УДК 004.492.3

ПЕРСПЕКТИВНЫЕ НАПРАВЛЕНИЯ РАЗВИТИЯ ТЕХНОЛОГИЙ ДЛЯ ЦЕНТРОВ МОНИТОРИНГА И РЕАГИРОВАНИЯ НА ИНЦИДЕНТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Мишурин А.О.

Ст. преподаватель кафедры «Комплексная защита информации» Омского государственного технического университета, член Ассоциации руководителей служб информационной безопасности, г. Омск

Аннотация. В настоящее время большое внимание уделяется практическим вопросам повышения эффект вности выявления и реагирования на инциденты информационной

выполнение требован й нормативных актов в области информационной безопасности и применения международных практик по противодействию кибератакам, но и разработка новых перспект вных технолог ческих решений, которые позволят ускорить их адаптацию к конкретным услов ям функц онирования информационных систем.

Ключевые слова: нструменты о наружения, предупреждения и ликвидации последствий компьютерных атак. Tools for detecting, preventing and eliminating the consequences of computer attacks.

В связи с тем, что среднее количестве дней, в течение которых присутствие нарушителя в информац онной с стеме (далее – ИС) остается незамеченным составляет 200 дней [9] в отрасли информационной езопасности (далее – ИБ) происходит сдвиг парадигмы от «предотвращения» к «реагированию» на возникающие угрозы ИБ.

Также в настоящее время сложность, адресность и количество кибератак на ИС неуклонно растет и как следствие регуляторами в о ласти ИБ усиливаются требования по обеспечению ИБ для различных типов и классов ИС.

Одним из наиболее сложных в реализации требований ИБ остается обеспечение требуемого уровня защищенности ИС при ее эксплуатации в условиях постоянно изменяющихся угроз ИБ.

Примеры таких требований для различных типов ИС представлены в таблице 1.

Для всех типов ИС основополагающим элементом является обеспечение реагирования на инциденты ИБ с различным набором требований и мероприятий исходя из типа и критичности ИС.

Таблица 1 – Требования ИБ для ИС

89

реализации ЦМР может служить организация центра государственной системы обнаружения (рис. 1), предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (далее — ГосСОПКА).

Рисунок 1 – Структура ГосСОПКА

Основной организационно-технической составляющей ГосСОПКА являются центры обнаружения, предупреждения ликвидации последствий компьютерных атак, организованные по ведомственному и территориальному принципам.

Центры подразделяются на главный центр ГосСОПКА, региональные центры, территориальные центры, центры органов государственной власти Российской Федерации и органов государственной власти субъектов Российской Федерации и корпоративные центры.

К основным задачам ЦМР относятся:

-обнаружение, предупреждение и ликвидация последствий компьютерных атак, направленных на ИС;

-проведение мероприятий по оценке степени защищенности контролируемых ИС;

-проведение мероприятий по установлению причин компьютерных инцидентов, вызванных компьютерными атаками на контролируемые ИС;

90

-сбор и анализ данных о состоянии информационной безопасности в контролируемых ИС;

-осуществление взаимодействия между ЦМР;

-информирование заинтересованных лиц по вопросам обнаружения, предупреждения и ликвидации последствий компьютерных атак.

В соответствии с задачами ЦМР и международного опыта можно выделить следующий жизненный цикл реагирования на события ИБ (рис. 2) [7, 8].

СибАДИР сунок 2 – Ж зненный цикл реагирования на событие ИБ

В целях успешного дост жения результатов в реализации проектов в области ИБ необходимо уч тывать следующие факторы: наличие в составе команды проекта специалистов соответствующего уровня и компетенции, формализация и практическое использован е процессного подхода в реализации проекта, а также наличие соответствующ х целям проекта инструментов. В данной статье будет рассмотрено инструментальное направления и перспективы его развития как одного из элементов результативности проекта по о еспечению требуемого уровня защищенности ИС при ее эксплуатации в рамках ЦМР.

В результате анализа средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты (ГосСОПКА) [6] и лучших международных практик по использованию инструментов для функционирования ЦМР можно выделить следующие основные инструменты ЦМР:

- средства для обнаружения компьютерных атак из различных источников данных

(функционал относится к классу средств Security information and event management (SIEM); - средства для предупреждения компьютерных атак (системы учета и мониторинга

инфраструктуры ИС, сканеры безопасности); - средства для ликвидации последствий компьютерных атак (функционал относится к

классу средств Incident response platforms (IRP);

- средства поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры

(функционал относится к классам средств: Intrusion detection system (IDS), Intrusion prevention system (IPS), Threat intelligence platform (TIP);

- средства обмена информацией, необходимой субъектам критической информационной инфраструктуры при обнаружении, предупреждении (или) ликвидации последствий компьютерных атак (IRP);

-средства сбора, хранения и анализа трафика (Network Traffic Analysis (NTA);

-средства выявления и реагирования на целевые атаки ИС (Endpoint Detection and Response (EDR);

-средства поведенческого анализа пользователей (User and Entity Behavior Analytics (UEBA);

-криптографические средства защиты информации;

-средства визуализации, построения сводных отчетов и хранения информации.

Одним из дополнительных инструментов для ЦМР является SOAR, который по классификации компании Gartner с 2015 году определялся как «Security operations, analytics

91

and reporting», а с 2017 года как «Security orchestration, automation and response». Внесение корректировки в описание SOAR отмечает уклон в сторону автоматизации реагирования на инциденты ИБ. Применение SOAR в работе ЦМР соответствует 5 уровню зрелости ЦМР (согласно данным Компании Gartner) [2, 3].

По прогнозам Компании Gartner к концу 2022 года 30% организаций, в которых отдел безопасности будет превышать 5 человек, будут использовать инструменты SOAR при обеспечении безопасности, по сравнению с менее чем 5 % в 2109 году. [1]

Основные функциональные особенности инструментов SOAR:

СибАДИклассу инструментов. В условиях импортозамещения в ИТ-отрасли реализации Постановления Правительства Российской Федерации от 16.11.2015 г. № 1236 «Об установлении запрета на допуск программного обеспечения, происходящего из иностранных государств, для целей осуществления закупок для обеспечения государственных и муниципальных нужд», то разработка инструмента SOAR является одной из актуальных задач для достижения 5 уровня зрелости (эффективности) ЦМР. Вместе с тем сейчас на международном рынке существует не менее 18 решений типа SOAR.

- агрегирование (aggregation): получение данных из разных источников (сигналы

предупреждения или иные входные данные от других технологий безопасности, например от

- реагирован е (response): о еспечение ручного или автоматизированного реагирования на инциденты ИБ, что может включать в се я действия базового уровня (создание заявки в

службу техн ческой поддержки ИС) к олее сложным действиям (например: применение блокировки IP-адреса путем зменения правила МСЭ).

Самое распространенное применение инструментов SOAR:

- приоритизация мероприятий по о еспечению безопасности информации;

- сортировка и реагирование на инциденты ИБ; - автоматизация реагирования на инциденты ИБ.

Рост спроса на инструменты SOAR возможен по следующим причинам:

- нехватка персонала по обеспечению безопасности и реагированию на инциденты ИБ; - увеличение количества угроз ИБ и повышение уровня их сложности;

- необходимость повышения качества и скорости фильтрации событий ИБ (улучшение

отношения сигнал/шум);

- необходимость централизованного анализа угроз ИБ (threat intelligence);

- сокращение времени реагирования на инциденты ИБ (автоматизация реагирования на

инциденты);

- сокращение рутинной работы для аналитиков Security Operations Center (SOC);

- возможность направления деятельности аналитиков SOC на обработку

высокотехнологичных инцидентов ИБ, в том числе выявления целевых атак.

Анализ рынка Российской Федерации в области разработки инструментов SOAR выявил отсутствие продукта, полностью соответствующего современным требованиям к этому

На основании изложенного и в целях повышения эффективности реагирования на угрозы ИБ возможно выделить следующие перспективные направления развития функциональных возможностей инструмента SOAR:

92

- при агрегации данных учитывать следующие сведения: структурно-функциональные характеристики ИС (Configuration management database, CMDB), карту информационных потоков, индикаторы компрометации (IOC);

- применение методов машинного обучения для классификации выявленных уязвимостей ИС, индикаторов компрометации (IOC), угроз ИБ (по ФСТЭК России, MITRE (STIX), событий и инцидентов ИБ в целях определения критичности, приоритета устранения и взаимосвязей между собой относительно эксплуатируемой ИС;

- применение методов моделирования (имитационное, математическое) реализации угроз

СибАДИресурс] // URL: https://www.sans.org/cyber-security-summit/archives/file/summit-archive- 1532986430.pdf (дата обращения: 02.09.2019).

ИБ по отношению к ИС с использованием методов ФСТЭК России и MITRE (STIX);

- автоматизация формирования базы инструкций реагирования на инциденты ИБ

(playbook, playrun) для разл чных классов;

- оценка эффект вности работы ЦМР с применением ключевых показателей (KPI).

8. .В. Лукацкий. Cisco Security Operations Virtual Summit [Электронный ресурс] // URL: https://www.youtube.com/watch?v=llojCta3le (дата обращения: 02.09.2019).

9.А.В. Лукацкий. Какие технологии кибербезопасности будут актуальны в среднесрочной перспективе [Электронный ресурс] // URL: https://www.youtube.com/watch?v=0BQPdZP36us (дата обращения: 02.09.2019).

10.А.В. Лукацкий. Правило "1-10-60" или три метрики SOC, когда вы не знаете как правильно измерить свой центр мониторинга ИБ [Электронный ресурс] // URL: https://lukatsky.blogspot.com/2018/09/1-10-60-soc.html (дата обращения: 02.09.2019).

11.А.В. Лукацкий. «Обзор метрик, используемых для оценки эффективности SOC»

[Электронный ресурс] // URL: https://soc-forum-2016.ib- bank.ru/files/files/soc2016/31%20lukatsky.pdf(дата обращения: 02.09.2019).

93