4.3.5. Организационно-технические решения по настройке данных журнала аудита сзи от нсд Secret Net

Secret Net версий 6.x, 7.x – программный комплекс, сочетающий в себе большой набор функциональных возможностей по защите информации, средства централизованного управления настройками защитных механизмов, средства оперативного реагирования на действия внутренних злоумышленников и возможность мониторинга безопасности, защищаемой ИС [36]. СЗИ от НСД Secret Net может поставляться как в сетевом варианте исполнения, так и в автономном.

В сетевом варианте Secret Net события ИБ фиксируют и клиенты, и сервер безопасности. При этом события сохраняются:

– в локальном журнале Secret Net;

– в централизованной БД сервера безопасности, функционирующей с использованием СУБД Oracle (для версий СЗИ от НСД Secret Net 6.x, 7.x). Для версии СЗИ от НСД Secret Net, начиная со сборки 7.2, БД сервера безопасности может функционировать с использованием СУБД Microsoft SQL Server.

К достоинствам эксплуатации сетевого варианта Secret Net относится:

– обеспечение централизованного управления настройками политики безопасности;

– интеграция с ОС Windows, расширяющая, дополняющая и усиливающая стандартные механизмы защиты;

– осуществление мониторинга и аудита политики безопасности в режиме реального времени;

– оперативное реагирование на события НСД;

– поддержка терминального режима работы пользователей с рабочей станцией;

– аппаратная идентификация пользователей;

– контроль целостности файлов;

– разграничение доступа к устройствам (CD\DVD, USB, Wi-Fi и т. д.).

В журнале аудита Secret Net используется такой же формат данных и состав полей записей, что и в журналах ШПРС ОС Windows. Загрузка записей для просмотра осуществляется только в программе просмотра журналов, поставляемой в составе Secret Net [36].

1.Настройка параметров аудита сетевого варианта Secret Net.

1. 1. Сервер безопасности имеет возможность централизованного сбора журналов ШПРС Secret Net с клиентских компьютеров в централизованную БД. Периодичность сбора устанавливается с помощью штатной утилиты Secret Net «Консоль управления» для каждого клиентского компьютера.

1.2. Параметры накопления аудита на клиентских компьютерах конфигурируются через групповую политику домен Secret Net. Для перехода к редактированию данных параметров необходимо на контроллере домена, перейти по главному меню Программы → Администрирование → Политика безопасности домена. Параметр «Максимальный размер журнала системы защиты» устанавливается в значение 50496 кбайт. Параметр «Политика перезаписи событий» устанавливается в значение «Затирать события по мере необходимости».

1.3. Для включения событий на регистрацию необходимо использовать ветку «Регистрация событий» редактирования групповой политики домена Secret Net. Минимальный набор событий, необходимый для регистрации средствами Secret Net:

– Вход/Выход (все события категории);

– Замкнутая программная среда (ЗПС): Запрет запуска программы;

– Замкнутая программная среда: Запрет загрузки библиотеки;

– Контроль целостности: Удаление учетной записи из задания ЗПС;

– Контроль целостности: Завершение обработки задания на контроль целостности;

– Централизованное управление КЦ-ЗПС: Добавление субъекта;

– Централизованное управление КЦ-ЗПС: Изменение субъекта;

– Централизованное управление КЦ-ЗПС: Удаление субъекта;

– Контроль конфигурации: Успешное завершение контроля аппаратной конфигурации;

– Разграничение доступа к устройствам: Подключение устройства;

– Разграничение доступа к устройствам: Отключение устройства;

– Разграничение доступа к устройствам: Запрет доступа к устройству.

Система имеет возможность также контроля работы механизмов защиты (шифрование файлов, полномочное управление, замкнутая программная среда и др.), а также пересылки журналов Secret Net с локальных компьютеров на сервер безопасности.

2. Настройка параметров аудита локального варианта Secret Net

2.1. Необходимо выполнить аналогичные описанным выше настройки в локальной оснастке на каждом компьютере с установленной СЗИ от НСД Secret Net. Для автоматизированного получения событий из локальной БД Secret Net, администратору СЗИ от НСД необходимо выполнить экспорт событий из защищенной базы Secret Net в файл БД формата Microsoft Access на каждом компьютере с установленным Secret Net.

2.2. Для выполнения экспорта, необходимо с полномочиями локального администратора ОС запустить штатную утилиту Secret Net Журналы и затем на левой панели утилиты следует выбрать журнал Secret Net, и далее пункт меню Secret Net → Экспорт. В появившемся диалогов окне следует задать параметры файла для сохранения результатов экспорта.

2.3. Для чтения данных файл *.mdb, полученный в результате экспорта, должен быть перемещен на компьютер функционирования агента. Для доступа к файлу экспорта необходимо создать ODBC-псевдоним (с использованием 32-х разрядной версии редактора ODBC-псевдонимов и драйвера Microsoft Access) и связать его с полученным файлом.

СЗИ SecretNet регистрирует настроенные события сразу после своей установки. Система регистрации событий СЗИ SecretNet не может быть отключена. Ее можно только расширить, доведя уровень детализации аудита до максимального (как локальных событий, так и сетевых). Максимальный уровень детализации подразумевает регистрацию таких событий, как операции открытия файлов на чтение, на запись, запись в файлы и так далее. Кроме того, могут регистрироваться отдельные операции с выбранными файлами.

В качестве контролируемых объектов могут выделяется следующие группы ПО, расположенного на клиентском месте:

– состояние системы защиты SecretNet - по умолчанию контролируется целостность файлов СЗИ, доступ к этим файлам;

– исполняемые файлы АРМ (EXE, COM, DLL и так далее) - протоколируется операции открытия на чтение/запись этих файлов и запуск исполняемых файлов. Протоколируется загрузка DLL-модулей прикладными задачами. Может дополнительно контролироваться целостность файлов;

– конфигурационные файлы прикладного программного обеспечения и специально выбранные файлы - может контролироваться целостность конфигурационных файлов и протоколироваться операции по чтению/записи этих файлов;

– сетевые события - протоколируются регистрация пользователя в корпоративной сети, операции отображения сетевых устройств, доступ к сетевым файлам.