Управление тревожной сигнализацией

Для обеспечения безопасности важно иметь возможность немедленного реагирования, когда предполагается, что компьютерная среда подвергается опасности атаки на систему в попытке получить неавторизованный доступ. Цель состоит в том, чтобы определить в реальном времени, когда возникнет опасность, и выдать сигнал тревоги.

Приведем пример последовательности процессов для обнаружения проблемы и выдачи сигнала тревоги:

• каждое нарушение безопасности должно генерировать системное событие;

• одно системное событие не является неизбежно достаточным, чтобы утверждать, что это опасность; в таком случае подобные события должны накапливаться;

• совокупность подобных событий должна затем сравниваться с заранее установленной пороговой величиной;

• если результат этой совокупности превышает пороговую величину, выдается сигнал тревоги.

В результате выполнения этих процессов можно игнорировать неправильный ввод кем-то пароля утром во вторник, но следует обратить внимание, когда кто-то вводит много неправильных паролей, связанных со многими пользовательскими идентификаторами, в воскресенье вечером.

Для управления тревожной сигнализацией важны правильное определение ролей п ответственностей и назначение этих ролей и ответственностей соответствующим менеджерам. Система тревожной сигнализации должна не только анализировать тревожную ситуацию и своевременно выдать тревожный сигнал либо инициировать некоторый автоматический процесс, но и оповестить ответственных должностных лиц, способных оперативно принять необходимые меры.