Beschreibung der Beschaffung
Bei der ausgeschriebenen Leistung handelt es sich um die Pflege und die Weiterentwicklung einer Individualsoftware zur Sicherstellung, Überwachung und Konfiguration der Netzzugangssicherheit an den über Hessen verteilten Kundenstandorten.
Darüber hinaus sollen interne Mitarbeiter*innen der HZD vom Anbieter in den Code und die Weiterentwicklung der Software eingearbeitet und darin gecoached werden.
Die oben beschriebene Individualsoftware ist zentrale Grundlage für den Betrieb und den Schutz der Kundennetze in der Hessischen Landesverwaltung. Sie wurde speziell für die HZD zum herstellerunabhängigen Einsatz im sicherheitskritischen Umfeld ihrer Kunden entwickelt. Hierbei wurde insbesondere auch auf die Konformität mit den Vorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) geachtet.
Die Software ist integraler Bestandteil der Sicherheitsverfahren der Landesverwaltung und eines diesbezüglichen IT-Sicherheitskonzepts. Die Rechte an der Software liegen bei der HZD.
Die Software wurde im Rahmen verschiedener Kundenprojekte von einem externen Dienstleister der HZD - teilweise in Zusammenarbeit mit den Netzwerkkomponenten-Herstellern - erstellt. Sie besteht im Wesentlichen aus zwei Hauptmodulen.
Das Modul "Port-/VLAN-Security" ermöglicht eine Netzzugangskontrolle in den Kundenstandorten der Hessischen Landesverwaltung und basiert auf 802.1X-Fähigkeiten der eingesetzten Netzwerkkomponenten.
Das Modul "Konfig-/Access-Management" stellt ein automatisiertes, zentrales Konfigurationsmanagement für die Netze der Hessischen Landesverwaltung bereit. Das Modul nutzt dabei RADIUS-Funktionen und OpenLDAP-Repositories für das Konfigurations-, Zugriffs und Compliance-Management. Über REST Schnittstelle werden SD-WAN Controller der Fa. Cisco angesprochen.
Die Software befindet sich seit vielen Jahren im Einsatz. Sie wurde in diesem Zeitraum ständig weiterentwickelt und für die Belange der Landesverwaltung optimiert. In den letzten Versionen wurden die beiden Module für "Port-/VLAN-Security" und "Konfig-/Access-Management" in eine gemeinsame Softwareplattform integriert.
Aufgrund des umfangreichen Einsatzes im täglichen Betrieb wurde die Software mit sogenannten CSA-Funktionen (Customer Self Administration) ausgestattet. Diese ermöglichen es, dass die Systembetreuer der Kunden Netzwerk-Sicherheitsparameter über ein User-Interface selbst einstellen können. Die Einstellungen führen im Hintergrund zu automatisierten Anpassungen der Netzwerkkonfiguration. Basis hierfür ist eine enge Abstimmung mit dem Netzservice und der Netzplanung der HZD über die zugrunde liegende Netzwerkgrundkonfiguration. Derzeit nutzen etwa 600 Systembetreuer der HZD-Kunden das Verfahren.
Zusätzlich sind die Systeme über geografisch verteilte kundenspezifische Redundanzen, sogenannte Consumer abgesichert. Bei diesen Systemen handelt es sich um Authentisierungsinstanzen und RHEL auf Basis von RADIUS und LDAP in den Lokationen der Kunden. Diese ermöglichen einen stabilen Betrieb des Verfahrens in aktuell bis zu 350 über Hessen verteilten Kundenlokationen.
Die Individualsoftware steuert u.a. die Replikation der von den Kunden gepflegten Konfigurationsdaten von der zentralen Site auf die verteilten Consumer Systeme. Die Realisierung erfolgt mit Hilfe von OpenSource Werkzeugen (GNU) unter LINUX.
Pflege HZD Individualsoftware
Die Pflege der beschriebenen Individualsoftware umfasst die Erstellung von Patches und Bugfixes sowie die Anpassung auf neue AOS und IOS-Versionen für die nächsten 4 Jahre. Im Rahmen der Pflege muss auch die Anpassung auf neue Netzwerkkomponententypen der Firmen Alcatel und Cisco sowie zukünftiger, im HZD Netzwerkservice eingesetzter Hersteller erbracht werden. Sind neue Komponenten-Typen und -Software vom Hersteller freigegeben, muss der Auftragnehmer auf Anforderung der HZD neue Varianten der SW erstellen, die für definierte Kombinationen von Gerät und Betriebssoftware (AOS / IOS) benötigt werden. Diese Varianten müssen nach Beauftragung in längstens zwei Wochen vom Auftragnehmer erstellt, getestet und der HZD für Produktions- und Abnahmetests übergeben werden.
Die Individualsoftware stellt darüber hinaus Funktionen für die automatisierte Installation und Konfiguration der Radius/LDAP Consumer Infrastruktur und der zentralen Backendsysteme bereit. Diese sind im Rahmen der Pflege regelmäßig an die neuen, von der HZD unterstützten LINUX-, LDAP und RADIUS-Versionen sowie an die aktuellen Sicherheitspatche anzupassen.
Zusätzlich muss ein telefonischer Hotlinesupport angeboten werden. Dieser Hotline-Support bezieht sich auf die Entstörung beim produktiven Einsatz der Software in oben genanntem Kundenumfeld. Gefordert ist dabei die Bereitstellung eines 2nd- bzw. 3rd Level Supports für die Module "Port-/VLAN-Security" und "Konfig-/Accessmanagement Netze" der beschriebenen HZD-Individualsoftware.
Der Support muss während der Geschäftszeiten der HZD von Montag bis Freitag, von jeweils 8:00 - 16:00Uhr mit einer Reaktionszeit von maximal vier Stunden erbracht werden. Ausgenommen sind hessische Feiertage.
Weiterentwicklung HZD Individualsoftware
Darüber hinaus muss der Ausbau von Port-/VLAN-Security und Konfigurationsverwaltung auf Basis aktueller Kundenanforderungen erbracht werden. Die Weiterentwicklung der Software muss die Steuerung von mindestens 150.000 Netzwerk-Anschlüssen bzw. 7.500 Netzkomponenten in den nächsten vier Jahren ermöglichen. Dies umfasst auch die Weiterentwicklung vorhandener Werkzeuge zur Automatisierung der Betriebsabläufe.
Das Verfahren wird in sicherheitskritischen Bereichen sensibler Kunden der Landesverwaltung eingesetzt. Der Auftragnehmer muss daher die für den Support und die Weiterentwicklung erforderlichen Voraussetzungen durch Erfahrungen in einem vergleichbaren Umfeld vergleichbarer Größe nachweisen.
Coaching interner Mitarbeiter*innen
Der Auftragnehmer muss die Schulung der HZD Mitarbeiter*innen zum vorhandenen Software-Code übernehmen und deren Einarbeitung im Rahmen eines Coachings begleiten.
Hierzu sind Erfahrung bei der Vermittlung von Methoden objektorientierter Softwareentwicklung sowie beim Coaching von Mitarbeiter*innen in der Systementwicklung nachzuweisen. Der Auftragnehmer kann dabei davon ausgehen, dass die HZD Mitarbeiter*innen bereits umfangreiche Kenntnissen in den Bereichen Netzwerkmanagement, Netzwerkprotokolle und Scripting besitzen.
Für die Pflege und Weiterentwicklung der HZD Individualsoftware werden konkret nachfolgende Skills benötigt.
Modul Netzzugangssicherheit (Port-VLAN-Security)
Fachliche Skills
Folgende fachliche Skills sind Voraussetzung zur Produkt-(weiter-)entwicklung von Port-/VLAN-Security. Es werden tiefgehende Kenntnisse (mindestens 5 Jahre) in folgenden Bereichen benötigt:
Netzwerke und Netzwerkprotokolle
•Standardprotokolle TCP/IP, UDP
•SNMP
•RADIUS
•LDAP
Konzepte Netzwerksicherheit
•Management in DMZ
•Security Policies / Umgang mit Firewalls
•VLAN
•Security Standards IEEE802.1X
Aktive Netzwerkkomponenten der Firmen Cisco und Alcatel
•Managementfunktionen der Komponenten
•Cisco IOS, Alcatel AOS
•SNMP Private MIB Cisco / Alcatel
•Securitykonzepte Cisco / Alcatel
•Netztechnische Funktionen: Routing, Switching, VLAN-Steuerung, Portsecurity, 802.1X
•Konfigurationskonzepte Cisco/Alcatel: Umgang mit Systemkonfigurationen, Sicherungskonzepte, Versionierung
Systeminfrastruktur
•Planung und Realisierung Radius/LDAP Infrastruktur
•Linux im HA-Umfeld
Skills im Bereich Softwareentwicklung
Folgende Skills im Bereich Softwareentwicklung sind Voraussetzung zur Produkt(weiter-)entwicklung von Port-/VLAN-Security. Insbesondere werden tiefgehende Kenntnisse (mindestens 5 Jahre) in folgenden Bereichen benötigt:
Anwendung Port-/VLAN Security
•C++
•C++ Berkeley DB Schnittstelle
•C++ NetSNMP Bibliothek
•Alcatel SNMP MIB zur Switch Steuerung
•Apache WEB Server zur Kommunikation mit dem INSM Server
•Curl Bibliothek
Erweiterung IEEE802.1X
•C++ (Windows / Unix)
•ZeroC ICE Middlware Schnittstellen (Cross-Plattform Dev.)
•C++ LDAP Schnittstelle
•Python/Perl LDAP Schnittstelle
•OpenLDAP
•FreeRADIUS
Modul Konfig-/Accessmanagement
Folgende fachliche Skills sind Voraussetzung zur Produkt (Weiter-)entwicklung von Konfigurationsverwaltung Netze. Insbesondere werden tiefgehende Kenntnisse (mindestens 5 Jahre) in folgenden Bereichen benötigt:
Netzwerke und Netzwerkprotokolle
•Standardprotokolle TCP/IP, UDP
•SNMP
Konzepte Netzwerksicherheit
•Management in DMZ
•HZD Security Policies / Umgang mit Firewalls
Grundlegende Architekturkenntnisse von Cisco SD-WAN
Aktive Netzwerkkomponenten der Firmen Cisco und Alcatel:
•Managementfunktionen der Komponenten
•Cisco IOS, Alcatel AOS
•SNMP Private MIB Cisco / Alcatel
•Securitykonzepte Cisco / Alcatel
•Netztechnische Funktionen: Routing, Switching, VLANs etc.
•Konfigurationskonzepte Cisco/Alcatel: Umgang mit Systemkonfigurationen, Sicherungskonzepte, Versionierung
•Konfiguration von Cisco SD-WAN Controllern über REST-API
Systeminfrastruktur
•Planung und Realisierung mit Hilfe von OpenSource Werkzeugen (GNU) unter LINUX sowie Automatisierung (Installation und Konfiguration) in Radius/LDAP Infrastrukturen.
•LINUX im HA-Umfeld
Skills Softwareentwicklung
Folgende Skills im Bereich Softwareentwicklung sind Voraussetzung zur Produkt (Weiter-) entwicklung von Konfig-/Accessmanagement. Es werden tiefgehende Kenntnisse (mindestens 5 Jahre Erfahrung) in folgenden Bereichen benötigt:
Anwendung Konfig-/Accessmanagement
•Perl
•Perl SNMP Module
•Berkeley DB Schnittstellen
•Python
•Python Module
•Python Schnittstellen LDAP, LINUX System
•Alcatel SNMP MIBs (z.B. zur Versionsabfrage)
•Apache Web Server zur Kommunikation mit dem INSM Server
•Curl Bibliothek
•Cisco SD-WAN API