Descargar - Instituto Tecnológico Metropolitano

El equipo deberá tener la capacidad de rescribir URLs con el fin de poder ocultar información
sensible a un posible atacante.
Con el fin de poder aumentar el nivel de seguridad de las aplicaciones web, el equipo deberá
manejar políticas de autenticación a distintas páginas web.
Las políticas de autenticación deberán asignar un nivel de autenticación extra a diferentes URLs
definidas por la organización.
La solución debe estar en capacidad de prevenir y controlar ataques de Defacement ó
“alteraciones” al sitio web corporativo.
Debe estar en capacidad de realizar escaneos de forma periódica al contenido de la página web, en
caso de detectar cambios se deberá poder tomar dos acciones: alertar el cambio o deshacerlo. El
periodo de tiempo de escaneo debe ser configurable.
La solución deberá estar en capacidad de alertar/notificar en tiempo real al administrador ante la
ocurrencia de un ataque por medio de la consola de gestión.
La solución debe estar en capacidad de enviar notificaciones vía correo electrónico.
La solución deberá poseer un pantalla de monitoreo donde al menos se puedan visualizar las
sesiones establecidas, la cantidad de hits HTTP, el historial de ataques, consumo de memoria y
cpu, y trafico generado hacia las aplicaciones protegidas.
El proponente deberá realizar una prueba de penetración externa de caja negra para un total de 10
IPs públicas del ITM.
Observaciones a las especificaciones técnicas:
1. El proponente deberá adjuntar en la propuesta el certificado de distribuidor autorizado expedido por el fabricante.
2. El proponente deberá contar como mínimo con 1 ingeniero, entrenado y certificado por el fabricante en la solución
ofrecida. Se debe adjuntar en la propuesta la certificación del o los ingenieros, expedida por el fabricante.
3. El proponente deberá instalar, configurar y poner a punto la solución en la infraestructura del ITM.
4. El proponente deberá contar con soporte técnico en sitio en horario 5x8 durante el tiempo de vigencia del contrato,
con atención a incidentes a través de correo electrónico, portal web de soporte, atención remota y presencial. El
tiempo máximo de atención en sitio deberá ser de 2 horas después de reportado un incidente.
5. El proponente deberá contar como mínimo con 2 ingenieros que tengan por lo menos alguna de las siguientes
certificaciones Certified Ethical Hacker (CEH) ó Offensive Security Certified Professional (OSCP). El proponente
deberá adjuntar las certificaciones en la propuesta. Estas certificaciones son para las personas que van a realizar las
pruebas de penetración.
6. El proponente deberá entregar un entrenamiento en el uso y gestionamiento de la solución para hasta cuatro
administradores, con una intensidad de 16 horas.
7. Se deben realizar pruebas de detección, validación y explotación de problemas de seguridad en servidores (Unix,
Windows), mecanismos de seguridad (Firewalls, IDS, IPS, VPN), elementos de comunicación(enrutadores), servicios
comunes(web. Correo, DNS, POP3, entre otros. Ataques comunes enfocados a protocolos (TCP Hijacking, IP
Spoofing, ARP Spoofing, Sniffing, DoS – de común acuerdo, SNMP Testing, etc.), acceso remoto (Wardialing, PBX
Testing, RAS Server Testing). Ataques enfocados a servicios comunes, tales como WEB (Cross Site Scripting,
CGI/ASP/PHP scanning, command execution), CORREO (SMTP Mail relay, Information Disclosure, etc.), DNS (DNS
Poisoning, DNS Spoofing, etc.), entre otros.
8. Una vez finalizadas las pruebas, se entregará el informe correspondiente, el cual contará con la siguiente
información: Resumen ejecutivo, Problemas de seguridad priorizados por nivel de impacto, Aspectos positivos
detectados durante las pruebas, Conclusiones, Recomendaciones para la solución de los problemas detectados,
Anexos técnicos de las pruebas realizadas.