Common use of Controle de Aplicações Clause in Contracts

Controle de Aplicações. 4.9.24.1. Os dispositivos de proteção de rede deverão possuir a capacidade de reconhecer aplicações, independente de porta e protocolo; 4.9.24.2. Deve ser possível a liberação e bloqueio somente de aplicações sem a necessidade de liberação de portas e protocolos; 4.9.24.3. Reconhecer pelo menos 1700 aplicações diferentes, incluindo, mas não limitado: a tráfego relacionado a peer-to-peer, redes sociais, acesso remoto, update de software, protocolos de rede, voip, áudio, vídeo, proxy, mensageiros instantâneos, compartilhamento de arquivos, e-mail; 4.9.24.4. Reconhecer pelo menos as seguintes aplicações: bittorrent, gnutella, skype, facebook, linked-in, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydrive, db2, mysql, oracle, active directory, kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, gotomeeting, webex, evernote, google-docs; 4.9.24.5. Deve inspecionar o payload de pacote de dados com o objetivo de detectar assinaturas de aplicações conhecidas pelo fabricante independente de porta e protocolo; 4.9.24.6. Identificar o uso de táticas evasivas, ou seja, deve ter a capacidade de visualizar e controlar as aplicações e os ataques que utilizam táticas evasivas via comunicações criptografadas, tais como Skype e utilização da rede Tor; 4.9.24.7. Para tráfego criptografado SSL, deve decriptografar pacotes a fim de possibilitar a leitura de payload para checagem de assinaturas de aplicações conhecidas pelo fabricante; 4.9.24.8. Deve realizar decodificação de protocolos com o objetivo de detectar aplicações encapsuladas dentro do protocolo e validar se o tráfego corresponde com a especificação do protocolo. A decodificação de protocolo também deve identificar funcionalidades especificas dentro de uma aplicação; Identificar o uso de táticas evasivas via comunicações criptografadas; 4.9.24.9. Atualizar a base de assinaturas de aplicações automaticamente; 4.9.24.10. Os dispositivos de proteção de rede devem possuir a capacidade de identificar o usuário de rede com integração ao Microsoft Active Directory, sem a necessidade de instalação de agente no Domain Controller, nem nas estações dos usuários; 4.9.24.11. Deve ser possível adicionar controle de aplicações em múltiplas regras de segurança do dispositivo, ou seja, não se limitando somente a possibilidade de habilitar controle de aplicações em algumas regras; 4.9.24.12. Deve suportar vários métodos de identificação e classificação das aplicações, por pelo menos checagem de assinaturas e decodificação de protocolos; 4.9.24.13. Permitir nativamente a criação de assinaturas personalizadas para reconhecimento de aplicações proprietárias na própria interface gráfica da solução, sem a necessidade de ação do fabricante; 4.9.24.14. O fabricante deve permitir a solicitação de inclusão de aplicações na base de assinaturas de aplicações; 4.9.24.15. Deve alertar o usuário quando uma aplicação for bloqueada; 4.9.24.16. Deve possibilitar a diferenciação de tráfegos Peer2Peer (Bittorrent, emule, etc) possuindo granularidade de controle/políticas para os mesmos; Deve possibilitar a diferenciação de tráfegos de Instant Messaging (AIM, Hangouts, Facebook Chat, etc) possuindo granularidade de controle/políticas para os mesmos; 4.9.24.17. Deve possibilitar a diferenciação e controle de partes das aplicações como por exemplo permitir o YouTube e, ao mesmo tempo, bloquear o streaming em HD; 4.9.24.18. Deve possibilitar a diferenciação de aplicações Proxies (psiphon, freegate, etc) possuindo granularidade de controle/políticas para os mesmos; Deve ser possível a criação de grupos dinâmicos de aplicações baseados em características das aplicações como: tecnologia utilizada nas aplicações (Client- Server, Browse Based, Network Protocol, etc);

Controle de Aplicações. 4.9.24.1. 4.1 Os dispositivos de proteção de rede deverão possuir a capacidade de reconhecer aplicações, independente de porta e protocolo;, com as seguintes funcionalidades: 4.9.24.2. 4.1.1 Deve ser possível a liberação e bloqueio somente de aplicações sem a necessidade de liberação de portas e protocolos;. 4.9.24.3. 4.1.2 Reconhecer pelo menos 1700 aplicações diferentes, incluindo, mas não limitado: a tráfego relacionado a peer-to-peer, redes sociais, acesso remoto, update de software, protocolos de rede, voip, áudio, vídeo, proxy, mensageiros instantâneos, compartilhamento de arquivos, e-mail; 4.9.24.4. 4.1.3 Reconhecer pelo menos as seguintes aplicações: bittorrent, gnutella, skype, facebook, linked-in, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydrive, db2, mysql, oracle, active directory, kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, ,gotomeeting, webex, evernote, google-docs, etc; 4.9.24.5. 4.1.4 Deve inspecionar o payload de pacote de dados com o objetivo de detectar através de expressões regulares assinaturas de aplicações conhecidas pelo fabricante independente de porta e protocolo. A checagem de assinaturas também deve determinar se uma aplicação está utilizando a porta default ou não, incluindo, mas não limitado a RDP na porta 80 ao invés de 389; 4.9.24.6. 4.1.5 Deve aplicar heurística a fim de detectar aplicações através de análise comportamental do tráfego observado, incluindo, mas não limitado a Encrypted Bittorrent e aplicações VOIP que utilizam criptografia proprietária; 4.1.6 Identificar o uso de táticas evasivas, ou seja, deve ter a capacidade de visualizar e controlar as aplicações e os ataques que utilizam táticas evasivas via comunicações criptografadas, tais como Skype e utilização da rede Torataques mediante a porta 443; 4.9.24.7. 4.1.7 Para tráfego criptografado SSL, deve decriptografar de-criptografar pacotes a fim de possibilitar a leitura de payload para checagem de assinaturas de aplicações conhecidas pelo fabricante; 4.9.24.8. 4.1.8 Deve realizar decodificação de protocolos com o objetivo de detectar aplicações encapsuladas dentro do protocolo e validar se o tráfego corresponde com a especificação do protocolo, incluindo, mas não limitado a Yahoo Instant Messenger usando HTTP. A decodificação de protocolo também deve identificar funcionalidades especificas dentro de uma aplicação; , incluindo, mas não limitado a compartilhamento de arquivo dentro do Webex. Além de detectar arquivos e outros conteúdos que devem ser inspecionados de acordo as regras de segurança implementadas; 4.1.9 Deve permitir a utilização de aplicativos para um determinado grupo de usuário e bloquear para o restante, incluindo, mas não limitado a Skype. Deve permitir também a criação de políticas de exceção concedendo o acesso a aplicativos como Skype apenas para alguns usuários; 4.1.10 Identificar o uso de táticas evasivas via comunicações criptografadas; 4.9.24.9. 4.1.11 Atualizar a base de assinaturas de aplicações automaticamente; 4.9.24.10. 4.1.12 Reconhecer aplicações em IPv6; 4.1.13 Limitar a banda (download/upload) usada por aplicações (traffic shaping), baseado no IP de origem, usuários e grupos do LDAP/AD; 4.1.14 Os dispositivos de proteção de rede devem possuir a capacidade de identificar o usuário de rede com integração ao Microsoft Active Directory, sem a necessidade de instalação de agente no Domain Controller, nem nas estações dos usuários; 4.9.24.11. 4.1.15 Deve ser possível adicionar controle de aplicações em múltiplas todas as regras de segurança do dispositivo, ou seja, não se limitando somente a possibilidade de habilitar controle de aplicações em algumas regras; 4.9.24.12. 4.1.16 Deve suportar vários múltiplos métodos de identificação e classificação das aplicações, por pelo menos checagem de assinaturas e assinaturas, decodificação de protocolosprotocolos e análise heurística; 4.9.24.13. 4.1.17 Para manter a segurança da rede eficiente, deve suportar o controle sobre aplicações desconhecidas e não somente sobre aplicações conhecidas; 4.1.18 Permitir nativamente a criação de assinaturas personalizadas para reconhecimento de aplicações proprietárias na própria interface gráfica da solução, sem a necessidade de ação do fabricante, mantendo a confidencialidade das aplicações do órgão; 4.9.24.14. 4.2 A criação de assinaturas personalizadas deve permitir o uso de expressões regulares, contexto (sessões ou transações), usando posição no payload dos pacotes TCP e UDP e usando decoders de pelo menos os seguintes protocolos: 4.2.1 HTTP, FTP, SMB, SMTP, Telnet, SSH, MS-SQL, IMAP, IMAP, MS-RPC, RTSP e File body. 4.3 O fabricante deve permitir a solicitação de inclusão de aplicações na base de assinaturas de aplicações; 4.9.24.15. 4.4 Deve alertar o usuário quando uma aplicação for bloqueada; 4.9.24.16. 4.5 Deve possibilitar que o controle de portas seja aplicado para todas as aplicações; 4.6 Deve possibilitar a diferenciação de tráfegos Peer2Peer (Bittorrent, emule, neonet, etc.) possuindo granularidade de controle/políticas politicas para os mesmos; ; 4.7 Deve possibilitar a diferenciação de tráfegos de Instant Messaging (AIM, HangoutsGtalk, Facebook Chat, etc.) possuindo granularidade de controle/políticas politicas para os mesmos; 4.9.24.17. 4.8 Deve possibilitar a diferenciação e controle de partes das aplicações como por exemplo permitir o YouTube e, ao mesmo tempo, Gtalk chat e bloquear o streaming em HD; 4.9.24.18. a transferência de arquivos; 4.9 Deve possibilitar a diferenciação de aplicações Proxies (psiphonghostsurf, freegate, etc.) possuindo granularidade de controle/políticas politicas para os mesmos; ; 4.10 Deve ser possível a criação de grupos estáticos de aplicações e grupos dinâmicos de aplicações baseados em características das aplicações como: tecnologia : 4.10.1 Tecnologia utilizada nas aplicações (Client- Client-Server, Browse Based, Network Protocol, etc); 4.10.2 Nível de risco da aplicação; 4.10.3 Categoria e sub-categoria de aplicações; 4.10.4 Aplicações que usem técnicas evasivas, utilizadas por malwares, como transferência de arquivos e/ou uso excessivo de banda, etc.

Controle de Aplicações. 4.9.24.1. 3.1.42.1 Os dispositivos de proteção de rede deverão possuir a capacidade de reconhecer aplicações, independente de porta e protocolo;, com as seguintes funcionalidades: 4.9.24.2. Deve 3.1.42.2 Deverá ser possível a liberação e bloqueio somente de aplicações sem a necessidade de liberação de portas e protocolos; 4.9.24.3. 3.1.42.3 Reconhecer pelo menos 1700 aplicações diferentes, incluindo, mas não limitado: a tráfego relacionado a peer-to-peer, redes sociais, acesso remoto, update de software, protocolos de rede, voip, áudio, vídeo, proxy, mensageiros instantâneos, compartilhamento de arquivos, e-mail; 4.9.24.4. 3.1.42.4 Reconhecer pelo menos as seguintes aplicações: bittorrent, gnutella, skype, facebook, linked-inLinkedin, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydriveOneDrive, db2, mysql, oracle, active directory, kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, gotomeeting, webex, evernote, google-docsdocs etc.; 4.9.24.5. Deve 3.1.42.5 Deverá inspecionar o payload de pacote de dados com o objetivo de detectar através de expressões regulares assinaturas de aplicações conhecidas pelo fabricante independente de porta e protocolo. A checagem de assinaturas também deverá determinar se uma aplicação está utilizando a porta default ou não, incluindo, mas não limitado a RDP na porta 80 ao invés de 389; 4.9.24.6. 3.1.42.6 Deverá aplicar heurística a fim de detectar aplicações através de análise comportamental do tráfego observado, incluindo, mas não limitado a Encrypted Bittorrent e aplicações VOIP que utilizam criptografia proprietária; 3.1.42.7 Identificar o uso de táticas evasivas, ou seja, deve deverá ter a capacidade de visualizar e controlar as aplicações e os ataques que utilizam táticas evasivas via comunicações criptografadas, tais como Skype e utilização da rede Tor;ataques mediante a porta 443. 4.9.24.7. 3.1.42.8 Para tráfego criptografado SSL, deve decriptografar deverá descriptografar pacotes a fim de possibilitar a leitura de payload para checagem de assinaturas de aplicações conhecidas pelo fabricante; 4.9.24.8. Deve 3.1.42.9 Deverá realizar decodificação de protocolos com o objetivo de detectar aplicações encapsuladas dentro do protocolo e validar se o tráfego corresponde com a especificação do protocolo, incluindo, mas não limitado a Yahoo Instant Messenger usando HTTP. A decodificação de protocolo também deve deverá identificar funcionalidades especificas dentro de uma aplicação, incluindo, mas não limitado a compartilhamento de arquivo dentro do Webex. Além de detectar arquivos e outros conteúdos que deverão ser inspecionados de acordo as regras de segurança implementadas; 3.1.42.10 Deverá permitir a utilização de aplicativos para um determinado grupo de usuário e bloquear para o restante, incluindo, mas não limitado a Skype. Deverá permitir também a criação de políticas de exceção concedendo o acesso a aplicativos como Skype apenas para alguns usuários; 3.1.42.11 Deverá permitir habilitar aplicações SaaS apenas no modo corporativo e bloqueá-las quando usadas no modo pessoal, tais como: Microsoft 365, Skype, aplicativos Google, Gmail etc.; 3.1.42.12 Identificar o uso de táticas evasivas via comunicações criptografadas; 4.9.24.9. ; 3.1.42.13 Atualizar a base de assinaturas de aplicações automaticamente; 4.9.24.10. ; 3.1.42.14 Reconhecer aplicações em IPv6;‌ 3.1.42.16 Os dispositivos de proteção de rede devem deverão possuir a capacidade de identificar o usuário de rede com integração ao Microsoft Active Directory, sem a necessidade de instalação de agente no Domain Controller, nem nas estações dos usuários; 4.9.24.11. ; 3.1.42.17 Deve ser possível adicionar controle de aplicações em múltiplas todas as regras de segurança do dispositivo, ou seja, não se limitando somente a possibilidade de habilitar controle de aplicações em algumas regras; 4.9.24.12. Deve ; 3.1.42.18 Deverá suportar vários múltiplos métodos de identificação e classificação das aplicações, por pelo menos checagem de assinaturas e assinaturas, decodificação de protocolos; 4.9.24.13. protocolos e análise heurística; 3.1.42.19 Para manter a segurança da rede eficiente, deverá suportar o controle sobre aplicações desconhecidas e não somente sobre aplicações conhecidas; 3.1.42.20 Permitir nativamente a criação de assinaturas personalizadas para reconhecimento de aplicações proprietárias na própria interface gráfica da solução, sem a necessidade de ação do fabricante; 4.9.24.14, mantendo a confidencialidade das aplicações do órgão; 3.1.42.21 A criação de assinaturas personalizadas deverá permitir o uso de expressões regulares, contexto (sessões ou transações), usando posição no payload dos pacotes TCP e UDP e usando decoders de pelo menos os seguintes protocolos: 3.1.42.22 HTTP, FTP, SMB, SMTP, IMAP e POP3. 3.1.42.23 O fabricante deve deverá permitir a solicitação de inclusão de aplicações na base de assinaturas de aplicações; 4.9.24.15. Deve ; 3.1.42.24 Deverá alertar o usuário quando uma aplicação for bloqueada; 3.1.42.25 Deverá permitir a customização da mensagem de bloqueio; 3.1.42.26 Deverá possibilitar que o controle de portas seja aplicado para todas as aplicações 3.1.42.27 Deverá permitir criar filtro na tabela de regras de segurança para exibir somente: 3.1.42.27.1 Regras que permitem passagem de tráfego baseado na porta e não por aplicação, exibindo quais aplicações estão trafegando nas mesmas, o volume em bytes trafegado por cada a aplicação por, pelo menos, os últimos 30 dias e o primeiro e último registro de log de cada aplicação trafegada por esta determinada regra; 4.9.24.16. Deve 3.1.42.27.2 Aplicações permitidas em regras de forma desnecessária, pois não há tráfego da mesma na determinada regra; 3.1.42.27.3 Regras de segurança onde não houve passagem de tráfego nos últimos 90 dias; 3.1.42.28 Deverá possibilitar a diferenciação de tráfegos Peer2Peer (Bittorrent, emule, neonet etc.) possuindo granularidade de controle/políticas para os mesmos; Deve 3.1.42.29 Deverá possibilitar a diferenciação de tráfegos de Instant Messaging (AIM, HangoutsGtalk, Facebook Chat, Chat etc.) possuindo granularidade de controle/políticas para os mesmos; 4.9.24.17. Deve ; 3.1.42.30 Deverá possibilitar a diferenciação e controle de partes das aplicações como por exemplo permitir o YouTube e, ao mesmo tempo, Messenger do Facebook e bloquear a transferência de arquivos ou permitir o streaming em HDWhatsApp e bloquear a transferência de arquivos; 4.9.24.18. Deve 3.1.42.31 Deverá possibilitar a diferenciação de aplicações Proxies (psiphonghostsurf, freegate, freegate etc.) possuindo granularidade de controle/políticas para os mesmos; Deve 3.1.42.32 Deverá ser possível a criação de grupos estáticos de aplicações e grupos dinâmicos de aplicações baseados em características das aplicações como: tecnologia : 3.1.42.32.1 Tecnologia utilizada nas aplicações (Client- Client-Server, Browse Browser Based, Network ProtocolProtocol etc.). 3.1.42.32.2 Nível de risco da aplicação;‌ 3.1.42.32.3 Categoria e subcategoria de aplicações; 3.1.42.32.4 Aplicações que usem técnicas evasivas, utilizadas por malwares, como transferência de arquivos e/ou uso excessivo de banda etc);.

Controle de Aplicações. 4.9.24.19.6.1. Os dispositivos de proteção de rede deverão possuir a capacidade de reconhecer aplicações, independente de porta e protocolo; 4.9.24.29.6.2. Deve ser possível a liberação e bloqueio somente de aplicações sem a necessidade de liberação de portas e protocolos; 4.9.24.39.6.3. Reconhecer pelo menos 1700 aplicações diferentes, incluindo, mas não limitado: a tráfego relacionado a peer-to-peer, redes sociais, acesso remoto, update de software, protocolos de rede, voip, áudio, vídeo, proxy, mensageiros instantâneos, compartilhamento de arquivos, e-mail; 4.9.24.49.6.4. Reconhecer pelo menos as seguintes aplicações: bittorrent, gnutella, skype, facebook, linked-in, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydrive, db2, mysql, oracle, active directory, kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, gotomeeting, webex, evernote, google-docs; 4.9.24.59.6.5. Deve inspecionar o payload de pacote de dados com o objetivo de detectar assinaturas de aplicações conhecidas pelo fabricante independente de porta e protocolo; 4.9.24.69.6.6. Identificar o uso de táticas evasivas, ou seja, deve ter a capacidade de visualizar e controlar as aplicações e os ataques que utilizam táticas evasivas via comunicações criptografadas, tais como Skype e utilização da rede Tor; 4.9.24.79.6.7. Para tráfego criptografado SSL, deve decriptografar pacotes a fim de possibilitar a leitura de payload para checagem de assinaturas de aplicações conhecidas pelo fabricante; 4.9.24.89.6.8. Deve realizar decodificação de protocolos com o objetivo de detectar aplicações encapsuladas dentro do protocolo e validar se o tráfego corresponde com a especificação do protocolo. A decodificação de protocolo também deve identificar funcionalidades especificas dentro de uma aplicação; ; 9.6.9. Identificar o uso de táticas evasivas via comunicações criptografadas; 4.9.24.99.6.10. Atualizar a base de assinaturas de aplicações automaticamente; 4.9.24.109.6.11. Os dispositivos de proteção de rede devem possuir a capacidade de identificar o usuário de rede com integração ao Microsoft Active Directory, sem a necessidade de instalação de agente no Domain Controller, nem nas estações dos usuários; 4.9.24.119.6.12. Deve ser possível adicionar controle de aplicações em múltiplas regras de segurança do dispositivo, ou seja, não se limitando somente a possibilidade de habilitar controle de aplicações em algumas regras; 4.9.24.129.6.13. Deve suportar vários métodos de identificação e classificação das aplicações, por pelo menos checagem de assinaturas e decodificação de protocolos; 4.9.24.139.6.14. Permitir nativamente a criação de assinaturas personalizadas para reconhecimento de aplicações proprietárias na própria interface gráfica da solução, sem a necessidade de ação do fabricante; 4.9.24.149.6.15. O fabricante deve permitir a solicitação de inclusão de aplicações na base de assinaturas de aplicações; 4.9.24.159.6.16. Deve alertar o usuário quando uma aplicação for bloqueada; 4.9.24.169.6.17. Deve possibilitar a diferenciação de tráfegos Peer2Peer (Bittorrent, emule, etc) possuindo granularidade de controle/políticas para os mesmos; ; 9.6.18. Deve possibilitar a diferenciação de tráfegos de Instant Messaging (AIM, Hangouts, Facebook Chat, etc) possuindo granularidade de controle/políticas para os mesmos; 4.9.24.179.6.19. Deve possibilitar a diferenciação e controle de partes das aplicações como por exemplo permitir o YouTube e, ao mesmo tempo, bloquear o streaming em HD; 4.9.24.18; 9.6.20. Deve possibilitar a diferenciação de aplicações Proxies (psiphon, freegate, etc) possuindo granularidade de controle/políticas para os mesmos; ; 9.6.21. Deve ser possível a criação de grupos dinâmicos de aplicações baseados em características das aplicações como: tecnologia utilizada nas aplicações (Client- Client-Server, Browse Based, Network Protocol, etc); 9.6.22. Deve ser possível a criação de grupos dinâmicos de aplicações baseados em características das aplicações como: nível de risco da aplicação, tecnologia, vendor e popularidade; 9.6.23. Deve ser possível a criação de grupos estáticos de aplicações baseados em características das aplicações como: Categoria da aplicação; 9.6.24. Deve permitir forçar o uso de portas específicas para determinadas aplicações; 9.6.25. Deve permitir o filtro de vídeos que podem ser visualizados no YouTube;

Controle de Aplicações. 4.9.24.1. 2.4.1 Os dispositivos de proteção de rede deverão possuir a capacidade de reconhecer aplicações, independente de porta e protocolo;, com as seguintes funcionalidades: 4.9.24.2. 2.4.2 Deve ser possível a liberação e bloqueio somente de aplicações sem a necessidade de liberação de portas e protocolos;. 4.9.24.3. 2.4.3 Reconhecer pelo menos 1700 aplicações diferentes, incluindo, mas não limitado: a tráfego relacionado a peer-to-peer, redes sociais, acesso remoto, update de software, protocolos de rede, voip, áudio, vídeo, proxy, mensageiros instantâneos, compartilhamento de arquivos, e-mail; 4.9.24.4. 2.4.4 Reconhecer pelo menos as seguintes aplicações: bittorrent, gnutella, skype, facebook, linked-in, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydrive, db2, mysql, oracle, active directory, kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, gotomeeting, webex, evernote, google-google- docs, etc; 4.9.24.5. 2.4.5 Deve inspecionar o payload de pacote de dados com o objetivo de detectar através de expressões regulares assinaturas de aplicações conhecidas pelo fabricante independente de porta e protocolo. A checagem de assinaturas também deve determinar se uma aplicação está utilizando a porta default ou não, incluindo, mas não limitado a RDP na porta 80 ao invés de 389; 4.9.24.6. Identificar o uso de táticas evasivas, ou seja, deve ter a capacidade de visualizar e controlar as aplicações e os ataques que utilizam táticas evasivas via comunicações criptografadas, tais como Skype e utilização da rede Tor; 4.9.24.7. 2.4.6 Para tráfego criptografado SSL, deve decriptografar de-criptografar pacotes a fim de possibilitar a leitura de payload para checagem de assinaturas de aplicações conhecidas pelo fabricante; 4.9.24.8. 2.4.7 Deve realizar decodificação de protocolos com o objetivo de detectar aplicações encapsuladas dentro do protocolo e validar se o tráfego corresponde com a especificação do protocolo, incluindo, mas não limitado a Yahoo Instant Messenger usando HTTP. A decodificação de protocolo também deve identificar funcionalidades especificas dentro de uma aplicação; Identificar o uso , incluindo, mas não limitado a compartilhamento de táticas evasivas via comunicações criptografadas; 4.9.24.9arquivo dentro do Webex. Atualizar a base Além de assinaturas detectar arquivos e outros conteúdos que devem ser inspecionados de aplicações automaticamente; 4.9.24.10. Os dispositivos de proteção de rede devem possuir a capacidade de identificar o usuário de rede com integração ao Microsoft Active Directory, sem a necessidade de instalação de agente no Domain Controller, nem nas estações dos usuários; 4.9.24.11. Deve ser possível adicionar controle de aplicações em múltiplas acordo as regras de segurança do dispositivo, ou seja, não se limitando somente a possibilidade de habilitar controle de aplicações em algumas regrasimplementadas; 4.9.24.12. Deve suportar vários métodos de identificação e classificação das aplicações, por pelo menos checagem de assinaturas e decodificação de protocolos; 4.9.24.13. Permitir nativamente a criação de assinaturas personalizadas para reconhecimento de aplicações proprietárias na própria interface gráfica da solução, sem a necessidade de ação do fabricante; 4.9.24.14. O fabricante deve permitir a solicitação de inclusão de aplicações na base de assinaturas de aplicações; 4.9.24.15. Deve alertar o usuário quando uma aplicação for bloqueada; 4.9.24.16. Deve possibilitar a diferenciação de tráfegos Peer2Peer (Bittorrent, emule, etc) possuindo granularidade de controle/políticas para os mesmos; 2.4.8 Deve possibilitar a diferenciação de tráfegos de Instant Messaging (AIM, HangoutsGtalk, Facebook Chat, etc.) possuindo granularidade de controle/políticas para os mesmos; 4.9.24.17. 2.4.9 Deve possibilitar a diferenciação e controle de partes das aplicações como por exemplo permitir o YouTube e, ao mesmo tempo, Gtalk chat e bloquear o streaming em HD; 4.9.24.18. a transferência de arquivos; 2.4.10 Deve possibilitar a diferenciação de aplicações Proxies (psiphonghostsurf, freegate, etc.) possuindo granularidade de controle/políticas para os mesmos; ; 2.4.11 Deve ser possível a criação de grupos estáticos de aplicações e grupos dinâmicos de aplicações baseados em características das aplicações como: tecnologia ✓ Tecnologia utilizada nas na aplicações (Client- Client-Server, Browse Based, Network Protocol, etc);. ✓ Nível de risco da aplicação. ✓ Categoria e sub-categoria de aplicações. ✓ Aplicações que usem técnicas evasivas, utilizadas por malwares, como transferência de arquivos e/ou uso excessivo de banda, etc.

Controle de Aplicações. 4.9.24.13.20.1. Os dispositivos de proteção de rede deverão possuir a capacidade de reconhecer aplicações, independente de porta e protocolo; 4.9.24.23.20.2. Deve ser possível a liberação e bloqueio somente de aplicações sem a necessidade de liberação de portas e protocolos; 4.9.24.33.20.3. Reconhecer pelo menos 1700 2000 (duas mil) aplicações diferentes, incluindo, mas não limitado: a tráfego relacionado a peer-to-peer, redes sociais, acesso remoto, update de software, protocolos de rede, voip, áudio, vídeo, proxy, mensageiros instantâneos, compartilhamento de arquivos, e-mail; 4.9.24.43.20.4. Reconhecer pelo menos as seguintes aplicações: bittorrent, gnutella, skype, facebook, linked-in, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydriveonedrive, db2, mysql, oracle, active directoryactivedirectory, kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, gotomeeting, webex, evernote, google-docs, etc; 4.9.24.53.20.5. Para manter a segurança da rede eficiente, deve suportar o controle sobre aplicações customizadas e não somente sobre aplicações conhecidas; 3.20.6. Deve inspecionar o payload de pacote de dados com o objetivo de detectar através de expressões regulares assinaturas de aplicações conhecidas pelo fabricante independente de porta e protocolo. A checagem de assinaturas também deve determinar se uma 3.20.7. Deve aplicar heurística a fim de detectar aplicações através de análise comportamental do tráfego observado, incluindo, mas não limitado a EncryptedBittorrent e aplicações VOIP que utilizam criptografia proprietária; 4.9.24.6. Identificar o uso de táticas evasivas, ou seja, deve ter a capacidade de visualizar e controlar as aplicações e os ataques que utilizam táticas evasivas via comunicações criptografadas, tais como Skype e utilização da rede Tor; 4.9.24.73.20.8. Para tráfego criptografado SSL, deve decriptografar de-criptografar pacotes a fim de possibilitar a leitura de payload para checagem de assinaturas de aplicações conhecidas pelo fabricante; 4.9.24.83.20.9. Deve realizar decodificação de protocolos com o objetivo de detectar aplicações encapsuladas dentro do protocolo e validar se o tráfego corresponde com a especificação do protocolo, incluindo, mas não limitado a Yahoo Instant Messenger usando HTTP. A decodificação de protocolo também deve identificar funcionalidades especificas dentro de uma aplicação; Identificar o uso , incluindo, mas não limitado a compartilhamento de táticas evasivas via comunicações criptografadas; 4.9.24.9arquivo dentro do Webex. Atualizar a base Além de assinaturas detectar arquivos e outros conteúdos que devem ser inspecionados de aplicações automaticamente; 4.9.24.10. Os dispositivos de proteção de rede devem possuir a capacidade de identificar o usuário de rede com integração ao Microsoft Active Directory, sem a necessidade de instalação de agente no Domain Controller, nem nas estações dos usuários; 4.9.24.11. Deve ser possível adicionar controle de aplicações em múltiplas acordo as regras de segurança do dispositivo, ou seja, não se limitando somente a possibilidade de habilitar controle de aplicações em algumas regrasimplementadas; 4.9.24.12. Deve suportar vários métodos de identificação e classificação das aplicações, por pelo menos checagem de assinaturas e decodificação de protocolos; 4.9.24.13. Permitir nativamente a criação de assinaturas personalizadas para reconhecimento de aplicações proprietárias na própria interface gráfica da solução, sem a necessidade de ação do fabricante; 4.9.24.14. O fabricante deve permitir a solicitação de inclusão de aplicações na base de assinaturas de aplicações; 4.9.24.15. Deve alertar o usuário quando uma aplicação for bloqueada; 4.9.24.16. Deve possibilitar a diferenciação de tráfegos Peer2Peer (Bittorrent, emule, etc) possuindo granularidade de controle/políticas para os mesmos; Deve possibilitar a diferenciação de tráfegos de Instant Messaging (AIM, Hangouts, Facebook Chat, etc) possuindo granularidade de controle/políticas para os mesmos; 4.9.24.17. Deve possibilitar a diferenciação e controle de partes das aplicações como por exemplo permitir o YouTube e, ao mesmo tempo, bloquear o streaming em HD; 4.9.24.18. Deve possibilitar a diferenciação de aplicações Proxies (psiphon, freegate, etc) possuindo granularidade de controle/políticas para os mesmos; Deve ser possível a criação de grupos dinâmicos de aplicações baseados em características das aplicações como: tecnologia utilizada nas aplicações (Client- Server, Browse Based, Network Protocol, etc);

Controle de Aplicações. 4.9.24.11.4.1. Os dispositivos de proteção de rede deverão possuir a capacidade de reconhecer aplicações, independente de porta e protocolo;, com as seguintes funcionalidades: 4.9.24.21.4.2. Deve ser possível a liberação e bloqueio somente de aplicações sem a necessidade de liberação de portas e protocolos; 4.9.24.31.4.3. Reconhecer pelo menos 1700 aplicações diferentes, incluindo, mas não limitado: a tráfego relacionado a peer-to-peer, redes sociais, acesso remoto, update de software, protocolos de rede, voip, áudio, vídeo, proxy, mensageiros instantâneos, compartilhamento de arquivos, e-mail; 4.9.24.41.4.4. Reconhecer pelo menos as seguintes aplicações: bittorrent, gnutella, skype, facebook, linked-in, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydrive, db2, mysql, oracle, active directory, kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, gotomeeting, webex, evernote, google-docs, etc; 4.9.24.51.4.5. Deve inspecionar o payload de pacote de dados com o objetivo de detectar através de expressões regulares assinaturas de aplicações conhecidas pelo fabricante independente de porta e protocolo 1.4.6. Deve detectar aplicações através de análise comportamental do tráfego observado, incluindo, mas não limitado a Encrypted Bittorrent e aplicações VOIP que utilizam criptografia proprietária; 4.9.24.61.4.7. Identificar o uso de táticas evasivas, ou seja, deve ter a capacidade de visualizar e controlar as aplicações e os ataques que utilizam táticas evasivas via comunicações criptografadas, tais como Skype e utilização da rede Tor; 4.9.24.71.4.8. Para tráfego criptografado SSL, deve decriptografar de-criptografar pacotes a fim de possibilitar a leitura de payload para checagem de assinaturas de aplicações conhecidas pelo fabricante; 4.9.24.81.4.9. Deve realizar decodificação de protocolos com o objetivo de detectar aplicações encapsuladas dentro do protocolo e validar se o tráfego corresponde com a especificação do protocolo, incluindo, mas não limitado a Yahoo Instant Messenger usando HTTP. A decodificação de protocolo também deve identificar funcionalidades especificas dentro de uma aplicação; , incluindo, mas não limitado a compartilhamento de arquivo dentro do Webex 1.4.10. Identificar o uso de táticas evasivas via comunicações criptografadas; 4.9.24.91.4.11. Atualizar a base de assinaturas de aplicações automaticamente; 4.9.24.101.4.12. Limitar a banda (download/upload) usada por aplicações (traffic shaping), baseado no IP de origem, usuários e grupos do LDAP/AD; 1.4.13. Os dispositivos de proteção de rede devem possuir a capacidade de identificar o usuário de rede com integração ao Microsoft Active Directory, sem a necessidade de instalação de agente no Domain Controller, nem nas estações dos usuários; 4.9.24.111.4.14. Deve ser possível adicionar controle de aplicações em múltiplas todas as regras de segurança do dispositivo, ou seja, não se limitando somente a possibilidade de habilitar controle de aplicações em algumas regras; 4.9.24.121.4.15. Deve suportar vários múltiplos métodos de identificação e classificação das aplicações, por pelo menos checagem de assinaturas e decodificação de protocolos; 4.9.24.131.4.16. Para manter a segurança da rede eficiente, deve suportar o controle sobre aplicações desconhecidas e não somente sobre aplicações conhecidas; 1.4.17. Permitir nativamente a criação de assinaturas personalizadas para reconhecimento de aplicações proprietárias na própria interface gráfica da solução, sem a necessidade de ação do fabricante, mantendo a confidencialidade das aplicações do órgão; 4.9.24.141.4.18. A criação de assinaturas personalizadas deve permitir o uso de expressões regulares, contexto (sessões ou transações), usando posição no payload dos pacotes TCP e UDP e usando decoders de pelo menos os seguintes protocolos: HTTP, FTP, NBSS, DCE RPC, SMTP, Telnet, SSH, MS- SQL, IMAP, DNS, LDAP, RTSP e SSL 1.4.19. O fabricante deve permitir a solicitação de inclusão de aplicações na base de assinaturas de aplicações; 4.9.24.151.4.20. Deve alertar o usuário quando uma aplicação for bloqueada; 4.9.24.161.4.21. Deve possibilitar que o controle de portas seja aplicado para todas as aplicações; 1.4.22. Deve possibilitar a diferenciação de tráfegos Peer2Peer (Bittorrent, emule, neonet, etc) possuindo granularidade de controle/políticas para os mesmos; ; 1.4.23. Deve possibilitar a diferenciação de tráfegos de Instant Messaging (AIM, Hangouts, Facebook Chat, etc) possuindo granularidade de controle/políticas para os mesmos; 4.9.24.171.4.24. Deve possibilitar a diferenciação e controle de partes das aplicações como por exemplo permitir o YouTube e, ao mesmo tempo, Hangouts chat e bloquear o streaming em HD; 4.9.24.18a chamada de vídeo; 1.4.25. Deve possibilitar a diferenciação de aplicações Proxies (psiphonpsiphon3, freegate, etc) possuindo granularidade de controle/políticas para os mesmos; ; 1.4.26. Deve ser possível a criação de grupos estáticos de aplicações e grupos dinâmicos de aplicações baseados em características das aplicações como: 1.4.27. Deve ser possível a criação de grupos estáticos de aplicações e grupos dinâmicos de aplicações baseados em características das aplicações como: tecnologia Tecnologia utilizada nas aplicações (Client- Server, Browse Based, Network Protocol, etc) 1.4.28. Deve ser possível a criação de grupos estáticos de aplicações e grupos dinâmicos de aplicações baseados em características das aplicações como: Nível de risco da aplicação 1.4.29. Deve ser possível a criação de grupos estáticos de aplicações e grupos dinâmicos de aplicações baseados em características das aplicações como: Categoria da aplicação 1.4.30. Deve ser possível a criação de grupos estáticos de aplicações e grupos dinâmicos de aplicações baseados em características das aplicações como: Aplicações que usem técnicas evasivas, utilizadas por malwares como uso excessivo de banda, tunelamento de tráfego ou transferência de arquivos, etc;

Controle de Aplicações. 4.9.24.16.1. Os dispositivos O dispositivo de proteção de rede deverão deve possuir a capacidade de reconhecer aplicações, independente de porta e protocolo;, com as seguintes funcionalidades: 4.9.24.26.1.1. Deve ser possível a liberação e bloqueio somente de aplicações sem a necessidade de liberação de portas e protocolos;. 4.9.24.36.1.2. Reconhecer pelo menos 1700 aplicações diferentes, incluindo, mas não limitado: a tráfego relacionado a peer-to-to- peer, redes sociais, acesso remoto, update de software, protocolos de rede, voip, áudio, vídeo, proxy, mensageiros instantâneos, compartilhamento de arquivos, e-mail; 4.9.24.46.1.3. Reconhecer pelo menos as seguintes aplicações: bittorrent, gnutella, skype, facebook, linked-in, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-http- tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydrive, db2, mysql, oracle, active directory, kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, gotomeeting, webex, evernote, google-docs, etc; 4.9.24.56.1.4. Deve inspecionar o payload de pacote de dados com o objetivo de detectar através de expressões regulares assinaturas de aplicações conhecidas pelo fabricante independente de porta e protocolo. A checagem de assinaturas também deve determinar se uma aplicação está utilizando a porta default ou não, incluindo, mas não limitado a RDP na porta 80 ao invés de 389; 4.9.24.66.1.5. Deve aplicar heurística a fim de detectar aplicações através de análise comportamental do tráfego observado, incluindo, mas não limitado a Encrypted Bittorrent e aplicações VOIP que utilizam criptografia proprietária; 6.1.6. Identificar o uso de táticas evasivas, ou seja, deve ter a capacidade de visualizar e controlar as aplicações e os ataques que utilizam táticas evasivas via por meio de comunicações criptografadas, tais como Skype e utilização da rede Tor;ataques mediante a porta 443. 4.9.24.76.1.7. Para tráfego criptografado SSL, deve decriptografar de-criptografar pacotes a fim de possibilitar a leitura de payload para checagem de assinaturas de aplicações conhecidas pelo fabricante; 4.9.24.86.1.8. Deve realizar decodificação de protocolos com o objetivo de detectar aplicações encapsuladas dentro do protocolo e validar se o tráfego corresponde com a especificação do protocolo, incluindo, mas não limitado a Yahoo Instant Messenger usando HTTP. A decodificação de protocolo também deve identificar funcionalidades especificas dentro de uma aplicação; , incluindo, mas não limitado a compartilhamento de arquivo dentro do Webex. Além de detectar arquivos e outros conteúdos que devem ser inspecionados de acordo as regras de segurança implementadas; 6.1.9. Deve permitir a utilização de aplicativos para um determinado grupo de usuário e bloquear para o restante, incluindo, mas não limitado a Skype. Deve permitir também a criação de políticas de exceção concedendo o acesso a aplicativos como Skype apenas para alguns usuários; 6.1.10. Identificar o uso de táticas evasivas via comunicações criptografadas; 4.9.24.96.1.11. Atualizar a base de assinaturas de aplicações automaticamente; 4.9.24.106.1.12. Os dispositivos Reconhecer aplicações em IPv6; 6.1.13. Limitar a banda (download/upload) usada por aplicações (traffic shaping), baseado no IP de origem, usuários e grupos do LDAP/AD; 6.1.14. O dispositivo de proteção de rede devem deve possuir a capacidade de identificar o usuário de rede com integração ao Microsoft Active Directory, sem a necessidade de instalação de agente no Domain Controller, nem nas estações dos usuários; 4.9.24.116.1.15. Deve ser possível adicionar controle de aplicações em múltiplas todas as regras de segurança do dispositivo, ou seja, não se limitando somente a possibilidade de habilitar controle de aplicações em algumas regras; 4.9.24.126.1.16. Deve suportar vários múltiplos métodos de identificação e classificação das aplicações, por pelo menos checagem de assinaturas e assinaturas, decodificação de protocolosprotocolos e análise heurística; 4.9.24.136.1.17. Permitir nativamente Para manter a criação de assinaturas personalizadas para reconhecimento de segurança da rede eficiente, deve suportar o controle sobre aplicações desconhecidas e não somente sobre aplicações conhecidas; 6.1.18. aplicações proprietárias na própria interface gráfica da solução, sem a necessidade de ação do fabricante, mantendo a confidencialidade das aplicações do órgão; 4.9.24.146.1.19. A criação de assinaturas personalizadas deve permitir o uso de expressões regulares, contexto (sessões ou transações), usando posição no payload dos pacotes TCP e UDP e usando decoders de pelo menos os seguintes protocolos: 6.1.19.1. HTTP, FTP, SMB, SMTP, Telnet, SSH, MS-SQL, IMAP, MSRPC, RTSP; 6.1.20. O fabricante deve permitir a solicitação de inclusão de aplicações na base de assinaturas de aplicações; 4.9.24.156.1.21. Deve alertar o usuário quando uma aplicação for bloqueada; 4.9.24.166.1.22. Deve possibilitar que o controle de portas seja aplicado para todas as aplicações; 6.1.23. Deve possibilitar a diferenciação de tráfegos Peer2Peer (Bittorrent, emule, neonet, etc.) possuindo granularidade de controle/políticas para os mesmos; ; 6.1.24. Deve possibilitar a diferenciação de tráfegos de Instant Messaging (AIM, HangoutsGtalk, Facebook Chat, etc.) possuindo granularidade de controle/políticas para os mesmos; 4.9.24.176.1.25. Deve possibilitar a diferenciação e controle de partes das aplicações como por exemplo permitir o YouTube e, ao mesmo tempo, Gtalk chat e bloquear o streaming em HD; 4.9.24.18a transferência de arquivos; 6.1.26. Deve possibilitar a diferenciação de aplicações Proxies (psiphonghostsurf, freegate, etc.) possuindo granularidade de controle/políticas para os mesmos; ; 6.1.27. Deve ser possível a criação de grupos estáticos de aplicações e grupos dinâmicos de aplicações baseados em características das aplicações como: tecnologia : 6.1.27.1. Tecnologia utilizada nas aplicações (Client- Client-Server, Browse Based, Network Protocol, etc);. 6.1.27.2. Nível de risco da aplicação. 6.1.27.3. Categoria e subcategoria de aplicações. 6.1.27.4. Aplicações que usem técnicas evasivas, utilizadas por malwares, como transferência de arquivos e/ou uso excessivo de banda, etc.

Controle de Aplicações. 4.9.24.15.5.1. Os dispositivos de proteção de rede deverão possuir a capacidade de reconhecer aplicações, independente de porta e protocolo; 4.9.24.25.5.2. Deve ser possível a liberação e bloqueio somente de aplicações sem a necessidade de liberação de portas e protocolos; 4.9.24.35.5.3. Reconhecer pelo menos 1700 2000 (duas mil) aplicações diferentes, incluindo, mas não limitado: a tráfego relacionado a peer-to-peer, redes sociais, acesso remoto, update de software, protocolos de rede, voip, áudio, vídeo, proxy, mensageiros instantâneos, compartilhamento de arquivos, e-mail; 4.9.24.45.5.4. Reconhecer pelo menos as seguintes aplicações: bittorrent, gnutella, skype, facebook, linked-in, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-http- tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydriveonedrive, db2, mysql, oracle, active directory, directory kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, gotomeeting, webex, evernote, google-docs, etc . 5.5.5. Para manter a segurança da rede eficiente, deve suportar o controle sobre aplicações customizadas e não somente sobre aplicações conhecidas; 4.9.24.55.5.6. Deve inspecionar o payload de pacote de dados com o objetivo de detectar através de expressões regulares assinaturas de aplicações conhecidas pelo fabricante independente de porta e protocolo. A checagem de assinaturas também deve determinar se uma aplicação está utilizando a porta default ou não, incluindo, mas não limitado a RDP na porta 80 ao invés de 389; 4.9.24.65.5.7. Identificar o uso Deve aplicar heurística a fim de táticas evasivasdetectar aplicações através de análise comportamental do tráfego observado, ou sejaincluindo, deve ter mas não limitado a capacidade de visualizar Encrypted Bittorrent e controlar as aplicações e os ataques VOIP que utilizam táticas evasivas via comunicações criptografadas, tais como Skype e utilização da rede Torcriptografia proprietária; 4.9.24.75.5.8. Para tráfego criptografado SSL, deve decriptografar de-criptografar pacotes a fim de possibilitar a leitura de payload para checagem de assinaturas de aplicações conhecidas pelo fabricante; 4.9.24.85.5.9. Deve realizar decodificação de protocolos com o objetivo de detectar aplicações encapsuladas dentro do protocolo e validar se o tráfego corresponde com a especificação do protocolo, incluindo, mas não limitado a Yahoo Instant Messenger usando HTTP. A decodificação de protocolo também deve identificar funcionalidades especificas dentro de uma aplicação; , incluindo, mas não limitado a compartilhamento de arquivo dentro do Webex. Além de detectar arquivos e outros conteúdos que devem ser inspecionados de acordo as regras de segurança implementadas; 5.5.10. Deve permitir a utilização de aplicativos para um determinado grupo de usuário e bloquear para o restante, incluindo, mas não limitado a Skype. Deve permitir também a criação de políticas de exceção concedendo o acesso a aplicativos como Skype apenas para alguns usuários; 5.5.11. Identificar o uso de táticas evasivas via comunicações criptografadas; 4.9.24.95.5.12. Atualizar a base de assinaturas de aplicações automaticamente; 4.9.24.105.5.13. Reconhecer aplicações em IPv6; 5.5.14. Limitar a banda (download/upload) usada por aplicações (traffic shaping), baseado no IP de origem, usuários e grupos do LDAP/AD; 5.5.15. Os dispositivos de proteção de rede devem possuir a capacidade de identificar o usuário de rede com integração ao Microsoft Active Directory, sem a necessidade de instalação de agente no Domain Controller, nem nas estações dos usuários; 4.9.24.115.5.16. Deve ser possível adicionar controle de aplicações em múltiplas todas as regras de segurança do dispositivo, ou seja, não se limitando somente a possibilidade de habilitar controle de aplicações em algumas regras; 4.9.24.125.5.17. Deve suportar vários múltiplos métodos de identificação e classificação das aplicações, por pelo menos checagem de assinaturas e assinaturas, decodificação de protocolosprotocolos e análise heurística; 4.9.24.135.5.18. Permitir nativamente a criação de assinaturas personalizadas para reconhecimento de aplicações proprietárias na própria interface gráfica da solução, sem a necessidade de ação do fabricante, mantendo a confidencialidade das aplicações do órgão; 4.9.24.145.5.19. O fabricante A criação de assinaturas personalizadas deve permitir a solicitação o uso de inclusão expressões regulares, contexto (sessões ou transações), usando posição no payload dos pacotes TCP e UDP e usando decoders de aplicações na base de assinaturas de aplicações;pelo menos os seguintes protocolos: HTTP, FTP, SMTP, Telnet, SSH, MS-SQL, IMAP, MS-RPC e RTSP. 4.9.24.155.5.20. Deve alertar o usuário quando uma aplicação for bloqueada; 4.9.24.165.5.21. Deve possibilitar que o controle de portas seja aplicado para todas as aplicações; 5.5.22. Deve possibilitar a diferenciação de tráfegos Peer2Peer (Bittorrent, emule, etc) possuindo granularidade de controle/políticas para os mesmos; Deve possibilitar a diferenciação de tráfegos de Instant Messaging (AIM, Hangouts, Facebook Chat, etc.) possuindo granularidade de controle/políticas para os mesmos; 4.9.24.175.5.23. Deve possibilitar a diferenciação de tráfegos para as seguintes aplicações e controle respectivas granularidades: Instagram (login, post, vídeo, upload de partes das aplicações como por exemplo permitir o arquivo), YouTube e(canais, ao mesmo tempostreaming HD, bloquear o streaming em HD; 4.9.24.18pesquisa de vídeo, play vídeo), Facebook (upload e download de arquivos, login, chat, botão de like, chamadas VoIP, play vídeo, post, mensagem de voz), WhatsApp (transferência de arquivos, chamadas VoIP e whatsapp web); 5.5.24. Deve possibilitar a diferenciação de aplicações Proxies (psiphonProxies, freegate, etc) possuindo granularidade de controle/políticas para os mesmos; ; 5.5.25. Deve ser possível a criação de grupos estáticos de aplicações e grupos dinâmicos de aplicações baseados em características das aplicações como: tecnologia Tecnologia utilizada nas aplicações (Client- Client-Server, Browse Browser Based, Network Protocol, etc); Nível de risco da aplicação; Categoria de aplicações; 5.5.26. Deve ser possível configurar Application Override permitindo selecionar aplicações individualmente; 5.5.27. Aplicações que usem técnicas evasivas, utilizadas por malwares, como transferência de arquivos e/ou uso excessivo de banda, etc. 5.5.28. O controle de aplicações deverá ser integrado no próprio appliance de NGFW, não sendo aceito quaisquer componentes adicionais com esta função

Controle de Aplicações. 4.9.24.1. 6.1.1 Os dispositivos de proteção de rede deverão possuir a capacidade de reconhecer aplicações, independente de porta e protocolo;. 4.9.24.2. 6.1.2 Deve ser possível a liberação e bloqueio somente de aplicações sem a necessidade de liberação de portas e protocolos;. 4.9.24.3. 6.1.3 Reconhecer pelo menos 1700 aplicações diferentes, incluindo, mas não limitadolimitado a: a tráfego relacionado a peer-to-peer, redes sociais, acesso remoto, update de software, protocolos de rede, voip, áudio, vídeo, proxy, mensageiros instantâneos, compartilhamento de arquivos, e-mail;. 4.9.24.4. 6.1.4 Reconhecer pelo menos as seguintes aplicações: bittorrent, gnutella, skype, facebook, linked-in, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydrive, db2, mysql, oracle, active directory, kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, gotomeeting, webex, evernote, google-docs;. 4.9.24.5. 6.1.5 Deve inspecionar o payload de pacote de dados com o objetivo de detectar assinaturas de aplicações conhecidas pelo fabricante independente de porta e protocolo;. 4.9.24.6. 6.1.6 Deve detectar aplicações através de análise comportamental do tráfego observado, incluindo, mas não limitado a Bittorrent e aplicações VOIP que utilizam criptografia proprietária. 6.1.7 Identificar o uso de táticas evasivas, ou seja, deve ter a capacidade de visualizar e controlar as aplicações e os ataques que utilizam táticas evasivas via comunicações criptografadas, tais como Skype e utilização da rede Tor;. 4.9.24.7. 6.1.8 Para tráfego criptografado SSL, deve decriptografar de-criptografar pacotes a fim de possibilitar a leitura de payload para checagem de assinaturas de aplicações conhecidas pelo fabricante;. 4.9.24.8. 6.1.9 Deve realizar decodificação de protocolos com o objetivo de detectar aplicações encapsuladas dentro do protocolo e validar se o tráfego corresponde com a especificação do protocolo, incluindo, mas não limitado a Yahoo Instant Messenger usando HTTP. A decodificação de protocolo também deve identificar funcionalidades especificas dentro de uma aplicação; , incluindo, mas não limitado a compartilhamento de arquivo dentro do Webex. 6.1.10 Identificar o uso de táticas evasivas via comunicações criptografadas;. 4.9.24.9. 6.1.11 Atualizar a base de assinaturas de aplicações automaticamente;. 4.9.24.10. 6.1.12 Limitar a banda (download/upload) usada por aplicações (traffic shaping), baseado no IP de origem, usuários e grupos. 6.1.13 Os dispositivos de proteção de rede devem possuir a capacidade de identificar o usuário de rede com integração ao Microsoft Active Directory, sem a necessidade de instalação de agente no Domain Controller, nem nas estações dos usuários;. 4.9.24.11. 6.1.14 Deve ser possível adicionar controle de aplicações em múltiplas regras de segurança do dispositivo, ou seja, não se limitando somente a possibilidade de habilitar controle de aplicações em algumas regras;. 4.9.24.12. 6.1.15 Deve suportar vários múltiplos métodos de identificação e classificação das aplicações, por pelo menos checagem de assinaturas e decodificação de protocolos;. 4.9.24.13. 6.1.16 Para manter a segurança da rede eficiente, deve suportar o controle sobre aplicações desconhecidas e não somente sobre aplicações conhecidas. 6.1.17 Permitir nativamente a criação de assinaturas personalizadas para reconhecimento de aplicações proprietárias na própria interface gráfica da solução, sem a necessidade de ação do fabricante;. 4.9.24.14. 6.1.18 A criação de assinaturas personalizadas deve permitir o uso de expressões regulares, contexto (sessões ou transações), usando posição no payload dos pacotes TCP e UDP e usando decoders de pelo menos os seguintes protocolos: HTTP, FTP, NBSS, DCE RPC, SMTP, Telnet, SSH, MS-SQL, IMAP, DNS, LDAP, RTSP e SSL. 6.1.19 O fabricante deve permitir a solicitação de inclusão de aplicações na base de assinaturas de aplicações;. 4.9.24.15. 6.1.20 Deve alertar o usuário quando uma aplicação for bloqueada;. 4.9.24.16. 6.1.21 Deve possibilitar a diferenciação de tráfegos Peer2Peer (Bittorrent, emule, etc) possuindo granularidade de controle/políticas para os mesmos; . 6.1.22 Deve possibilitar a diferenciação de tráfegos de Instant Messaging (AIM, Hangouts, Facebook Chat, etc) possuindo granularidade de controle/políticas para os mesmos;. 4.9.24.17. 6.1.23 Deve possibilitar a diferenciação e controle de partes das aplicações como por exemplo permitir o YouTube e, ao mesmo tempo, Hangouts chat e bloquear o streaming em HD; 4.9.24.18. a chamada de vídeo. 6.1.24 Deve possibilitar a diferenciação de aplicações Proxies (psiphon, freegate, etc) possuindo granularidade de controle/políticas para os mesmos; . 6.1.25 Deve ser possível a criação de grupos dinâmicos de aplicações baseados em características das aplicações como: tecnologia Tecnologia utilizada nas aplicações (Client- Client-Server, Browse Based, Network Protocol, etc);. 6.1.26 Deve ser possível a criação de grupos dinâmicos de aplicações baseados em características das aplicações como: Nível de risco da aplicação. 6.1.27 Deve ser possível a criação de grupos estáticos de aplicações baseados em características das aplicações como: Categoria da aplicação.

Controle de Aplicações. 4.9.24.136.3.1. Os dispositivos de proteção de rede deverão possuir a capacidade de reconhecer aplicações, independente de porta e protocolo;. 4.9.24.236.3.2. Deve ser possível a liberação e bloqueio somente de aplicações sem a necessidade de liberação de portas e protocolos;. 4.9.24.336.3.3. Reconhecer pelo menos 1700 aplicações diferentes, incluindo, mas não limitadolimitado a: a tráfego relacionado a peer-to-peer, redes sociais, acesso remoto, update de software, protocolos de rede, voip, áudio, vídeo, proxy, mensageiros instantâneos, compartilhamento de arquivos, e-mail;. 4.9.24.436.3.4. Reconhecer pelo menos as seguintes aplicações: bittorrent, gnutella, skype, facebook, linked-in, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydrive, db2, mysql, oracle, active directory, kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, gotomeeting, webex, evernote, google-docs;. 4.9.24.536.3.5. Deve inspecionar o payload de pacote de dados com o objetivo de detectar assinaturas de aplicações conhecidas pelo fabricante independente de porta e protocolo;. 4.9.24.636.3.6. Deve detectar aplicações através de análise comportamental do tráfego observado, incluindo, mas não limitado a Bittorrent e aplicações VOIP que utilizam criptografia proprietária. 36.3.7. Identificar o uso de táticas evasivas, ou seja, deve ter a capacidade de visualizar e controlar as aplicações e os ataques que utilizam táticas evasivas via comunicações criptografadas, tais como Skype e utilização da rede Tor;. 4.9.24.736.3.8. Para tráfego criptografado SSL, deve decriptografar de-criptografar pacotes a fim de possibilitar a leitura de payload para checagem de assinaturas de aplicações conhecidas pelo fabricante;. 4.9.24.836.3.9. Deve realizar decodificação de protocolos com o objetivo de detectar aplicações encapsuladas dentro do protocolo e validar se o tráfego corresponde com a especificação do protocolo, incluindo, mas não limitado a Yahoo Instant Messenger usando HTTP. A decodificação de protocolo também deve identificar funcionalidades especificas dentro de uma aplicação; , incluindo, mas não limitado a compartilhamento de arquivo dentro do Webex. 36.3.10. Identificar o uso de táticas evasivas via comunicações criptografadas;. 4.9.24.936.3.11. Atualizar a base de assinaturas de aplicações automaticamente;. 4.9.24.1036.3.12. Limitar a banda (download/upload) usada por aplicações (traffic shaping), baseado no IP de origem, usuários e grupos. 36.3.13. Os dispositivos de proteção de rede devem possuir a capacidade de identificar o usuário de rede com integração ao Microsoft Active Directory, sem a necessidade de instalação de agente no Domain Controller, nem nas estações dos usuários;. 4.9.24.1136.3.14. Deve ser possível adicionar controle de aplicações em múltiplas regras de segurança do dispositivo, ou seja, não se limitando somente a possibilidade de habilitar controle de aplicações em algumas regras;. 4.9.24.1236.3.15. Deve suportar vários múltiplos métodos de identificação e classificação das aplicações, por pelo menos checagem de assinaturas e decodificação de protocolos;. 4.9.24.1336.3.16. Para manter a segurança da rede eficiente, deve suportar o controle sobre aplicações desconhecidas e não somente sobre aplicações conhecidas. 36.3.17. Permitir nativamente a criação de assinaturas personalizadas para reconhecimento de aplicações proprietárias na própria interface gráfica da solução, sem a necessidade de ação do fabricante;. 4.9.24.1436.3.18. A criação de assinaturas personalizadas deve permitir o uso de expressões regulares, contexto (sessões ou transações), usando posição no payload dos pacotes TCP e UDP e usando decoders de pelo menos os seguintes protocolos: HTTP, FTP, NBSS, DCE RPC, SMTP, Telnet, SSH, MS-SQL, IMAP, DNS, LDAP, RTSP e SSL. 36.3.19. O fabricante deve permitir a solicitação de inclusão de aplicações na base de assinaturas de aplicações;. 4.9.24.1536.3.20. Deve alertar o usuário quando uma aplicação for bloqueada;. 4.9.24.1636.3.21. Deve possibilitar a diferenciação de tráfegos Peer2Peer (Bittorrent, emule, etc) possuindo granularidade de controle/políticas para os mesmos; . 36.3.22. Deve possibilitar a diferenciação de tráfegos de Instant Messaging (AIM, Hangouts, Facebook Chat, etc) possuindo granularidade de controle/políticas para os mesmos;. 4.9.24.1736.3.23. Deve possibilitar a diferenciação e controle de partes das aplicações como por exemplo permitir o YouTube e, ao mesmo tempo, Hangouts chat e bloquear o streaming em HD; 4.9.24.18a chamada de vídeo. 36.3.24. Deve possibilitar a diferenciação de aplicações Proxies (psiphon, freegate, etc) possuindo granularidade de controle/políticas para os mesmos; . 36.3.25. Deve ser possível a criação de grupos dinâmicos de aplicações baseados em características das aplicações como: tecnologia Tecnologia utilizada nas aplicações (Client- Client-Server, Browse Based, Network Protocol, etc);. 36.3.26. Deve ser possível a criação de grupos dinâmicos de aplicações baseados em características das aplicações como: Nível de risco da aplicação. 36.3.27. Deve ser possível a criação de grupos estáticos de aplicações baseados em características das aplicações como: Categoria da aplicação.

Controle de Aplicações. 4.9.24.14.1. Os dispositivos de proteção de rede deverão possuir a capacidade de reconhecer aplicações, independente de porta e protocolo; 4.9.24.2. Deve ser possível a liberação e bloqueio somente de aplicações sem a necessidade de liberação de portas e protocolos; 4.9.24.34.2. Reconhecer pelo menos 1700 aplicações diferentes, incluindo, mas não limitadolimitado a: a tráfego trąfego relacionado a peer-to-peer, redes sociais, acesso remoto, update de software, protocolos de rede, voip, áudioąudio, vídeo, proxy, mensageiros instantâneos, compartilhamento de arquivos, e-e- mail; 4.9.24.44.3. Reconhecer pelo menos as seguintes aplicações: bittorrent, gnutella, skype, facebook, linked-linked- in, twitter, citrix, logmein, teamviewer, ms-rdp, vnc, gmail, youtube, http-proxy, http-tunnel, facebook chat, gmail chat, whatsapp, 4shared, dropbox, google drive, skydrive, db2, mysql, oracle, active directory, kerberos, ldap, radius, itunes, dhcp, ftp, dns, wins, msrpc, ntp, snmp, rpc over http, gotomeeting, webex, evernote, google-docs; 4.9.24.5. Deve inspecionar o payload de pacote de dados com o objetivo de detectar assinaturas de aplicações conhecidas pelo fabricante independente de porta e protocolo; 4.9.24.64.4. Identificar o uso de táticas tąticas evasivas, ou seja, deve ter a capacidade de visualizar e controlar as aplicações e os ataques que utilizam táticas tąticas evasivas via comunicações criptografadas, tais como Skype e utilização da rede Tor; 4.9.24.74.5. Para tráfego trąfego criptografado SSL, deve decriptografar de-criptografar pacotes a fim de possibilitar a leitura de payload para checagem de assinaturas de aplicações conhecidas pelo fabricante; 4.9.24.84.6. Deve realizar decodificação de protocolos com o objetivo de detectar aplicações encapsuladas dentro do protocolo e validar se o tráfego corresponde com a especificação do protocolo. A decodificação de protocolo também deve identificar funcionalidades especificas dentro de uma aplicação; Identificar o uso de táticas tąticas evasivas via comunicações criptografadas; 4.9.24.94.7. Atualizar a base de assinaturas de aplicações automaticamente; 4.9.24.104.8. Os dispositivos Limitar a banda (download/upload) usada por aplicações (traffic shaping), baseado no IP de proteção de rede devem possuir a capacidade de identificar o usuário de rede com integração ao Microsoft Active Directoryorigem, sem a necessidade de instalação de agente no Domain Controller, nem nas estações dos usuáriosusuąrios e grupos; 4.9.24.114.9. Deve ser possível adicionar Para manter a segurança da rede eficiente, deve suportar o controle de sobre aplicações em múltiplas regras de segurança do dispositivo, ou seja, desconhecidas e não se limitando somente a possibilidade de habilitar controle de sobre aplicações em algumas regrasconhecidas; 4.9.24.12. Deve suportar vários métodos de identificação e classificação das aplicações, por pelo menos checagem de assinaturas e decodificação de protocolos; 4.9.24.134.10. Permitir nativamente a criação de assinaturas personalizadas para reconhecimento de aplicações proprietárias proprietąrias na própria interface gráfica grąfica da solução, sem a necessidade de ação do fabricante; 4.9.24.144.11. O fabricante deve permitir a solicitação de inclusão de aplicações na base de assinaturas de aplicações; 4.9.24.15. Deve alertar o usuário quando uma aplicação for bloqueada; 4.9.24.164.12. Deve possibilitar a diferenciação de tráfegos trąfegos Peer2Peer (Bittorrent, emule, etc) possuindo granularidade de controle/políticas para os mesmos; ; 4.13. Deve possibilitar a diferenciação de tráfegos trąfegos de Instant Messaging (AIM, Hangouts, Facebook Chat, etc) possuindo granularidade de controle/políticas para os mesmos; 4.9.24.174.14. Deve possibilitar a diferenciação e controle de partes das aplicações como por exemplo permitir o YouTube e, ao mesmo tempo, Hangouts chat e bloquear o streaming em HD; 4.9.24.18a chamada de vídeo; 4.15. Deve possibilitar a diferenciação de aplicações Proxies (psiphon, freegate, etc) possuindo granularidade de controle/políticas para os mesmos; ; 4.16. Deve ser possível a criação de grupos dinâmicos de aplicações baseados em características das aplicações como: tecnologia Tecnologia utilizada nas aplicações (Client- Client-Server, Browse Based, Network Protocol, etc); 4.17. Deve ser possível a criação de grupos dinâmicos de aplicações baseados em características das aplicações como: Nível de risco da aplicação; 4.18. Deve ser possível a criação de grupos estąticos de aplicações baseados em características das aplicações como: Categoria da aplicação; 4.19. Deve ser possível configurar Application Override permitindo selecionar aplicações individualmente