1.
A solução deverá ser composta de hardware e softwares do mesmo fabricante, atendendo todos os requisitos de integração e performance apresentados;
2.
Deve possuir garantia do fabricante pelo período de 36 meses contra falhas em todos os seus componentes;
3.
A implantação dos equipamentos deverá ser planejada previamente em conjunto com o Licitante, onde deverão ser definidos todos os passos necessários para a instalação, incluindo o cronograma de implantação, planos de testes e homologação da solução;
4.
A instalação dos equipamentos só poderá ser iniciada após a conclusão do planejamento e levantamento de todos os requisitos para implantação, testes e homologação da solução;
5.
A instalação física dos equipamentos em rack de 19 polegadas e a parte elétrica deverá ser realizada de acordo com as recomendações do fabricante; 6.
Deverão ser fornecidos todos os cabos, suportes (se necessários, "gavetas", "braços" e "trilhos") para a instalação do equipamento no rack;
2. Características do Hardware
7.
O equipamento deve possuir throughput de no mínimo 9.000 Mbps;
8.
Suportar no mínimo 5.000.000 (cinco milhões) conexões simultâneas;
9.
Suportar no mínimo 42.000 (quarenta e dois milhões) novas conexões por segundo;
10.
Possuir throughput de no mínimo 4.500 Mbps para tráfego IPS;
11.
Possuir throughput de no mínimo 340/587/1.800/1.000 para VPN (3DES/DES/AES/Blowfish) (Mbps)
12.
Possuir pelo menos 12 (doze) 4xUTP 1GBE + 8xUTP 1GBE Bypass);
13.
Possuir dispositivo de armazenamento interno de no mínimo 500 GB SSD;
14.
Possuir mínimo de 1 (uma) porta console de conexão padrão RJ45 para acesso à interface de comando CLI específica para esta finalidade, utilizando cabo do tipo serial RJ-45;
15.
Dispor de fonte de alimentação interna com tensão de entrada de 110V / 220V AC automática.
16.
Possuir módulos opcionais (slot de expansão) – Interface giga RJ 45 module 8x 10/100/1000 UTP – interface 10 giga SFP + module 2x10.000 SFP (apenas uma das opções).
3. Funções Básicas
17.
Suportar VPN SSL, VPN IPSec (Client-to-site e Site-to-site);
18.
Efetuar Controle de Aplicações
19.
Executar Proxy Web e Filtro de Conteúdo Web (URL Filtering);
20.
Permitir detecção e prevenção de intrusos – IPS;
21.
Prover Qualidade de Serviço – QOS;
22. Implementar SD-WAN.
4.
Rede
23.
Suportar o protocolo 802.1q, para criação de até 4096 VLANs;
24.
Efetuar controle de tráfego por estado no mínimo para os protocolos TCP,
25.
UDP e ICMP baseados nos endereços de origem, destino e porta;
26.
Efetuar controle de tráfego por estado no mínimo para os protocolos TCP,
27.
UDP e ICMP baseados nos endereços de origem, destino e porta;
28.
Suportar o Internet Protocol Versões 4 e 6 (IPv4 e IPv6);
29.
Suportar o protocolo 802.1q, para uso e segmentação da rede com VLANs;
30.
Capacidade para trabalhar com conversão de endereços e portas (NAT/NAPT) conforme RFC 3022;
31.
Suportar no mínimo os seguintes protocolos de roteamento dinâmico: RIP1, RIP2 e OSPF;
32.
O equipamento deverá suportar o registro do dispositivo dinamicamente, pelo seu endereço IP de WAN, em pelo menos 5 (cinco) provedores de serviços de DDNS;


Autenticação 
Prover autenticação de usuários para os serviços Telnet, FTP, HTTP, HTTPS e Gopher, utilizando as bases de dados de usuários e grupos de servidores Windows e Unix, de forma simultânea;  
Permitir a utilização de LDAP, LDAP/SSL, LDAP/TLS, RADIUS, hardware tokens (SecureID ou equivalente), certificados X.509 (gravados em disco e/ou em tokens criptográficos/smartcards) e sistema S/KEY para a autenticação de usuários;  
Permitir o cadastro dos usuários e grupos em base de dados própria por meio da interface de gerência remota do dispositivo;  
Permitir a integração com qualquer autoridade certificadora emissora de certificados X509 que seguir o padrão de PKI descrito na RFC 2459, inclusive verificando as CRLs (Certificates Revogation Lists) emitidas periodicamente pelas autoridades, que devem ser obtidas automaticamente pelo dispositivo via protocolos HTTP e LDAP;  
Permitir o controle de acesso por usuário, para plataformas Windows NT, 2000, 2003, 2008, XP, Vista e Windows 7 de forma transparente (sem a necessidade do usuário digitar novamente a senha), para todos os serviços suportados, de forma que ao efetuar o logon na rede, um determinado usuário tenha seu perfil de acesso automaticamente configurado;  
Possuir perfis de acesso hierárquicos;  
Permitir a atribuição de perfil de acesso a usuário ou grupo de usuários de acordo com o endereço ou range IP do equipamento que o usuário esteja utilizando;
6. Política de tráfego 
Permitir o agrupamento das regras de filtragem por política;  
Prover mecanismo que permita a especificação de datas de validade inicial e final, para regras de filtragem, individualmente (por regra);  
Prover mecanismo que permita a especificação da validade para regras de filtragem, individualmente (por regra), por dia da semana e horário;  
Permitir a visualização pela interface gráfica, em tempo real, de todas as conexões TCP e sessões UDP ativas através do dispositivo e a finalização de qualquer uma destas sessões ou conexões;  
Permitir a geração de gráficos em tempo real, representando os serviços mais utilizados e as máquinas mais acessadas em dado momento;  
Possibilitar o registro de toda a comunicação realizada através do firewall, e de todas as tentativas de abertura de sessões ou conexões que forem recusadas pelo mesmo;  
Possuir mecanismo que permita capturar o tráfego de rede em tempo real (sniﬀer) via interface gráfica, com capacidade para exportação dos dados capturados para arquivo no mínimo em formato PCAP;  
Permitir configuração de filtros para a captura do tráfego em tempo real, no mínimo por protocolo, endereço IP de origem e/ou destino e porta de origem e/ou destino, utilizando para tanto linguagem textual;  
Permitir a visualização do tráfego de rede em tempo real (sniﬀer) tanto nas interfaces de rede do dispositivo quando nos pontos internos do mesmo: anterior e posterior à filtragem de pacotes, onde o efeito do NAT/NAPT (tradução de endereços) é eliminado;  
Permitir a execução de até oito capturas de tráfego em tempo real simultaneamente, inclusive em pontos diferentes ou com filtros diferentes;  
Segurança 
Prover mecanismo contra‐ataques de falsificação de endereços (IP Spoofing) através da especificação da interface de rede pela qual uma comunicação deve se originar;  
Prover proteção contra os ataques de negação de serviço SYN Flood, Land, Tear Drop e Ping O'Death;  
Possuir mecanismo que limite o número máximo de conexões simultâneas de um mesmo cliente para um determinado serviço e/ou servidor;  
Detectar automaticamente e inserir regras de bloqueio temporárias para varreduras de portas efetuadas contra o dispositivo ou contra qualquer máquina protegida por esse, mesmo que realizados em períodos maiores que 1 (um) dia;  
Permitir integração com sistema detecção de intrusão (IDS) externo, permitindo que esses agentes insiram regras temporárias no dispositivo em caso de detecção de algum ataque, com duração pré‐determinada, de forma automática;  
Possuir sistema de prevenção de intrusão (IPS) nativo, permitindo o bloqueio do ataque em caso de detecção do mesmo;  
Possuir filtro de aplicações de modo a permitir a identificação de padrões de dados dentro das conexões, possibilitando o tratamento automático (bloqueio, liberação ou redução/aumento de banda) de aplicações do tipo peer‐to‐peer, de download de arquivos, entre outros;
8. Proxies especializados: 
Possuir proxy SOCKS, permitindo que clientes da versão 4 e 5 deste protocolo acessem a Internet através do dispositivo;  
Possuir mecanismo de filtragem de serviços RPC pelo nome do serviço ou, no caso de serviço sem nome pré‐definido, pelo seu número;  
Possuir Proxy nativo para tráfego HTTP, HTTPS, SIP, H323 e FTP  
Possibilitar o gerenciamento completo e a implantação de quotas para navegação web a um determinado usuário ou a um grupo de usuários, de acordo com o perfil de acesso, sendo baseada em volume de dados ou em tempo de utilização do serviço;  
O Proxy HTTP deverá possuir mecanismo que bloqueie Banners, Ac vex, Java, JavaScript, e ainda tentativas de navegação informando na URL apenas o número IP;  
O Proxy HTTP deverá possuir sistema de cache interno, armazenando requisições WEB em disco local e possibilitar ainda a integração com servidores de cache WWW externos, inclusive utilizando ICP (Internet Cache Protocol);  
Permitir visualização dos sites acessados em tempo real;  
Permitir a inclusão de macros enviada para a página de redirecionamento (no caso de bloqueio de categorias) com a categoria na qual o site bloqueado se encontrava;



Permitir a inserção de uma URL de redirecionamento para bloqueio por palavras‐chave nas regras de perfil para HTTP, FTP, Gopher e tipos de

arquivos bloqueados;

Permitir a filtragem de URLs, para os protocolos HTTP, HTTPS, FTP e Gopher, por usuário, permitindo a definição de perfis de acesso diferenciados

para cada usuário ou grupo;


Permitir a remoção de anúncios em páginas HTML, sem que as mesmas percam formatação ou apresentem mensagens de erro;


Implementar Proxy transparente para o protocolo HTTP, de forma a dispensar a configuração dos browsers das máquinas clientes para a utilização das


características dos dois itens acima;


Possibilitar a filtragem da linguagem Java script e de applets Java e Ac ve‐X em páginas WWW, para o protocolo HTTP;


Implementar Proxy transparente para o protocolo HTTPS. A solução deverá possuir a capacidade de decriptar conexões HTTPS atuando como “man


in the middle” e submeter o conteúdo decriptografado ao filtro de URL;

Possuir capacidade de filtro para o MSN Messenger, possibilitando a definição de com quais usuários do MSN Messenger cada usuário ou grupo de

usuário possa se comunicar;

Possibilitar controle do uso do serviço MSN Messenger, de acordo com o perfil de cada usuário ou grupo de usuários, de modo a definir, para cada

perfil, se ele pode ou não realizar download e/ou upload de arquivos, além de limitar as extensões dos arquivos que podem ser enviados/recebidos;

Possibilitar a limitação do tempo diário máximo de uso do MSN Messenger que um determinado usuário ou grupo de usuários pode utilizar na

comunicação com outros usuários. Este tempo deverá poder ser diferente para cada usuário ou grupo de usuários distinto;

Possibilidade de geração de gráficos de usuários conectados no MSN Messenger, quando utilizando proxy de aplicação – MSN;Possibilidade de logar

a conversação MSN dos usuários;


Possibilidade de passar antivírus nas trocas de arquivos do MSN;


Possibilidade de controle do uso baseado na versão do aplicativo MSN;


Possuir mecanismo de proxy SSL reverso, permitindo que VPNs clienteservidor sejam estabelecidas com o dispositivo, de forma transparente, e então


redirecionadas para qualquer servidor interno da rede, sem o uso de cliente de criptografia específico e com autenticação opcional de usuários via certificados digitais padrão X.509;


Permitir o uso certificados digitais com chaves de tamanho até 4096 bits no proxy SSL reverso;


Possuir mecanismo que limite opcionalmente o uso do proxy SSL reverso para serviços e servidores específicos de acordo com perfis de acesso


atribuídos a usuários e grupos de usuários;


VPN


Prover serviço VPN (Virtual Private Network) para pacotes IP e VPN SSL, com chaves de criptografia com tamanho igual ou superior a 128 bits, de


forma a possibilitar a criação de canais seguros ou VPNs através da Internet;

Suportar padrão IPSEC, de acordo com as RFCs 2401 a 2412, de modo a estabelecer canais de criptografia com outros produtos que também

suportem tal padrão;

Suportar a criação de túneis IP sobre IP (IPSEC Tunnel), de modo a possibilitar que duas redes com endereço inválido possam se comunicar através

da Internet;

Mostrar, em tempo real, um gráfico de uso das VPNs IPSEC estabelecidas, permitindo auferir o tráfego em cada uma delas e as SPIs negociadas e

ativas;

Possibilitar mecanismo de criação de VPNs entre máquinas Windows 2000, 2003, Vista, Windows 7 e Windows 10 e o dispositivo, com chaves de

criptografia simétricas com tamanho igual ou superior a 128 bits;

Funcionar como um provedor de VPN para clientes, de modo a atribuir aos clientes endereços IPs das redes internas, colocando‐os, virtualmente,

dentro das mesmas (0 hops);

Prover cliente VPN para as plataformas Windows 2000, 2003, Vista, Windows 7 e Windows 10, que permita uso de chaves criptográficas simétricas

com 128 ou mais bits;

O cliente de tunelamento de rede IP deverá ser, para clientes Windows, executar com privilégios básicos de usuário comum. Esta funcionalidade não

é exigida apenas durante a primeira instalação do cliente;

Deverá ser possível configurar o endereço/range IP a ser atribuído a placa de rede virtual do cliente de VPN, bem como sua máscara de rede,

endereços dos servidores DNS, endereço dos servidores WINS, rota default e rotas para subredes;


No VPN cliente/firewall deverá ser possível a configuração do envio ou não de pacotes broadcast da rede onde o servidor se encontra para o cliente;


O cliente de VPN deverá possibilitar que seu funcionamento seja sincronizado ou não com o dial‐up do Windows, possibilitando que ele estabeleça a


VPN automática e imediatamente depois de se ter estabelecido uma conexão discada;


Na VPN cliente/firewall deve ser possível especificar e fixar quais são as portas usadas na comunicação entre o cliente e o servidor;


Suportar VPN Failover (reestabelecimento da VPN sobre um segundo enlace caso haja falha no enlace principal);


Prover funcionalidade de VPN SSL, com o estabelecimento do túnel VPN e autenticação via browser;


A conexão VPN SSL deverá ser totalmente transparente para o usuário final, de forma que seja realizado o download e instalação do applet, assim


que necessários;


Deve ter a capacidade para fazer o download do Software Client da VPN SSL direto do dispositivo;


Disponibilidade de Software SSL‐Client para no mínimo: Windows XP, Windows Vista, Windows 7 e Windows 8;


Possuir funcionalidade Dead Peer Detection (DPD), ou similar;


A solução de VPN deverá trabalhar no mínimo com os seguintes protocolos: IPSEC, PPTP, L2TP, SSL;


10. Monitoramento e administração:


Possuir suporte ao protocolo SNMP (v1, 2 e 3), através de MIB2;  
Permitir em tempo real a visualização de estatísticas do uso de CPU, memória do dispositivo, bem como o tráfego de rede em todas as interfaces do dispositivo através da interface gráfica remota, de forma gráfica ou em tabelas;  
Caso o dispositivo utilize agentes externos para divisão de processamento (antivírus, filtro de conteúdo, IDS ou Anti‐spam) o dispositivo deverá permitir a verificação em tempo real da comunicação com estes agentes;  
Possuir sistema de alerta que informe o administrador através de e‐mails, janelas de alerta na interface gráfica, execução de programas e envio de traps SNMP;  
Permitir a criação de perfis de administração baseado em papéis (role‐based), de forma a possibilitar a definição de diversos administradores para o dispositivo, cada um responsável por determinada tarefa da administração;  
Permitir a conexão simultânea de vários administradores, sendo apenas um deles com poderes de alteração de configurações e os demais apenas de visualização das mesmas;  
Permitir que o segundo administrador ao se conectar possa enviar uma mensagem ao primeiro através da interface de administração;  
Fornecer gerência remota, com interface gráfica nativa, através de canal criptografado com chave de criptografia igual ou superior a 128 bits, para plataformas Windows Me, Windows NT/2000/XP/2003/2008/Vista/Windows 7/Windows 8/Windoews 10, Linux;  
Capacidade para criação de entidades/objetos, que podem ser um IP, um range IP ou um dispositivo, etc. para facilitar a administração;  
Possibilitar drag‐and‐drop (arrastar e soltar) para criação e alteração de regras, por meio da interface gráfica;  
A interface gráfica deverá possuir mecanismo que permita a gerência remota de múltiplos dispositivos sem a necessidade de se executar várias interfaces;  
A interface gráfica deverá possuir assistentes para facilitar a configuração inicial e a realização das tarefas mais comuns na administração do dispositivo, incluindo a configuração de VPNs, NAT, perfis de acesso e regras de filtragem;  
Possuir mecanismo que permita a realização de cópias de segurança (backups) e restauração remota, através da interface gráfica, sem necessidade do reinício do sistema;  
Possuir mecanismo que possibilite a aplicação de correções e atualizações para o dispositivo de forma remota por meio da interface gráfica;  
Possuir mecanismo anti‐suicídio para a administração remota, evitando que o administrador perca o acesso ao dispositivo por uma configuração incorreta;  
Permitir de integração com produto de gerenciamento centralizado de múltiplos dispositivos;  
Possuir interface orientada a linha de comando (Command Line Interface) para a administração do dispositivo a partir do console;  
Suportar o rollback (voltar para a versão anterior) de patches aplicados;  
LOG 
Prover mecanismo de consulta às informações registradas (logs) por meio da interface gráfica de administração;  
Possibilitar o armazenamento de seus registros (log e/ou eventos) em máquina remota em plataformas Windows Server (NT/2000/2003/2008/2012/2012 R2/2016) ou Unix, através de protocolo criptografado ou SYSLOG;  
Relatórios 
Possibilitar a geração de pelo menos os seguintes tipos de relatório, publicados em formato HTML:
a. Máquinas mais acessadas;
b. Serviços mais utilizados;
c.
Usuários que mais utilizaram serviços;
d. URLs mais visualizadas;
e.
Categorias Web mais acessadas (em caso de existência de um filtro de conteúdo Web);
f.
Maiores emissores/receptores de e‐mail;  
Possibilitar a geração de pelo menos os seguintes tipos de relatório com cruzamento de informações, mostrados em formato HTML:
a.
Máquinas acessadas X serviços bloqueados;
b.
Usuários X URLs acessadas;
c.
Usuários X categorias Web bloqueadas (quando utilizado com filtragem de conteúdo Web);  
Possibilitar a geração dos relatórios dos dois itens acima sob demanda e através de agendamento diário, semanal e mensal;  
Permitir publicação automatizada dos relatórios utilizando FTP em pelo menos três equipamentos distintos;  
Permitir exportação dos logs no mínimo em formato TXT e CSV;  
QOS 
Implementar mecanismo de divisão justa de largura de banda (QoS), permitindo a priorização de tráfego por regra de filtragem, por usuário ou ainda priorizando acesso a sites por categoria ou palavra‐chave;  
Implementar mecanismo de limitação de banda através da criação de canais virtuais, permitindo que os mesmos serem alocados por regra de filtragem e por usuário;  
Permitir modificação (remarcação) de valores DSCP para o DiﬀServ;



Implementar no mínimo 07 classes de serviço distintas, com configuração do mapeamento e marcação para códigos DSCP através da interface

gráfica;


Possuir suporte ao protocolo SNMP (v1, 2 e 3), com MIB2;


Suportar o uso simultâneo de múltiplos links em um mesmo firewall, de provedores distintos ou não, sendo o firewall o responsável por dividir


o tráfego entre os distintos links;


Permitir o balanceamento de links com IPs dinâmicos para ADSL, ou outra tecnologia de banda larga que não utilize IP Fixo;


Balanceamento:


Implementar mecanismo de balanceamento de carga, permitindo com que vários servidores internos, sejam acessados externamente pelo


mesmo endereço IP. O balanceamento de canal deverá monitorar os servidores internos e, em caso de queda de um destes, dividir o tráfego entre os demais, automaticamente;

Implementar mecanismo de persistência de sessão para o balanceamento de carga, através de diversas conexões, para quaisquer protocolos

suportados pelos servidores sendo balanceado

O balanceamento de carga deverá ainda possibilitar que os servidores sejam monitorados através do protocolo ICMP ou requisições HTTP. Ele

deverá também possuir pelo menos dois algoritmos distintos de balanceamento;

Suportar a criação de clusters com tolerância a falhas, onde poderá trabalhar no mínimo de 2 formas, de acordo com a necessidade da

instalação. Sendo elas:

Os dois dispositivos são ligados em paralelo, com réplicas do estado de conexões entre eles. O dispositivo secundário não estará tratando o

tráfego, ele entrará em funcionamento para tratamento de tráfego somente quando o dispositivo principal cair, sem que se tenha perda de conexão ou de canal VPN;

Dois ou mais dispositivos devem estar em funcionamento simultaneamente, balanceando o tráfego de rede entre eles de forma automática e

replicando configuração e estado das conexões também de forma automática, sem que se tenha perda de conexão ou de canal VPN no caso de falha de algum equipamento. Nesta modalidade, podem ser colocados até 32 firewalls em paralelo;


Sistema de Prevenção contra Intrusão para UTM:


Possuir sistema de prevenção de intrusão (IPS) nativo, permitindo sejam inseridas regras temporárias no firewall em caso de detecção de algum


ataque, com duração pré‐determinada, de forma automática;


A base de assinaturas do sistema de IPS nativo deverá ser fornecida pelo período do contrato;


Possuir filtro de aplicações de modo a permitir a identificação de padrões de dados dentro das conexões, possibilitando o tratamento automático


(bloqueio, liberação ou redução/aumento de banda) de aplicações do tipo peer‐to‐peer, de download de arquivos, entre outros;


Antivírus de Gateway para UTM:


Possuir verificação integrada de antivírus, de forma a poder verificar contra vírus todos os arquivos e/ou páginas web acessados ou baixados


através dos protocolos HTTP e FTP em browser;

Deverão ser fornecidas todas as atualizações de software assim como a atualização da base de conhecimento (novas assinaturas e vacinas), sem

custo adicional, por todo o período do contrato;

Deverá analisar os arquivos e verificar a presença de vírus. Na existência de um vírus, deverá tentar sua desinfecção. Caso não consiga, o

arquivo deverá ser descartado;


Deverá permitir análise heurística de vírus, configurável pelo administrador;


Deverá possibilitar que o administrador configure de forma independente a detecção e bloqueio de pelo menos as seguintes ameaças digitais:


spywares, jokes, dialers e ferramentas de hackers;


Deverá permitir a atualização automática da base de identificadores de vírus por meio de agendamento diário ou de hora em hora;


Deverá permitir a atualização sob demanda da base de assinaturas de vírus;


Deverá ser capaz de analisar arquivos compactados no mínimo nos seguintes formatos: ZIP, ARJ, LHA, Microsoft CAB, ZOO, ARC, LZOP,


RAR, BZIP2 e TAR;

Deverá ser capaz de analisar arquivos executáveis compactados pelos programas UPX, AsPack, PEPack, Petite, Telock, FSG, Crunch e

WWWPack32;


Deverá ter proteção automática contra ataques do tipo “BZIP bomb” e similares;


Filtro de acesso WEB com atualização de URL´s para UTM:


Possuir capacidade para efetuar classificação de URLs, de maneira a bloquear acesso a páginas WEB, para usuários ou grupo deles, a partir de


categorias genéricas;


Possuir pelo menos 70 categorias de classificação de URLs a serem consultadas no analisador de URLs do item anterior;


Deverão ser fornecidas todas as atualizações de software assim como a atualização da base de conhecimento (URLs categorizadas), sem custo


adicional, por todo o período do contrato;

Possuir documento do fabricante atestando que as classificações de URLs são realizadas de forma manual, ou seja, não são feitas através de

palavras chave, evitando dessa forma a ocorrência de classificações errôneas;


Possibilitar agendamento mensal e semanal do download automático das atualizações das URLs;


Possuir mecanismo que permita fazer download apenas das novas atualizações diárias e não da base completa, de modo a economizar banda do


link com a Internet;


Possui pelo menos 12.000.000 (Doze Milhões) de URLs classificadas;


Filtro de detecção de SPAM bayesiano para UTM:




Fornecimento de todas as atualizações de software assim como a atualização da base de conhecimento (novas regras de detecção de SPAM) por todo período do contrato;  
Deverá avaliar as mensagens e atribuir uma nota a cada uma delas, que corresponda à probabilidade da mesma ser SPAM, variando de 0 a 100%;  
As notas atribuídas às mensagens deverão ser calculadas utilizando‐se bancos de dados com informações estatísticas obtidas de milhares de mensagens de e‐mail, e produzidas através de análise bayesiana;  
Os bancos de dados com informações estatísticas deverão poder ser atualizados diária e automaticamente, através de download via Internet; 161.
Deverá possuir dois modos distintos de atribuição de notas para as mensagens: um que prioriza a detecção de SPAM e outro que reduz os falsopositivos;  
Deverá possibilitar que os usuários realizem treinamento do banco de dados de mensagens informando, para cada mensagem recebida, se a mesma é ou não SPAM;  
Permitir a criação de bases de dados de classificação distintas para cada usuário ou grupo de usuários, a fim de que cada base represente um perfil de usuário ou grupo de usuários específicos;  
Permitir mecanismo que faça com que o treinamento de cada usuário seja aproveitado somente na base correspondente ao seu grupo ou usuário do sistema;  
Permitir o backup e restauração das bases com os treinamentos dos usuários via interface de administração remota;  
Deverá possuir plugins para realização do treinamento das mensagens pelo menos para os clientes de e‐ mail Microsoft Outlook e Thunderbird; 167.
Deverá possuir mecanismo de treinamento de mensagens para os leitores de e‐mail para os quais não exista plugin disponível, através da modificação da mensagem original. Esta modificação deverá funcionar para qualquer cliente de e‐mail que suporte a leitura de mensagens HTML;  
Possibilitar o registro de todas as classificações e treinamentos realizados através do servidor, e de todas as tentativas de abertura de sessões ou conexões que forem recusadas pelo mesmo;  
Possibilitar o registro de todas as operações envolvendo as bases de dados do sistema de detecção, tais como download, upload e recálculo; 170.
Possibilitar registro da remoção, restauração ou criação de backup de bases;  
Possuir mecanismo que permita a configuração do log (tempo de permanência das mensagens, tamanho de arquivo, etc) e visualização das mensagens de log através da interface gráfica;  
Possibilitar o envio de registros para o sistema operacional (syslog no caso de sistemas UNIX e Event Viewer em Windows.  
Garantia de hardware e atualização de software: 
Garantia para hardware durante o período contratado;  
Atualização do software embarcado durante o período contratado;  
Atualização do sistema operacional embarcado durante o período contratado;  
No preço deverá estar incluído todo o software necessário para atender as características exigidas, bem como as atualizações para todas as versões do produto que forem lançadas durante o período contratado;
1.6.2 ITEM 2 - LICENÇA DE ANTI-VÍRUS: PROTEÇÃO ANTI-MALWARE PARA ESTAÇÕES DE TRABALHO.
1. Módulo de proteção anti-malware: 
Deve ser capaz de realizar a proteção a códigos maliciosos nos seguintes sistemas operacionais: Windows Server 2003 sp2 (32/64-bit); Windows Server 2008 (32/64- bit), Windows Server 2008 R2 (32/64-bit) e Windows 2008 Server Core (32/64-bit), Windows Server 2012 e Windows Server 2012 R2; Windows Server 2016, Windows XP sp3 (x86/x64); Windows Vista sp2 (x86/x64); Windows 7 (x86/x64); Windows 8 e 8.1 (x86/x64); Windows 1 O e 10 Red Stone 1 (x86/x64);  
Deve disponibilizar evidências de varredura em todas as estações de trabalho, identificando as atualizações de sucesso e as ações de insucesso. Para garantir que os casos de insucesso sejam monitorados para tomada de ações pontuais;  
Deve possuir uma interface Web em protocolo HTTPS ou MMC que mostre um resumo de atualizações, número de agentes on-line e alertas de ameaças de ransomware;  
A console deverá possibilitar a busca pelo endpoint na árvore de computadores usando qualquer os seguintes métodos:  
IPV4, MAC, método de scan, range de ip, IPV6 e versões de componentes;  
A console deve integrar-se com o Microsoft Active Directory para que os usuários do domínio AD possam administrar a solução de acordo com as permissões configuradas para cada usuário;  
O produto deverá através do uso de senha impedir a desinstalação não autorizada ou remoção do modulo residente em memoria do cliente de antivírus;  
Deve ser integrada ao Windows Security center, quando utilizado plataforma Microsoft;  
Deve detectar, analisar e eliminar programas maliciosos, tais como vírus, spyware, worms, cavalos de tróia, key loggers, programas de propaganda, rootkits, phishing, dentre outros;  
Deve possuir a funcionalidade de adicionar Spyware/Grayware em uma lista de aprovados, possuindo uma base interna dessas;  
Deve possuir a funcionalidade de dectecar cookies maliciosos;  
Deve detectar, analisar e eliminar, automaticamente e em tempo real, programas maliciosos em: Processos em execução em memória principal (RAM);  
Arquivos executados, criados, copiados, renomeados, movidos ou modificados, inclusive em sessões de linha de comando (DOS ou Shell);  
Arquivos compactados automaticamente, em pelo menos nos seguintes formatos: zip, exe, arj, mime/uu, Microsoft cab;




O scan de arquivos comprimidos deverá ser de no minimo 6 camadas de compressão;


O scan de arquivos comprimodos do tipo OLE deverá ser de no minimo 1 O camadas de compressão; Arquivos recebidos por meio de programas de


comunicação instantânea;

Deve detectar e proteger em tempo real a estação de trabalho contra vulnerabilidades e ações maliciosas executadas em navegadores web por meio de

scripts em linguagens tais como javascript, vbscript/ Activex;


Deve possuir detecção heurística de vírus desconhecidos;


Deve permitir configurar o consumo de cpu que será utilizada para uma varredura manual ou agendada; Deve permitir diferentes configurações de


detecção ( varredura ou rastreamento):


Em tempo real de arquivos acessados pelo usuário;


Em tempo real dos processos em memória, para a captura de programas maliciosos executados em memória, sem a necessidade de escrita de arquivo;


Manual, imediato ou programável, com interface gráfica em janelas, personalizável, com opção de limpeza;


Por linha-de-comando, parametrizável, com opção de limpeza;


Automáticos do sistema com as seguintes opções:


Escopo: todos os discos locais, discos específicos, pastas específicas ou arquivos específicos;


Ação: somente alertas, limpar automaticamente, apagar automaticamente, renomear automaticamente, ou mover automaticamente para área de


segurança (quarentena);


Frequência: horária, diária, semanal e mensal;


Exclusões: pastas ou arquivos (por nome e/ou extensão) que não devem ser rastreados;


Deve possuir mecanismo de cache de informações dos arquivos já escaneados;


Deve possuir cache persistente dos arquivos já escaneados para que nos eventos de desligamento e reinicialização das estações de trabalho e


notebooks, a cache não seja descartada;


Deve possuir ferramenta de alterações de parâmetros de comunicação entre o cliente antivírus e o servidor de gerenciamento da solução de antivírus;


Deve permitir a utilização de servidores locais de reputação para análise de arquivos e URL's maliciosas, de modo a prover, rápida detecção de novas


ameaças;

Deve ser capaz de aferir a reputação das URL' s acessadas pelas estações de trabalho e notebooks de forma a proteger o usuário independentemente

da maneira de como a URL está sendo acessada;

Deve ser capaz de detectar variantes de malwares que possam ser geradas em tempo real na memória da estação de trabalho ou notebook, permitindo

que seja tomada ação de quarentena a ameaça;


Deve ser capaz de bloquear o acesso a qualquer site não previamente analisado pelo fabricante;


Deve permitir a restauração de maneira granular de arquivos quarentenados sob suspeita de representarem risco de segurança;


Deve permitir em conjunto com a restauração dos arquivos quarentenados a adição automática as listas de exclusão de modo a evitar novas detecções


dos arquivos;


Deve detectar malwares conhecidos e potenciais ameaças baseadas no comportamento;


Deve realizar proteção de documentos contra criptografia ou modificação não autorizada;


Deve bloquear processos comuns associados a ransomware;


Deverá fornecer informações sobre possíveis canais de infecção de ransomware;


Deverá ser possível monitorar eventos do Sistema Operacional como


Arquivos duplicados, Modificação do arquivo Hosts do Windows, Novos Serviços adicionados, Novo plugin no Internet Explorer, Modificação de


processos Do Sistema;


As ações do monitoramento de comportamento deverão possuir as seguintes ações:


Permitir, bloquear, perguntar quando necessario e apenas log;


Sobre o monitoramento de comportamento o mesmo deverá possuir funcionalidade lista de programas bloquedos e liberados;


A ferramenta de Antivírus deverá verificar a reputação de arquivos e URLS;


A ferramenta de Antivírus deverá possuir a funcionalidade de scan no protocolo POP3;


A ferramenta de Antivírus deverá fornecer a proteção contra URLS maliciosas, efetuando o scan de portas e URLS nos procotolos HTTP e HTTPS;


A proteção contra URLS maliciosas da solução de Antivírus deverá possuir três níveis se segurança Alto, Medio e baixo além de uma lista para


liberar ou bloquear URLS,


Deverá dectectar e bloquear conexões suspeitas com C&C além de efetuar o bloqueio do malware que estiver fazendo a conexão;


Deverá possibilitar ao administrador adicionar exceções para os endereços ips que foram detectados como suspeitos;


Deverá possuir a funcionalidade de Machine Learn para identificar malwares, conexões e processos suspeitos;


O log da Machine Learn deverá apresentar um veredicto informando o motivo da dectação e se existe alguma semelhança com algum malware já


conhecido.

Devera possuir proteção Anti-exploit para detectar e bloquear ameaças usando CVE (Common Vulnerabilities and Exposures);




Deverá escanear o setor boot de dispositivos USB depois que o mesmo for plugado na estação;


Deverá possuir a funcionalidade de detectar códigos com exploit em arquivos OLE;


Funcionalidade de atualização: Deve permitir a programação de atualizações automáticas das listas de definições de vírus, a partir de local


predefinido da rede, ou de site seguro da internet, com frequência (no mínimo diária) e horários definidos pelo administrador da solução;


Deve permitir atualização incremental da lista de definições de vírus;


Deve permitir a atualização automática do engine do programa de proteção a partir de localização na rede local ou na internet, a partir de fonte


autenticável;


Deve permitir o rollback das atualizações das listas de definições de vírus e engines;


Deve permitir a indicação de agentes para efetuar a função de replicador de atualizações e configurações, de forma que outros agentes possam utiliza-


los como fonte de atualizações e configurações, não sendo necessária a comunicação direta com o servidor de anti-malware para essas tarefas;

Deve permitir que os agentes de atualização possam replicar os componentes de vacinas, motores de escaneamento, versão de programas, hotfix e

configurações específicas de domínios da árvore de gerenciamento;

O servidor da solução de anti-malware, deve ser capaz de gerar localmente versões incrementais das vacinas a serem replicadas com os agentes

replicadores de atualizações e configurações, de maneira a reduzir o consumo de banda necessário para execução da tarefa de atualização;

O agente replicador de atualizações e configurações, deve ser capaz de gerar localmente versões incrementais das vacinas a serem replicadas com os

demais agentes locais, de maneira a reduzir o consumo de banda necessário para execução da tarefa de atualização;

Devera possuir a capacidade de retomar atualizações de vacinas e de software do ponto onde foram interrompidas em caso de perda de conexão, sem

necessidade de reinicio de todo o processo; Funcionalidade de administração: Deve permitir proteção das configurações da solução instalada na estação de trabalho através de senha ou controle de acesso, em ambos os casos, controlada por política gerenciada pela console de administração da solução completa;


Deve possuir a capacidade de armazenar os eventos em banco de dados padrão SQL;


Deve possibilitar instalação "silenciosa";


Deve permitir o bloqueio por nome de arquivo;


Deve permitir o travamento de pastas e diretórios;


Deve permitir o travamento de compartilhamentos;


Deve permitir o rastreamento e bloqueio de infecções;


Deve possuir mecanismo de detecção de ameaças baseado em comportamento de processos que estão sendo executados nas estações de trabalho e


notebooks;

Deve efetuar a instalação remota nas estações de trabalho, sem requerer outro software ou agente adicional, previamente instalado e sem necessidade

de reiniciar a estação de trabalho;


Deve desinstalar automática e remotamente a solução de antivírus atual, sem requerer outro software ou agente;


Deve permitir a desinstalação através da console de gerenciamento da solução;


Deve ter a possibilidade de exportar/importar configurações da solução através da console de gerenciamento;


Deve ter a possibilidade de backup da base de dados da solução através da console de gerenciamento; Deve ter a possibilidade de designação do local


onde o backup automático será realizado;


Deve permitir realização do backup da base de dados através de mapeamento de rede controlado por senha;


Deve ter a possibilidade de determinar a capacidade de armazenamento da área de quarentena;


Deve permitir a deleção dos arquivos quarentenados;


Deve permitir remoção automática de clientes inativos por determinado período de tempo;


Deve permitir integração com Active Directory para acesso a console de administração;


Identificar através da integração com o Active Directory, quais máquinas estão sem a solução de anti malware instalada;


Deve permitir criação de diversos perfis e usuários para acesso a console de administração;


Deve permitir que a solução utilize consulta externa a base de reputação de sites integrada e gerenciada através da solução de anti-malware, com


opção de configuração para estações dentro e fora da rede, cancelando a conexão de forma automática baseado na resposta à consulta da base do fabricante;

Deve permitir agrupamento automático de estações de trabalho e notebooks da console de gerenciamento baseando-se no escopo do Active Directory

ou IP;


Deve permitir criação de subdomínios consecutivos dentro da árvore de gerenciamento;


A console de Administração deverá prover um dashboard com a quantidade de ameaças conhecidas, desconhecidas e violações de políticas;


O dashboard deverá ser personalizavel permitindo ao administrador adicionar widgets e atalhos como favoritos para facilitar administração;


Deve possuir solução de reputação de sites local para sites já conhecidos como maliciosos integrada e gerenciada através da solução de antivírus, com


opção de configuração para estações dentro e fora da rede, cancelando a conexão de forma automática baseado na resposta à consulta da base do fabricante; Deve registrar no sistema de monitoração de eventos da console de anti-malware informações relativas ao usuário Jogado no sistema operacional

Deve prover ao administrador relatório de conformidade do status dos componentes, serviços, configurações das estações de trabalho e notebooks que

fazem parte do escopo de gerenciamento da console de antivírus;


Deve prover ao administrador informações sobre quais estações de trabalho e notebooks fazem parte do escopo de gerenciamento da console de anti-

malware não realizaram o escaneamento agendado ou o escaneamento demandado pelo administrador no período determinado de dias;


Possibilitar postegar o scan quando o endpoint estiver usando uma conexão wifi, afim de otimizar o uso de bateria;


Deve prover segurança através de SSL para as comunicações entre o servidor e a console de gerenciamento web;


Deve prover segurança para as comunicações entre o servidor e os agentes de proteção usando criptografia avançada AES 256;


Deve suportar múltiplas florestas e domínios confiáveis do Active Directory;


Deve utilizar de chave de criptografia que seja/esteja em conformidade com o Active Directory para realizar uma conexão segura entre servidor de


antivírus e o controlador de domínio;


Deve permitir a criação de usuários locais de administração da console de anti-malware;


Deve possuir a integração com o Active Directory para utilização de seus usuários para administração da console de anti-malware;


Deve permitir criação de diversos perfis de usuários que permitam acessos diferenciados e customizados a diferentes partes da console de


gerenciamento;


Deve bloquear acessos indevidos a área de administração do agente que não estejam na tabela de políticas definidas pelo administrador;


Deve se utilizar de mecanismo de autenticação da comunicação entre o servidor de administração e os agentes de proteção distribuídos nas estações


de trabalho e notebooks;


Deve permitir a gerência de domínios separados para usuários previamente definidos;


Deve ser capaz de enviar notificações específicas aos respectivos administradores de cada domínio definido na console de administração;


Deve permitir configuração do serviço de reputação de sites da web em pelo menos 3 níveis: baixo, médio e alto;


Deve permitir a emissão de alertas via smtp, snmp e gravação de logs no Event Viewer do Windows; Deve possuir sistema de reparação automatico


para danos caudados por malwares;

Possibilitar a distribuição de imagens do antivírus, sendo criados numeros de indentificação unicos para cada imagem gerada prevenindo a duplicação

de identificadores;


Permitir o agendamento para a verificaçaão de comunicação entre servidor e agente ;


Permitir o agrupamento automatico do agente por IP ou Active Directory;


Pemitir a configuração de políticas diferentes para agentes que estão na rede interna ou externa. Funcionar tanto no ambiente corporativo como em


VPN;

Deverá possuir uma funcionalidade ou feature de relay para que as máquinas que estão fora da rede enviem informações do status do agente, pattern e

log;


Deverá possuir a funcionalidade para a criação de regras diferentes para estações que estão na rede interna e fora da rede;


Deverá possuir ferramentas para que o administrador consiga migrar e exportar as configurações atuais do servidor para outro em caso de migração;


Funcionalidade de controle de dispositivos: Deve possuir controle de acesso a discos removíveis reconhecidos como dispositivos de armazenamento


em massa através de interfaces USB e outras, com as seguintes opções: acesso total, leitura e escrita, leitura e execução, apenas leitura e listar apenas o conteúdo;

Deve possuir o controle de acesso a drives de mídias de armazenamento como cdrom, dvd, com as opções de acesso total, leitura e escrita, leitura e

execução, apenas leitura e bloqueio total;


Deve possuir o controle a drives mapeados com as seguintes opções: acesso total, leitura e escrita, leitura e execução, apenas leitura e bloqueio total;


Deve permitir escaneamento dos dispositivos removíveis e periféricos (USB, disquete, cdrom) mesmo com a política de bloqueio total ativa;


Funcionalidade de IDS - Host IDS e Host Firewall: Deve ser capaz de realizar a proteção IDS nos seguintes sistemas operacionais: Windows Server


2003 sp2 (32/64-bit); Windows Server 2008 (32/64-bit) e Windows Server 2008 r2 (32/64-bit); Windows Server 2012 e Windows Server 2012 R2; Windows Server 2016; Windows XP sp3 (x86/x64); Windows vista (x86/x64); Windows 7 (x86/x64); Windows 8 e 8.1 (x86/x64); Windows 10 e Windows 10 Red Stone (x86/x64);


O modulo de IDS deverá prevenir contra os seguintes tipos de ataque


Too Big Fragment, Ping da morte, Conflito de ARP, SYN Flood, Overlapping Fragment, Teardrop, Tiny Fragment Attack, Fragmented IGMP e Land


Attack;


Todas as regras das funcionalidades de firewall e ips de host devem permitir apenas detecção (log) ou prevenção (bloqueio);


Deve permitir ativar e desativar o produto sem a necessidade de remoção;


O modulo de Host Firewall deverá realizar os seguintes filtros:


Inbound/outbound , protocolos (tcp/udp,icmp/icmpv6), portas de destino e origem e destino dos endpoints;


A funcionalidade de host Firewall deve possuir regras para controle do tráfego de pacotes de determinadas aplicações;


Deve permitir a criação de políticas de segurança personalizadas;


Deve permitir configuração e manipulação de políticas de firewall através de prioridades;


Deve permitir que o usuário altere as configurações de níveis de segurança e exceções;


As exceções do Firewall poderão ser baseadas em aplicações, direções, chaves de registro, protocolos, ranges e endereços ips.


Deverá possuir a possibilidade de configurar níveis diferentes de segurança podendo ser eles Alto, médio e baixo;


O módulo de Firewall deverá usar o mesmo agente de Antivírus;




Antivírus obrigatoriamente deve conciliar com a teleologia do firewall instalado, não haver disparidade tecnológica que impeça a funcionalidade de qualquer dos equipamentos e softwares instalados.





Julgamento: Este departamento de tecnologia, solicita que seja realizado tal procedimento por entender que os equipamentos de segurança digital devem ser comprados de forma agrupada por uma única empresa. Pois alguns softwares antivírus não conciliam com a tecnologia empregada por hardware de firewall e necessitamos que ambos sejam funcionais e que até mesmo os serviços informados no item 3 seja prestado pelo mesmo fornecedor.
Assim sendo sugerimos que seja atendida esta solicitação para que a empresa vencedora dos itens em sua totalidade atenda todos itens, não havendo parcialidade na aquisição do bem e dos serviços e assim podermos atender à necessidade literalmente e recaindo sobre o vencedor toda e qualquer responsabilidade.
2.4 JUSTIFICATIVA DA AMPLA CONCORRÊNCIA
Considerando a solicitação do Gerente de Tecnologia da Informação, Sr. Onivaldo Farias Fernandes, que tem como objeto a aquisição de firewall e licença de antivírus para proteção da rede interna de computadores, para um período de 36 (trinta e seis) meses, bem como a justificativa técnica para utilização do critério de julgamento “menor preço global”, uma vez que o equipamento e os serviços a serem contratados deverão ser fornecidos em conjunto pela empresa para o seu perfeito funcionamento, configurando serviço de natureza indivisível.
Considerando que a Administração tem a obrigação de realizar licitação exclusiva para microempresas ou empresas de pequeno porte quando o valor dos itens da contratação for inferior a R$ 80.000,00 (oitenta mil reais), conforme art. 48, I, da Lei Complementar nº 123/2006 (redação dada pela Lei Complementar nº 147/2014).
Considerando a Justificativa da Pesquisa de Preços realizada pela Seção de Compras, a qual demonstra que o valor global máximo para a presente contratação será de R$ 167.200,55 (cento e sessenta e sete mil, duzentos reais e cinquenta e cinco centavos), e, portanto, ultrapassou o valor de R$ 80.000,00, de modo que resta afastada a realização de licitação exclusiva para microempresas ou empresas de pequeno porte e microempreendedores individuais;
JUSTIFICA-SE que a presente licitação será promovida com disputa por AMPLA CONCORRÊNCIA, por não se enquadrar no artigo 48, I da Lei Complementar nº 123, de 14 de dezembro de 2006 e alterações:
“Art. 48. Para o cumprimento do disposto no art. 47 desta Lei Complementar, a administração pública:
I - deverá realizar processo licitatório destinado exclusivamente à participação de microempresas e empresas de pequeno porte nos itens de contratação cujo valor seja de até R$ 80.000,00 (oitenta mil reais);”