Servicio de análisis de vulnerabilidades de la plataforma tecnológica del Tribunal Registral Administrativo (TRA).

Línea 1:

Servicio de análisis de vulnerabilidades del sitio alterno y de la plataforma tecnológica del Tribunal Registral Administrativo (TRA).

Cantidad:

1

Código SICOP

8010150792082036

Especificaciones Técnicas

Contratar servicios especializados para la evaluación integral de la de la plataforma tecnológica del Tribunal Registral Administrativo (TRA) mediante la modalidad de horas según demanda con un estimado de horas de 230 y un tope presupuestario de ¢8.240.000, mediante actividades de identificación, análisis, validación y explotación controlada de vulnerabilidades, con el fin de determinar el nivel de exposición a riesgos de seguridad de la información, fortalecer los controles institucionales y verificar posteriormente la efectividad de las medidas de remediación implementadas.

1.    Análisis de vulnerabilidades Red interna: Evaluación de la infraestructura tecnológica interna con el propósito de identificar vulnerabilidades, configuraciones inseguras, posibles vectores de ataque que puedan comprometer los activos de la organización. El servicio deberá contemplar, como mínimo, los siguientes alcances:

a.  Identificación y descubrimiento de activos

Se deberá realizar el descubrimiento de los activos tecnológicos accesibles desde los segmentos de red definidos dentro del alcance.

b.   Identificación de vulnerabilidades

El análisis deberá identificar vulnerabilidades conocidas asociadas con los sistemas operativos, aplicaciones, servicios, firmware y componentes tecnológicos presentes en los activos evaluados.

c.   Identificación de configuraciones inseguras:

El servicio no deberá limitarse exclusivamente a la identificación de vulnerabilidades asociadas con números CVE. También deberán identificarse configuraciones inseguras o condiciones que puedan incrementar el riesgo de compromiso de los activos.

2.  Análisis de vulnerabilidades red externa: El adjudicatario deberá realizar un análisis de vulnerabilidades sobre la infraestructura tecnológica de la institución accesible desde Internet, con el objetivo de identificar activos expuestos, servicios publicados, vulnerabilidades conocidas, configuraciones inseguras y demás condiciones técnicas que puedan ser aprovechadas por un atacante externo. La evaluación deberá realizarse desde redes externas a la infraestructura de la institución y deberá representar, en la medida técnicamente posible, la perspectiva de un atacante que no dispone de acceso previo a la red interna.

a.  Identificación de la superficie externa

Se deberá realizar la identificación de los activos tecnológicos de la institución que se encuentren accesibles desde Internet. La evaluación deberá considerar como mínimo:

·        Direcciones IPv4 públicas.

·        Direcciones IPv6 públicas, cuando existan.

·        Rangos de direcciones IP públicas.

·        Dominios.

·        Subdominios.

·        Servicios publicados hacia Internet.

·        Portales y servicios de acceso remoto.

·        Gateways VPN.

·        Servidores de correo.

·        Servidores DNS.

·        Servidores web.

·        Dispositivos de seguridad perimetral.

·        Interfaces administrativas expuestas.

·        Servicios alojados en infraestructura de nube que formen parte del alcance.

·        Otros activos tecnológicos directamente accesibles desde Internet.

b.  Descubrimiento de activos públicos no identificados

Como parte del análisis se deberán aplicar técnicas de descubrimiento orientadas a identificar activos tecnológicos públicos relacionados con la institución que puedan incrementar su superficie de exposición.

c.   Descubrimiento de puertos y servicios

El adjudicatario deberá identificar los puertos TCP y UDP accesibles desde Internet, cuando resulte técnicamente procedente, en cada uno de los activos evaluados. El análisis no deberá limitarse exclusivamente a los puertos comúnmente utilizados. Deberán identificarse servicios publicados en puertos estándar y no estándar.

d.  Identificación de servicios innecesariamente expuestos:

Se deberá determinar la existencia de servicios que, por su naturaleza, puedan representar un incremento significativo de la superficie de ataque al encontrarse accesibles directamente desde Internet. Deberán identificarse especialmente, cuando existan:

·        Interfaces administrativas.

·        Protocolos de administración remota.

·        Servicios de acceso remoto.

·        Servicios de transferencia de archivos.

·        Servicios de bases de datos.

·        Servicios de directorio.

·        Servicios de compartición de archivos.

·        Consolas de administración.

·        Servicios de virtualización.

·        Protocolos heredados u obsoletos.

·        Otros servicios que normalmente deberían encontrarse restringidos a redes internas o redes administrativas.

e.   Identificación de vulnerabilidades externas

Se deberán realizar verificaciones orientadas a determinar la existencia de vulnerabilidades conocidas que puedan ser identificadas o explotadas potencialmente desde Internet. El análisis deberá considerar vulnerabilidades asociadas, entre otros, con:

·        Sistemas operativos.

·        Servicios de red.

·        Servidores web.

·        Servidores de correo.

·        Gateways VPN.

·        Firewalls.

·        Appliances de seguridad.

·        Dispositivos de comunicaciones.

·        Plataformas de acceso remoto.

·        Middleware.

·        Componentes y servicios expuestos públicamente.

·        Firmware.

·        Productos o versiones fuera de soporte.

f.    Evaluación de configuraciones criptográficas

Cuando los activos evaluados utilicen protocolos criptográficos, el análisis deberá revisar su configuración de seguridad. Las verificaciones deberán contemplar servicios distintos de HTTPS cuando estos utilicen TLS u otros mecanismos criptográficos.

g.  Análisis de vulnerabilidades de aplicaciones web a nivel de infraestructura

Cuando se identifiquen servicios HTTP o HTTPS, el análisis externo deberá evaluar las vulnerabilidades relacionadas con la infraestructura y los componentes tecnológicos que soportan dichos servicios.

3.  Análisis de vulnerabilidades de la red inalámbrica: El adjudicatario deberá realizar un análisis de seguridad y vulnerabilidades sobre la infraestructura de red inalámbrica de la institución, con el objetivo de identificar dispositivos inalámbricos no autorizados, configuraciones inseguras, mecanismos de autenticación o cifrado débiles, vulnerabilidades conocidas, deficiencias de segmentación y demás condiciones que puedan permitir acceso no autorizado, interceptación de comunicaciones o afectación de la confidencialidad, integridad o disponibilidad de los recursos institucionales. Como mínimo, el servicio deberá contemplar los siguientes alcances:

a.  Levantamiento e identificación de redes inalámbricas

El adjudicatario deberá realizar un recorrido físico por las áreas incluidas dentro del alcance, utilizando herramientas especializadas para identificar las redes y dispositivos inalámbricos detectables. Como mínimo deberán identificarse, cuando técnicamente sea posible:

·        SSID.

·        BSSID o dirección MAC.

·        Punto de acceso asociado.

·        Banda de frecuencia utilizada.

·        Canal utilizado.

·        Intensidad de señal.

·        Tecnología IEEE 802.11 utilizada.

·        Método de autenticación.

·        Método de cifrado.

·        Configuraciones de seguridad observables.

·        Ubicación aproximada desde donde fue detectado el dispositivo.

El análisis deberá contemplar todas las bandas inalámbricas utilizadas por la institución, incluyendo 2.4 GHz, 5 GHz y 6 GHz cuando corresponda.

b.  Identificación de puntos de acceso no autorizados

Se deberán realizar verificaciones orientadas a identificar posibles puntos de acceso inalámbricos no autorizados o conectados indebidamente a la infraestructura institucional.

El análisis deberá considerar, cuando resulte técnicamente posible:

·        Rogue Access Points.

·        Routers inalámbricos no autorizados.

·        Puntos de acceso personales.

·        Hotspots.

·        Dispositivos que utilicen nombres de red similares o iguales a los institucionales.

·        Infraestructura inalámbrica conectada a la red institucional sin autorización.

c.   Evaluación de configuraciones de seguridad inalámbrica

El adjudicatario deberá evaluar los mecanismos de seguridad utilizados por las redes inalámbricas de la institución. La evaluación deberá considerar, cuando resulte aplicable:

·        WPA2.

·        WPA3.

·        WPA2-Enterprise.

·        WPA3-Enterprise.

·        IEEE 802.1X.

·        Métodos EAP utilizados.

·        Cifrado utilizado.

·        Protección de tramas de administración.

·        WPS.

·        Protocolos o mecanismos de seguridad obsoletos.

·        Configuraciones heredadas.

·        Redes abiertas.

·        Redes protegidas mediante claves precompartidas.

·        Mecanismos de autenticación empresarial.

Deberán reportarse configuraciones que utilicen tecnologías obsoletas, débiles o que representen un riesgo para la infraestructura.

d.  Evaluación de claves precompartidas

Cuando se identifiquen redes inalámbricas que utilicen claves precompartidas, deberá evaluarse la configuración utilizada y determinarse si este mecanismo resulta apropiado según el propósito de la red.

e.   Evaluación de autenticación empresarial

Cuando se identifique autenticación IEEE 802.1X, WPA2-Enterprise, WPA3-Enterprise o mecanismos equivalentes, el adjudicatario deberá evaluar la implementación de los controles asociados.

f.    Validación de segmentación de red

Una vez establecida una conexión autorizada a cada una de las redes inalámbricas evaluadas, deberán realizarse verificaciones para determinar si los controles de segmentación funcionan correctamente. Se deberá determinar si desde cada red inalámbrica es posible acceder a segmentos, servidores, servicios o recursos que no deberían encontrarse disponibles según la arquitectura y políticas de seguridad de la institución

g.  Evaluación de la red de invitados

Cuando se identifiquen una red inalámbrica destinada a visitantes o usuarios externos, deberá verificarse que esta se encuentre adecuadamente aislada de los recursos internos. Como mínimo deberá comprobarse que la red de invitados no permita acceso indebido a:

·        Servidores internos.

·        Controladores de dominio.

·        Estaciones de trabajo.

·        Sistemas administrativos.

·        Consolas de administración.

·        Equipos de comunicaciones.

·        Infraestructura inalámbrica.

·        Bases de datos.

·        Otros segmentos restringidos.

h.  Evaluación de servicios accesibles desde la red inalámbrica

Desde cada uno de los segmentos inalámbricos autorizados para evaluación deberán identificarse los servicios y sistemas accesibles.

El análisis deberá determinar si existen servicios innecesariamente expuestos hacia los usuarios inalámbricos. Los servicios identificados deberán compararse contra la política de segmentación definida por la institución.

i.    Evaluación de la infraestructura WLAN

El adjudicatario deberá evaluar , los componentes tecnológicos utilizados para administrar la infraestructura inalámbrica.

Podrán incluirse:

·        Access Points.

·        Wireless LAN Controllers.

·        Consolas de administración.

·        Interfaces web.

·        Plataformas de administración inalámbrica.

·        Sistemas de autenticación relacionados.

·        Servicios de administración de red.

j.    Identificación de redes que suplanten SSID institucionales

El adjudicatario deberá identificar redes inalámbricas que utilicen nombres iguales o similares a los SSID institucionales y analizar si corresponden a infraestructura autorizada.

k.  Identificación de vulnerabilidades

Los hallazgos identificados deberán incluir tanto vulnerabilidades conocidas como configuraciones inseguras que puedan representar un riesgo.

4.  Pruebas de Ingeniería Social:
El adjudicatario deberá realizar campañas controladas de simulación de phishing mediante correo electrónico dirigidas a los usuarios definidos por la institución, con el objetivo de evaluar su capacidad para identificar, evitar y reportar intentos de ingeniería social, así como determinar el nivel de exposición institucional ante este tipo de amenaza.

a.  Planificación de la campaña

Previo a la ejecución, el adjudicatario deberá coordinar con el fiscalizador del contrato de la institución las características de cada campaña. Como mínimo deberán definirse:

·        Población objetivo.

·        Cantidad de usuarios participantes.

·        Áreas o departamentos incluidos.

·        Fechas y horarios de ejecución.

·        Duración de la campaña.

·        Tipo de escenario.

·        Nivel de dificultad.

·        Mecanismo de interacción esperado.

·        Infraestructura utilizada por el adjudicatario.

·        Dominios y direcciones de correo utilizados.

·        Procedimiento de atención de incidentes.

·        Contactos técnicos y administrativos.

Todos los escenarios deberán ser previamente aprobados por la institución.

b.  Diseño de escenarios de phishing

El adjudicatario deberá diseñar escenarios realistas y relacionados con situaciones que razonablemente puedan ser utilizadas por atacantes contra la institución. Los escenarios podrán contemplar, entre otros:

·        Notificaciones administrativas.

·        Actualizaciones de cuentas.

·        Cambios de contraseña.

·        Comunicaciones de recursos humanos.

·        Documentos compartidos.

·        Facturas.

·        Notificaciones de servicios tecnológicos.

·        Alertas de seguridad.

·        Comunicaciones de proveedores.

·        Entregas o mensajería.

·        Reuniones o videoconferencias.

·        Beneficios o promociones.

·        Comunicaciones relacionadas con actividades institucionales.

·        Simulación de comunicaciones provenientes de plataformas de uso habitual.

c.   Modalidades de interacción

Las campañas deberán permitir evaluar diferentes tipos de interacción de los usuarios. Cuando sean autorizadas, podrán incluir:

·        Apertura del mensaje.

·        Acceso a enlaces.

·        Acceso a páginas web simuladas.

·        Intento de ingreso de información.

·        Descarga de archivos simulados.

·        Apertura de archivos adjuntos seguros.

·        Interacción con códigos QR.

·        Reporte del mensaje mediante los mecanismos institucionales.

d.  Páginas de aterrizaje (landing page):

Cuando el escenario requiera que el usuario acceda a un enlace, el adjudicatario deberá utilizar páginas de aterrizaje controladas específicamente para la campaña. Las páginas podrán simular, cuando haya sido autorizado:

·        Portales de autenticación.

·        Aplicaciones institucionales.

·        Servicios de correo.

·        Plataformas de colaboración.

·        Servicios de almacenamiento.

·        Portales de proveedores.

·        Formularios.

e.   Simulación de captura de credenciales

Cuando la institución autorice escenarios orientados a determinar si un usuario intentaría proporcionar sus credenciales, la plataforma deberá registrar únicamente el evento necesario para determinar que el usuario realizó la acción. La solución deberá evitar almacenar contraseñas reales.

Cuando técnicamente sea posible, deberá registrarse únicamente que el usuario introdujo información o intentó autenticarse, sin conservar el contenido de la contraseña proporcionada. Las credenciales obtenidas accidentalmente durante el ejercicio no deberán ser reutilizadas, verificadas contra sistemas reales ni incorporadas a los informes.

f.    Medición de interacción

La plataforma utilizada deberá permitir registrar, cuando técnicamente corresponda, al menos los siguientes eventos:

·        Mensajes enviados.

·        Mensajes entregados.

·        Mensajes rechazados.

·        Mensajes abiertos.

·        Usuarios que accedieron al enlace.

·        Usuarios que interactuaron con la página simulada.

·        Usuarios que intentaron proporcionar información.

·        Usuarios que reportaron correctamente el correo.

·        Tiempo transcurrido hasta la interacción.

·        Tiempo transcurrido hasta el reporte.

Las métricas de apertura deberán interpretarse con precaución debido a que mecanismos de privacidad, previsualización o plataformas de seguridad pueden generar aperturas automáticas.

g.  Métricas de la campaña

El adjudicatario deberá proporcionar indicadores cuantitativos que permitan evaluar los resultados. Como mínimo deberán contemplarse:

·        Cantidad total de usuarios evaluados.

·        Tasa de entrega.

·        Tasa de interacción.

·        Tasa de acceso a enlaces.

·        Tasa de apertura de archivos adjuntos, cuando corresponda.

·        Tasa de intento de suministro de información.

·        Tasa de reporte.

·        Tiempo promedio de reporte.

·        Resultados por escenario.

·        Resultados por nivel de dificultad.

h.  Interpretación de resultados

El adjudicatario no deberá limitar el análisis de la campaña exclusivamente al porcentaje de usuarios que accedieron al enlace. Los resultados deberán analizarse considerando, cuando corresponda:

·        Dificultad del escenario.

·        Contexto utilizado.

·        Cantidad de indicadores de phishing presentes.

·        Tasa de reporte.

·        Tipo de interacción.

·        Controles técnicos que intervinieron.

·        Población evaluada.

·        Comparación con campañas anteriores, cuando exista información disponible.

El informe deberá permitir identificar tendencias y áreas que requieran fortalecimiento.

5.  Propuesta de Remediación y Re-test

Presentación de los hallazgos identificados, recomendaciones técnicas y un plan de acción para su remediación. Se brindará acompañamiento especializado y se realizará una validación posterior de las medidas correctivas implementadas por el TRA, con especial atención a los hallazgos clasificados como críticos y altos.

Se excluye al contratista de ejecutar las remediaciones en los dispositivos y/o aplicaciones identificadas.

6.  Servicio de Hardening de FortiGate

El adjudicatario deberá realizar un servicio especializado de revisión, fortalecimiento y hardening de la configuración de los dispositivos FortiGate de la organización, con el objetivo de reducir la superficie de ataque, eliminar configuraciones inseguras, fortalecer los mecanismos de administración y protección, y alinear la plataforma con las buenas prácticas recomendadas por el fabricante y estándares reconocidos de la industria. El servicio deberá contemplar el análisis de la configuración actual, identificación de desviaciones, definición de recomendaciones, implementación controlada de las configuraciones autorizadas por la organización y validación posterior del estado de seguridad.

7.   Análisis Avanzado de Seguridad de Active Directory e Identidades

El adjudicatario deberá realizar un análisis especializado de seguridad sobre la infraestructura Microsoft Active Directory de la organización, orientado a identificar vulnerabilidades, configuraciones inseguras, exposición de credenciales, cuentas privilegiadas, relaciones de confianza, privilegios excesivos y rutas de escalamiento que puedan permitir a un atacante obtener acceso privilegiado dentro del entorno.

La evaluación deberá ir más allá de la comprobación tradicional de configuraciones o vulnerabilidades conocidas, realizando un análisis contextual de las identidades, cuentas, grupos, permisos, relaciones, credenciales, certificados, eventos de seguridad y privilegios directos e indirectos existentes en Active Directory.

El servicio deberá permitir determinar no solamente los privilegios que una cuenta posee directamente, sino también los privilegios que podría llegar a obtener mediante relaciones indirectas, membresías, permisos delegados, configuraciones incorrectas o rutas de escalamiento existentes en el entorno.

8. Experiencia de la empresa

El oferente deberá demostrar experiencia comprobada en la prestación de servicios de análisis de vulnerabilidades, evaluaciones de seguridad informática, pruebas de penetración (Pentesting), evaluaciones de seguridad de redes inalámbricas y pruebas de ingeniería social. Para acreditar lo anterior, deberá presentar al menos tres (3) proyectos ejecutados durante los últimos cinco (5) años, en entidades públicas o privadas.

Como respaldo deberá aportar para cada proyecto:

• Nombre de la organización.
• Alcance del servicio ejecutado.
• Fecha de ejecución.
• Persona de contacto.
• Correo electrónico o teléfono de contacto.

9. Del personal especializado

El oferente deberá contar con un equipo de trabajo y tener como mínimo los siguientes requisitos entre todo el personal:

a.  Un (1) Ingeniero Bachiller en Informática, electrónica, sistemas de información con certificación CISSP (Certified Information Systems Security Professional), así como certificaciones en ITIL y COBIT.

b.  Un (1) Ingeniero con certificación CompTIA Security+

c.  Un (1) Ingeniero en Sistemas Computacionales con CEH (Certified Ethical Hacker.

d.  Un (1) Ingeniero en Sistemas informáticos , incorporado al equipo de trabajo en condición de planilla, con certificaciones Fortinet Certified Solution Specialist Network Security, y certificación en ITIL y COBIT

El oferente deberá aportar para cada recurso asignado al proyecto la siguiente documentación:

a.  Currículum vitae actualizado.

b.  Copia de las certificaciones vigentes requeridas.

c.   Experiencia comprobable en al menos 1 proyecto de análisis de vulnerabilidades y/o pruebas de seguridad, como respaldo deberá aportar para cada proyecto:

• Nombre de la organización.
• Alcance del servicio ejecutado.
• Fecha de ejecución.
• Persona de contacto.
• Correo electrónico o teléfono de contacto.

Detalle

Costo

Hora de Servicio (Lunes a Viernes 08.00 a.m. a 05.00 p.m)

##.##

Componente

Monto en la moneda ofertada

Porcentaje
%

Índice para eventual reajuste o revisión de precios

Costos Directos

*Indicar el índice respectivo

Costos Indirectos

*Indicar el índice respectivo

Imprevistos

No aplica

Utilidad

No aplica

TOTAL

Banda inferior

28,250

Banda superior

35,800