GESTION ET PRESTATIONS INFORMATIQUES POUR L HABITAT ACQUISITION D UN FIREWALL. PRESTATION D ASSISTANCE OPERATIONNELLE SUR LA PLATEFORME DE SECURITE. MAINTENANCE DES ELEMENTS ACTIFS RESEAUX ET SECURITE CAHIER DES CHARGES 1 Le Cadre du projet. a mis en place une plateforme de sécurité des ces accès en Mars 2002, dans le cadre de la refonte de cette plateforme, souhaite procéder au renouvellement de son Firewall, mettre en place une prestation ponctuelle d assistance opérationnelle de ces équipement de sécurité et assurer la maintenance physique des équipements constituant son réseaux et sa plateforme de sécurité. 2 Descriptif de l environnement. Le est situé dans les mêmes locaux que le siège de l Opievoy et compte 20 collaborateurs. Au sein de, le département micro et réseau assure en infogérance la gestion, l administration et la supervision des serveurs, des réseaux et des postes de travail de l OPIEVOY. 2.1 L'environnement informatique 2.1.1 La plateforme réseau possède une infrastructure réseau basée sur un cœur de réseau composé d un Switch Cisco 4003 possédant une carte Supervisor II+, de deux cartes 48 ports 10/100 Mb/s, un Module Fibre 1000Base SX, Un Module Gbic Ethernet 1000 Mb/s 2.1.2 La plateforme sécurité Cette plateforme de sécurité repose sur deux composants principaux, un Firewall Pix515 (6 interfaces), un serveur proxy Linux Suse hébergeant les applicatifs Open Source Squid/IPChain. Le schéma détaillé de l architecture est fourni en annexe. Le PIX outre son rôle de Firewall est également utilisé pour l accès au réseau avec une gestion de règles de translation d adresse pour un de nos clients. possède également au travers du Firewall des fonctionnalités d accès VPN. -Page 1
3 Cadre de la prestation attendue et engagements du prestataire 3.1 Les principes de l acquisition du nouveau matériel Compte tenu de l âge du matériel existant, l acquisition est prévue dans le cadre d un renouvellement de cet équipement. Le matériel existant ayant donné entière satisfaction, il n est pas envisagé de changer type de matériel, l ancien équipement restera d ailleurs en matériel de secours de la nouvelle acquisition pour le cas où cette dernière devrait faire l objet d une maintenance. Le nouveau matériel devra proposer à l identique les fonctionnalités du firewall existant, les nouvelles fonctionnalités attendues se situant principalement sur la partie interface de configuration ainsi que sur la mise à jour applicative et correctifs de failles aujourd hui devenu impossible avec la machine existante. Le nouvel équipement pourra toutefois fournir des services complémentaires (sonde de détection d intrusion etc ). Ces services pourront être mise en œuvre s ils n affectent pas le fonctionnement global du firewall et notamment la fluidité d accès à internet. Pour la mise en œuvre du nouvel équipement et la reprise de la configuration existante, le soumissionnaire proposera une prestation d installation de l équipement en condition opérationnelle. Cette prestation pourra être l occasion d apporter des modifications, notamment dans les règles existantes, pour améliorer la fiabilité de la plateforme de sécurité. Ces modifications se limiteront au périmètre du nouvel équipement, pour vérifier que l ensemble de la plateforme est conforme aux règles de l art en matière de sécurité et qu elle offre toutes les caractéristiques d une sécurisation optimale, a prévu la tenue d un Audit d intrusion. Le prestataire fournira l ensemble des données technique concernant le produit proposé ainsi que les perspectives d évolution offerte par l équipement. 3.2 Maintenance du matériel proposé et des éléments actifs réseaux La maintenance de ce nouveau matériel devra être de 3 ans avec intervention sur site en J+1 à compter du déclenchement de l intervention et ce 5 jours sur 7 de 8h à 18h. En complément de cette maintenance le prestataire proposera un contrat de maintenance avec intervention sur site en 4h, et remplacement de l équipement par un matériel équivalent dans ce délai si nécessaire, pour notre équipement actif de cœur de (un switch Cisco 4503 dont la configuration est précisée au chapitre 2.1.1). Ce contrat de maintenance aura pour durée un an et sera renouvelable deux fois. Les processus de déclenchement et de traitement des incidents devront être décrit avec précision pour chacun des cas 3.3 Prestation d assistance opérationnelle sur la plateforme de sécurité. souhaite souscrire une prestation d assistance opérationnelle de sa plateforme de sécurité pour assurer le suivi, l évolution et le maintient en condition opérationnelle. Le périmètre d intervention englobera le Firewall, ainsi que la configuration du serveur linux, du proxy Squid, du relais de messagerie postfix et de l antivirus Interscan IMSS. estime à environ 4 jours répartis sur l année le niveau requis pour cette prestation, avec report possible de journées non utilisées sur un minimum de 2 ans. Cette prestation pourra être organisée autour des grands thèmes suivants : - Mise à jours des équipements (patch mise à jour de sécurité) - Audit de l existant et mise en place de nouvelles règles. - Conseils sur des problématiques sécuritaires. -Page 2
- Mise en place de nouveaux services/paramétrages. Le contrat de prestation sera d une durée de un an et sera renouvelable deux fois. 3.4 Les engagements du prestataire Le prestataire s engage à respecter les règles de l art en matière de définition et de mise en œuvre des règles de sécurité. La mise en œuvre ainsi que la prestation d assistance seront délivrée par des ressources expérimentées dans les domaines en places à soit le PIX, Linux, Squid, postfix, interscan Imss. Dans la mesure du possible les ressources affectées aux clients seront toujours les mêmes et pour le cas où celle-ci changeraient, une validation préalable, par l intermédiaire du CV, devra être entreprise. Dans ce cas se réserve le droit de refuser une ressource pour défaut d expérience dans le domaine de la sécurité. Le prestataire s engage au respect des délais demandé dans le cadre des contrats de maintenance proposé dans un souci de continuité de service. Le prestataire retenu s interdit de fait tout positionnement sur la prestation d audit prévue, y compris par d autres entités du même groupe ou filiales. Si la prestation d audit venait à relever des failles ou d erreurs dans la mise en œuvre effectuée par le prestataire titulaire du présent marché, le prestataire se verrait appliquer des pénalités couvrant la prestation de mise en œuvre des actions correctives. 3.5 Les critères de choix du prestataire Valeur technique de la réponse (proposition technique, description de l offre technique, référence en matière de prestation sécurité) (Coefficient 2) Valeur du service associé (méthodologie de maintenance des équipements) (Coefficient 1) Le coût d acquisition (Coefficient 1) 4 Proposition commerciale Chaque candidat présentera sa proposition commerciale sous la forme d un devis décomposée en acquisition et prestation d installation, maintenance, prestation d assistance et fournira les éléments techniques qui lui semblent nécessaire à la compréhension de son offre. -Page 3
ANNEXES CONFIGURATION RESEAU sécurisé NCR 4400 MACHINE unix 2000 HULK 2000 ICARE Switch 4503 Liaison vers agences et DR OPIEVOY Liaison vers le siège OPIEVOY Fibre Pivot Notes Pare Feu PIX 515 avec 6 pattes Ordinateur Poste de travail Proxy Squid et passerelle antivirus en DMZ Privé Connexion vers MEYH avec gestion NAT Routeur France Téélcom Web en DMZ Publique Lien ADSL vers Internet -Page 4
CISCO SYSTEMS Ca ta lys t 8500 S ER IE S Swit ch Processor Po we rsu p pl y 0 Power Suply 1 S D ARCHITECTURE INFORMATIQUE -OPIEVOY lundi 10 novembre 2008 250 Postes de travail Windows XP Office 2000 Notes V509a Bureautique ARTEMIS Poweredge 2650 1 Go de RAM 73 Go Raid 1 Sys 280 Go Raid 5 Data Loan, Amofi, Garp, Balparc, XRT, ETAFI Minos Xserie 240 512mo RAM sys 9Go Raid 1 Data 72 Go Raid 5 DLT8000 Externe Domino V5.0.9a Relais SMTP/ Antivirus Vulcain Xserie 200 256 Mo RAM sys 9Go Raid 1 IMSS (Antivirus / Antispam) Bureautique DRH Hercule Poweredge 2300 256 Mo RAM Data 18Go Raid 5 DAT DDS3 Winnt sp6a Scepia/Sage Applicatif DRH Zeus Poweredge 2400 1 Go RAM Data 18Go Raid 5 DAT DDS4 Oracle 8/ Temptation Bibliotheque de bande LTO IBM 3670 16 Slots 1 Lecteur Applicatif Hades Xserie 200 1.2 Go RAM Data 36Go Raid 1 SQL Server2000/ Project serveur W2k sp3 Symantec (Antivirus / Antispam) DRO 20 Postes Lexmark (x3) LOCAL Siège Internet via OLEANE Proxy Squid Poweredge 350 512Mo RAM 20Go Linux red Hat 7.2 Interscan viruswall 6 s GIPH (17 postes) 60 s réseau TurboDSL Open 4100 DSL Liaison NAT vers MEYH 4 Processeurs duo de 1,35 Ghz 32 GO de mémoire Sun Fire V890 Balder / solaris 9 de production Oracle V8 - Portail Raid 10 6*146 GO = 876 GO Routeur ADSL Coupe-feu Pix 515 6 pattes ADONIS W2K Sp2 Portail Nfuse Ethernet Switch Cisco 4503 DLT 8000 2 s Applicatifs. Atrides - Achille PORTAIL Baie de stockage 288 Go Raid 10 (8 *36 go) 4 Processeurs de 700 Mhz 8 GO de mémoire Sun Fire V880 Loki / solaris 9 de Secours Oracle V8 6*36 Go = 216 Go 6*72 Go = 432 Go 216 Go en Raid 10 Antares Applicatifs 9iAS- PortalImmo Frontal Cache - Load balancing Catalogue global AD BIE W2k Sp4 2 s Applicatifs IBM Eserver Xseries 365 2*7Go RAM 2*(3*36Go) Raid 5 Win server 2003 Aphrodite F5 2 * BIG-IP 1000 series PIII 1Ghz 2,5 Go RAM Cesar W2K Sp4 Domino V5.0.9a AD Opievoy secondaire de fichiers Agences / DR SETH W2k Sp4 Routage par vlan Bureautique Icare Netfinity 5000 256Mo RAM 18Go Raid 5 Winnt sp6a 5 serveurs reliés au : - SUN : Balder et Loki - WIndows : Artemis, Atlante, Seth, par des Cartes FB Emulex LP10000 Redondance pour les 5 serveurs reliés au : - SUN : Balder et Loki - WIndows : Artemis, Atlante, Seth Atlante Infocentre Production BO XI DI Crystal report Sonde packeteer Bureautique Demeter W2003 (AD ) Architecture Switches OEM Brocade DS220B 16 ports Hestia FACTEL production W2K SP4 SIEGE OPIEVOY/DRO VERSAILLES Hulk Xserie 230 1Go RAM 36Go Raid 5 W2k Sp2 Domino V 5.0.9a Routeur Cisco 2826 HSRP Répartition de charge Routeur Cisco 2826 Pivot PLUTON Xserie 230 512Mo RAM 18Go Raid 1 W2k Sp2 Domino V 5.0.9a Appolon Tests Architecture CITRIX Metaframe PS4 16 poweredge 1750 ET 1850 Bi-processeurs 4 Go RAM 36 Go Raid1 W2K sp4 Citrix Metaframe PS4 Portail NFuse ZORBA Office 2000, Lotus Notes Plateforme Black berry Business Object V5 Baie de disques EMC² CX500 Fibre Channel. Stockage partition NFS, NTFS mutualisé Librairie de sauvegarde Quantum PX502 2 * LTO3 38 Slots + de 16 To : - 27 FC * 146 Go - 18 FC * 300 Go - 15 Sata * 500 Go SnapView Switch Modulaire Cisco 4506 Supervisor II 2 cartes 48 ports 10/100 1 carte Port Fibre Ethernet Lien Fibre 4 Mb/s Lien Fibre 4 Mb/s ANDROMEDE Développement Infocentre ALDEBARAN Développement -Test Portail-Intranet Lexmark (x3) Acheron AD Secondaire OPIEVOY Siege W2K SP4 Liaison France Télécom s Sites Distants Solution Equant IPVPN Eos d impression Options : Porfils utilisateurs, filtrage de protocole, filtrage d'url, relai SMTP IPSX 20 SITES DISTANTS Ligne 2 Mb/S 2 DR ( 20 Postes * 2) = 40 Postes 17 Agences ( 15/17 Postes) = 280 Postes 1 Antenne (Clichy) 1 Ophlm Mantes local Agence et DR Lien 2 Mb/s Plateforme Intranet Point de vente IPV Collecte ADSL / RTC /RNIS Ligne SDSL Basic 1024 Kb/s 17 Postes, 3 imprimantes (agences) 39 Postes, 3 s (DR) Coupe-feu proxy/antivirus Routeur DSL FT Bintec X2404 Internet Ligne Numeris Ligne Adsl Switch Cisco 3560Xl 48ports 10/100 Ordinateur gardiens Rnis Ordinateur gardiens ADSL Light 370 Postes terminal léger Windows XPe 2* 36Go en raid 10 (applis. + Système) 3 * 36Go (54 Go en raid 10) 1 * 36 Go non sécurisé Version 022007 -Page 5