4.3.7. Организационно-технические решения по настройке данных журнала аудита комплекса антивирусной защитой Dr.Web Enterprise Suite Server

Антивирус Dr.Web 10 Enterprise Suite Server (ESS) предназначен для организации и управления надежной комплексной антивирусной защитой компьютеров локальной сети организации [30]. Dr.Web ESS решает следующие задачи:

– централизованная (без необходимости непосредственного доступа персонала) установка антивирусных пакетов на защищаемые компьютеры;

– централизованная настройка параметров антивирусных пакетов;

– централизованное обновление вирусных баз и программного обеспечения на защищаемых компьютерах;

– мониторинг вирусных событий, а также состояния антивирусных пакетов и ОС на всех защищаемых компьютерах.

Программный комплекс Dr.Web ESS имеет архитектуру клиент-сервер. Его компоненты устанавливаются на компьютеры пользователей, администраторов и на компьютер, выполняющий функции антивирусного сервера, и обмениваются информацией, используя сетевые протоколы TCP/IP.

Dr.Web ESS позволяет сохранить за пользователем защищаемых компьютеров права на настройку и управление антивирусными пакетами данных компьютеров, а также гибко ограничить их, вплоть до полного запрета.

Требования к настройкам штатной подсистемы регистрации событий комплекса антивирусной защитой Dr.Web Enterprise Suite Server:

– выполнить интерактивный вход в центр управления антивирусной защитой комплекса Dr.Web ESS с использованием учетной записи, имеющей административные полномочия на сервере Dr.Web ESS;

– выбрать в верхней части экрана раздел «Администрирование», далее в левой части экрана выбрать пункт «Конфигурация Dr.Web Enterprise Server»;

– в правой части экрана необходимо открыть раздел конфигурирования «Статистические данные» и выбрать опции «Инфекции в БД», «Ошибки сканирования в БД»;

– перейти на вкладку «Безопасность» и установить опции «Аудит операций», «Аудит внутренних операций», «Аудит операций Web API». Сохранить настройки.

4.3.8. Организационно-технические решения по настройке данных журнала аудита продуктов антивирусной защиты Лаборатории Касперского

Основным назначением продуктов Лаборатории Касперского является антивирусная защита [40]. Продукты также обеспечивают защиту от спама, хакерских атак, программ-шпионов. Программные продукты Антивируса Касперского для Windows поставляются в вариантах для серверов и рабочих станций. Антивирус может применяться как на автономных компьютерах пользователей, так и в корпоративной сети предприятия. Продукты имеют возможность для централизованного конфигурирования, управления, мониторинга ИБ через дополнительное ПО – Kaspersky Security Center.

В функции Сервера администрирования входит:

– хранение структуры логической сети (сетевой конфигурации);

– хранение копии конфигурационной информации компьютеров логической сети;

– организация хранилищ дистрибутивов приложений «Лаборатории Касперского»;

– удаленная установка и деинсталляция приложений на компьютеры;

– обновление антивирусных баз и программных модулей;

– управление политиками и задачами на компьютерах логической сети;

– хранение информации о событиях, происходивших на компьютерах логической сети;

– формирование отчетов о работе приложений в логической сети;

– распространение лицензионных ключей на компьютеры логической сети, хранении информации о лицензионных ключах;

– отправка событий от функционирующих на компьютерах логической сети задач. Такие события могут сообщать, например, об обнаружении на компьютере вирусов.

Подключение клиентского компьютера к Серверу администрирования осуществляет Агент администрирования, установленный на клиентском компьютере. При подключении клиентского компьютера к Серверу администрирования выполняются следующие операции:

– автоматическая синхронизация данных:

– синхронизация списка программ, установленных на клиентском компьютере;

– синхронизация политик, параметров программ, задач и параметров задач;

– получение Сервером администрирования текущей информации о состоянии программ, выполнении задач и статистики работы программ;

– доставка на Сервер информации о событиях, которые требуется обработать.

Автоматическая синхронизация данных производится периодически, в соответствии с параметрами Агента администрирования (например, один раз в 15 минут). Имеется возможность вручную задать интервал между соединениями. Информация о событии доставляется на Сервер администрирования сразу после того, как событие произошло.

Регистрация событий. В процессе работы Антивирус Касперского фиксирует различного рода события в свой журнал. Они могут быть информационного характера, а также нести важную информацию. Например, событие может уведомлять об успешно выполненном обновлении приложения, фиксировать ошибку в работе некоторого компонента, обнаружение вируса. В Антивирусе Касперского имеется возможность воспользоваться сервисом уведомлений для доставки информации до эксплуатирующего персонала различными способами.

Перед инсталляцией сервера администрирования инсталлируется СУБД. По умолчанию при инсталляции Kaspersky Security Center выполняется установка Microsoft SQL Express 2005 или Microsoft SQL Express 2008 (в зависимости от версии устанавливаемого продукта).

В ходе последующей инсталляции сервера администрирования создается БД Kaspersky antivirus (KAV) для накопления событий антивируса.

Имеется возможность включить генерацию событий антивирусом, работающим без централизованного администрирования, а также антивирусом, использующим централизованный сбор событий. При централизованной схеме сбора событий в Антивирусе Касперского имеется возможность записи событий в БД KAV и дублирования их в системный журнал ОС (Event Log) на сервере администрирования. Экспериментально установлено, что информация о произошедших событиях, фиксируемая в БД KAV более полная, чем информация из журнала ОС.

При необходимости получения событий непосредственно на компьютере с установленным Антивирусом Касперского, нужно конфигурировать список событий для регистрации на каждом таком компьютере.

Требования к настройкам штатной подсистемы регистрации событий.

1.Если Антивирус Касперского работает без централизованного администрирования, имеется возможность включить генерацию событий антивирусом и указать способ регистрации событий. При невозможности воспользоваться централизованным сбором событий при помощи сервера администрирования Антивируса Касперского, необходимо настраивать локальный сбор событий на каждом компьютере. При этом необходимо сохранять регистрируемые события в журнале Event Log ОС Windows.

1.1. Для Kaspersky Endpoint Security 10 настройка выполняется следующим образом.

Необходимо открыть главное окно программы, выбрать вкладку Настройка, выбрать группу параметров Интерфейс, в параметрах Уведомления нажать кнопку Настройка….

1.2.В окне Уведомления для типов событий и отдельных событий антивируса указывается, каким образом уведомления будут доведены до пользователя (сохранять в локальном журнале, сохранять в журнале событий Windows, уведомлять на экране, уведомлять по почте). Для целей ЕСМИБ ТУ для регистрируемых событий установить Сохранять в журнале событий Windows.

2. Для настройки Антивируса Касперского, использующего централизованный сбор событий, необходимо создать политики централизованного управления клиентскими антивирусами, сервером администрирования, агентом администрирования. Настройка централизованного управления с помощью Kaspersky Security Center выполняется следующим образом.

2.1. Для сервера администрирования и клиентских компьютеров необходимо создать или настроить существующую политику защиты и общих параметров программ. Для запуска мастера создания/редактирования политики необходимо запустить оснастку централизованного администрирования Kaspersky Security Center, затем в левой панели в дереве выбрать узел Сервер администрирования <имя сервера> → Управляемые компьютеры. При необходимости выбрать группу управляемых компьютеров. Открыть вкладку Политики.

2.2. Для создания политику управления клиентскими компьютерами для группы администрирования выбрать ссылку Создать политику Kaspersky Endpoint Security и следовать указаниям мастера создания политики. При выполнении шагов настройки политики руководствоваться документами, принятыми в эксплуатирующем подразделении.

2.3. На шаге Интерфейс в группе Уведомления нажать кнопку Настройка…. В окне Уведомления для типов событий и отдельных событий антивируса указывается, каким образом уведомления будут доведены до пользователя (сохранять в локальном журнале, сохранять в журнале событий Windows, уведомлять на экране, уведомлять по почте).

Созданная политика применится на всех компьютерах под управлением ОС Windows, входящих в группу администрирования, для которой создавалась политика.

2.4. При создании политики для сервера администрирования на вкладке Политики выбрать ссылку Создать политику, указать имя политики, выбрать программу для создания групповой политики Сервер администрирования Kaspersky Security Center и следовать указаниям мастера создания политики. В последующих диалогах мастера необходимо набрать имя политики и выбрать Kaspersky Security Center как ПО, для которого настраивается политика. Необходимо выбрать количество событий, хранящихся в БД KAV сервера администрирования, исходя из аппаратной конфигурации компьютера, используемого для сервера администрирования. Рекомендуется указать значение 400000.

2.5. Для настройки уведомлений существующей политики необходимо выбрать политику для группы администрирования, в правой части окна выбрать ссылку Настроить уведомления. В окне Свойства <название политики> выбрать группу параметров События, в правой части окна выбрать одно или несколько событий, нажать кнопку Свойства и открывшемся окне задать способ регистрации событий и способ уведомления о событиях.

Рекомендуется для всех событий установить опцию На Сервере администрирования в течение (дней). Не рекомендуется устанавливать значение меньше 30 дней, так как это может привести к потере событий для анализа.

В заключение отметим, что применение рекомендованных штатных настроек оборудования и рекомендованных организационно-технических мер по защите информации только частично реализуют требования ПОЛИТИКА. Для построения СИБ ИС требуемого класса защищенности следует также провести дополнительный анализ и выбор сертифицированных программно-аппаратных СЗИ.

Более того, несмотря на то, что создание СИБ сводит к минимуму ущерб организации, надо всегда помнить, что основным фактором обеспечения информационной безопасности в ИС остается «человеческий» фактор. Поэтому в процессе эксплуатации СОИБ особое внимание надо уделять постоянному обучению персонала с принципами политики информационной безопасности и использованию средств защиты информации в ИС.