4.3.6. Организационно-технические решения по настройке данных журнала аудита аппаратно-программный комплекс шифрования «Континент»

Основным назначением аппаратно-программного комплекса шифрования (АПКШ) «Континент» является защита информации, в корпоративных сетях, использующих для передачи данных протоколы семейства TCP/IP v. 4, а также защита сегментов VPN от проникновения извне [37]. В состав АПКШ «Континент» входят следующие компоненты:

– криптографический шлюз (КШ) «Континент»;

– центр управления сетью (ЦУС) КШ;

– программу управления сетью КШ.

АПКШ «Континент» обеспечивает:

– шифрование и имитозащиту данных, передаваемых по открытым каналам связи между защищаемыми сегментами сети;

– защиту внутренних сегментов сети от несанкционированного доступа извне;

– скрытие внутренней структуры защищаемых сегментов сети;

– централизованное управление защитой сети.

События аудита регистрируются в журналах аудита в виде отдельных записей [38]. На АПКШ с установленным ЦУС формируются как журналы КШ, так и журналы ЦУС. События, происходящие на КШ, регистрируются в локальных журналах КШ. Для централизованного доступа к записям содержимое локальных журналов перемещается через ЦУС на хранение в БД на сервер БД АПКШ «Континент». В системном журнале регистрируются события, связанные с работой подсистем КШ и ЦУС, а также события, регистрируемые другими СЗИ (например, ПАК «Соболь»). Для каждого зарегистрированного события сохраняются время регистрации, описание события, категория и ряд дополнительных параметров.

В журнале НСД хранятся записи о зарегистрированных событиях, свидетельствующих о возможных угрозах безопасности. Каждая запись содержит информацию о количестве зарегистрированных событий в течение одной минуты, а также ряде дополнительных параметров. В журнал НСД также осуществляется запись событий, связанных с IP-пакетами, отброшенными пакетным фильтром или не соответствующих ни одному правилу фильтрации.

Требования к настройке подсистемы регистрации событий АПКШ «Континент» приводятся ниже.

1.Для обеспечения сохранности записей журналов и их своевременного получения администратор АПКШ «Континент» 3.6 может централизованно настраивать следующие параметры:

– параметры локальных журналов КШ;

– параметры передачи журналов ЦУС;

– расписание передачи журналов в БД;

– параметры очистки БД от устаревших записей журналов.

При настройке параметров локальных журналов КШ должен быть указан максимальный размер журналов и выполнен выбор регистрируемых IP-пакетов.

2. В программе управления ЦУС необходимо вызвать контекстное меню нужного КШ и активировать команду «Свойства», в появившемся диалоговом окне «Свойства криптошлюза» перейти на вкладку «Журналы».

3. В группе полей «Максимальные размеры журналов» для каждого журнала необходимо указать размер пространства на жестком диске КШ, которое отводится для хранения записей. Размер пространства указывается в килобайтах.

4. Размер системного журнала и журнала НСД необходимо установить в значение 10240 Кб, а размер журнала сетевого трафика установить в значение 12288 Кб. Таким образом, суммарный размер пространства, отводящегося для хранения журналов, не превышает границу в 32 Мб, которая введена в силу конструктивных ограничений [38].

5. При настройке расписания передачи журналов из буфера ЦУС в централизованную БД, необходимо руководствоваться принципом минимизации потерь данных журналов вследствие превышения заданного размера. Рекомендуется настроить агента ЦУС и СД на получение журналов из буфера ЦУС на ежечасный интервал, что позволит снизить вероятность потерь из-за переполнения.

6. Для обеспечения высокой скорости доступа к централизованной БД рекомендуется хранить в БД записи за последние 7 дней. Таким образом, в параметрах для агента ЦУС рекомендуется установить срок устаревания записей для всех журналов 7 дней и время очистки записей в БД установить на понедельник 8 часов 55 минут утра.

7. Для обеспечения возможности чтения данных средствами системы, необходимо периодически выполнять экспорт событий из журналов в текстовые файлы. Исходя из приведенных выше настроек времени хранения событий, следует проводить сохранение записей журналов в файл еженедельно в понедельник в 9 часов утра, после момента времени, когда ЦУС удалит из БД записи старее последних 7 дней.