Greenbone Security Manager für zentrales Schwachstellenmanagement

Die Technische Universität Dresden beabsichtigt die Beschaffung einer zentralen Schwachstellenmanagement-Lösung, die auf dem Greenbone Security Manager (GSM) basiert. Diese Lösung ist ein integraler Bestandteil des Informationssicherheitsprozesses der Universität und zielt darauf ab, die technische Sicherheit von IT-Ressourcen durch einen kontinuierlichen Managementprozess zu gewährleisten. Die spezifischen Anforderungen umfassen die Kopplung mit dem Informationssicherheits-Management-Werkzeug 'verinice' mittels automatisiertem Datenaustausch. Des Weiteren ist die technische Prüfung des Umsetzungsgrades von Anforderungen aus dem IT-Grundschutzkompendium des Bundesamtes für Informationstechnik (BSI) gefordert. Die Integration der Schwachstellenmeldungen des DFN-CERTs ist ebenfalls ein Muss. Eine weitere wichtige Anforderung ist die Bereitstellung eines Nagios-Plugins zur Integration in das Monitoring-Werkzeug Centreon, um IT-Ressourcen automatisiert auf Funktionalität und Schwachstellen zu prüfen, inklusive der Erkennung von False Positives. Die Lösung muss die Offenlegung des Software-Quellcodes der Scan-Engine als Open Source für Auditierungszwecke durch die TU Dresden ermöglichen. Sie muss Schwachstellen in heterogenen Netzwerken, insbesondere Linux/Unix, erkennen können. Authentifizierte Schwachstellenscans für eine breite Palette von Betriebssystemen und Netzwerkgeräten, darunter Linux, FreeBSD, MS Windows, Citrix XenServer, macOS, Juniper JunOS und Palo Alto PAN-OS, sind erforderlich. Die Prüfung von Web-Applikationen ist ebenfalls Teil der Anforderungen. Die Lösung muss Mehrbenutzer-Betrieb (Mandantenfähigkeit) unterstützen und eine automatisierte Erkennung und Kennzeichnung von False-Positives bieten. Ein skalierbarer Master-Slave-Betrieb mit Scan-Sensoren ist gefordert. Aus Gründen der IT-Sicherheit müssen alle Daten innerhalb der TU Dresden verbleiben, was den ausschließlichen Einsatz einer On-Premise-Lösung bedingt. Die Schwachstellendetektion muss die Standards CVE, CPE und CVSS unterstützen. Es darf keine Limitierung bezüglich der Anzahl der Zielsysteme oder IP-Adressen geben. Die Steuerung der Anwendung muss sowohl über ein Web-Interface als auch skript-basiert möglich sein. Integriertes Backup, Restore, Snapshot und Update sind ebenfalls erforderlich. Eine umfassende Netzwerkintegration, einschließlich SMTP (Email), SysLog, NTP und DHCP, wird benötigt. Die Unterstützung von IPv4/IPv6 ist obligatorisch. Die angebotene Leistung muss eine dreijährige Subskription (Feed & Support) beinhalten, die mindestens tägliche Updates der Schwachstellenprüfungen (Greenbone Security Feed) sowie die Aktualisierung mit neuen Schwachstellenprüfungen umfasst. Die Bereitstellung ausschließlich qualitätsgesicherter Schwachstellenprüfungen ist ebenso gefordert wie Hardware-Garantie, RMA über Greenbone oder einen Greenbone-Distributor und Support via E-Mail und Hotline. Sämtliche Feature-Updates müssen kostenlos sein. Die Gewährleistung (Verjährung der Mängelansprüche) muss sich nach § 438 BGB richten und 2 Jahre betragen. Die Preise sind Festpreise und beinhalten Lieferung, Entladen, Verpackung und Aufstellung frei Verwendungsstelle sowie alle Nebenkosten. Nachforderungen wegen gestiegener Kosten sind ausgeschlossen. Das Projektbudget ist auf 116.134,00 Euro (brutto, inkl. MwSt.) begrenzt.