4.2.6. Организационно-технические решения для организации защиты межсетевого взаимодействия с применением межсетевых экранов

Для межсетевой защиты в корпоративной сети и ее экранирования от атак извне, для обнаружения и регистрации внешних атак необходимо применение межсетевых экранов [13]. С помощью журналов аудита межсетевых экранов необходимо отслеживать:

– попытки соединения с ЛВС «открытого» контура с неразрешенных IP-адресов;

– попытки использования неразрешенных протоколов уровня TCP/UDP и соединения с неразрешенными портами серверов ЛВС «открытого» контура извне;

– попытки компрометации защищенных IP-соединений к ресурсам корпоративной сети;

– попытки использования незащищенных IP-соединений при межсетевом взаимодействии в региональной корпоративной сети.

Для оперативного анализа информации аудита необходимо настроить журнал syslogd межсетевых экранов таким образом, чтобы события аудита дублировались на сервер аудита службы безопасности, т. е. для всех межсетевых экранов хост loghost в файле /etc/hosts должен ссылаться на сервер аудита службы безопасности.

Для обеспечения надежности функционирования механизмов фильтрации трафика необходимо резервировать межсетевые экраны.

Известно [16], что любые механизмы защиты вносят временную, протокольную и потоковую избыточность в информационное окружение сети и приводят к ухудшению ее характеристик. Эти виды избыточности при проектировании защищенной корпоративной МСС должны быть учтены в ее критериях эффективности и ограничениях задач анализа [16]. Прикладные аспекты указанной проблемы связаны с повышением качества проектирования защищенных МСС, что в конечном итоге приводит к повышению эффективности использования сетевых ресурсов и сокращению затрат на их создание. В Приложении 1 приведена формализация процессов предоставления механизмов защиты в корпоративной мультисервисной сети.

4.3. Организационно-технические решения по настройке журналов аудита на объектах мониторинга ис

Система мониторинга ИБ ИС для выявления инцидентов ИБ постоянно осуществляет сбор и анализ событий журналов штатного аудита подконтрольных объектов ИС, в том числе СЗИ. При регистрации событий должны быть выполнены следующие требования:

1. Полнота регистрируемых событий должна быть достаточна и не избыточна для доказательного разбора ситуации;

2. Должна быть обеспечена максимально возможная независимость данных аудита от администратора контролируемой системы;

3. Должна быть обеспечена невозможность несанкционированного искажения журналов аудита, в том числе и администраторами контролируемой системы;

4. Хранение журналов аудита должно быть обеспечено в течение сроков, определенных руководящими документами ИБ организации.

Независимо от типа операционной системы в журналах штатного аудита должны регистрироваться следующие события:

1. Идентификационная информация, в том числе и попытки подбора пароля пользователями;

2. Операции, отвергнутые ИС из-за недостатка полномочий у пользователей;

3. Факты модификации конфигурационных файлов ИС;

4. Факты изменения администраторами полномочий пользователей «закрытого» и «открытого» контура ИС;

5. Факты отключения системы аудита администраторами;

6. Факты запуска и останова ИС.