5.2.3.2. Планирование основных принципов построения есмиб

Основная задача системы интегрального мониторинга ИБ – оперативное получение и одновременная обработка данных от всех компонент контроля ИС (в т. ч. внешних систем защиты), их формализация и экспорт в СУБД ЕСМИБ с последующим оперативным анализом этих данных. Такой подход позволит определять и анализировать распределенные атаки на ИС, при реализации которых записи в одном из журналов систем аудита или внешней системы защиты может оказаться недостаточно для гарантированного определения атаки, а требуется согласованный интегральный анализ событий, зарегистрированных в нескольких журналах аудита. Кроме того, согласованный анализ событий аудита позволит избежать ложного детектирования несанкционированный событий, вызванных случайными сбоями или ошибками пользователей. Результатом разбора данных аудита является принятие решения о воздействии на технологический процесс ИС с целью ликвидации последствий выявленных нарушений и недопущения их в будущем, а также формирование численных оценок опасности выявленных событий безопасности.

К ЕСМИБ должны предъявляться следующие требования [44-46]:

– возможность интерпретации журналов аудита всех компонент ИС (ОС, СУБД, систем защиты информации (СЗИ), систем обнаружения вторжений (IDS) и др.);

– возможность многоуровневого построения ЕСМИБ с реализацией предварительной и окончательной обработки данных аудита на различных компонентах ЕСМИБ;

– наличие центральной SQL–базы данных ЕСМИБ, в которой накапливается информация аудита компонент ИС;

– возможность дистанционного управления интегральными настройками аудита различных компонентов ИС для контроля конкретного субъекта. Например, обеспечить возможность интегрального аудита конкретного пользователя, при котором одновременно получается и анализируется информация о действиях пользователя на АРМ ИС, в СУБД Oracle, в корпоративной сети по IP- адресу пользователя (от межсетевых экранов, маршрутизаторов) и др.;

– возможность связывания событий аудита от различных компонентов ИС для определения совокупных действий конкретного пользователя ИС или групп пользователей (должна быть разработана база соответствия имен пользователей в различных компонентах ИС), а также IP адресов или групп IP-адресов;

– наличие экспертного языка анализа журналов и возможность задания правил действий в зависимости от результатов анализа журналов аудита и возможность выдачи рекомендаций по воздействию на технологический процесс в ИС;

– возможность дистанционного оповещения администратора безопасности о выявлении НСД и/или инцидента в соответствии с заданными правилами.

Особенностью системы должно быть то, что реакция на события НСД и инциденты ИБ, описанные с помощью правил экспертной системы ЕСМИБ напрямую не должны влиять на функционирование ИС, а носить характер рекомендаций администраторам информационной безопасности (АИБ), целесообразность выполнения которых зависит от их решений и не может автоматически нарушить функционирование ИС.

Применяемые организацией меры по обнаружению инцидентов ИБ и реагирование на них должны обеспечивать:

– обнаружение и регистрацию инцидентов ИБ;

– организацию реагирования на инциденты ИБ;

– организацию хранения и защиту информации об инцидентах ИБ;

– регистрацию событий нарушения ИБ, связанных с результатами обнаружения инцидентов ИБ и реагирования на них.

ЕСМИБ должна основываться на анализе действий субъектов (пользователя, администратора, несанкционированного пользователя или администратора, процесса), как потенциальных источников атак на объекты ИС.

Для проведения работ по анализу регистрационных журналов в ИС должна быть организована центральная консоль управления ЕСМИБ, куда должны передаваться данные от подсистем независимого и штатного аудита, контроля целостности, подсистем анализа защищенности ИС и др. На этой консоли должна отображаться текущая ситуация по состоянию информационной безопасности в ИС. С этой консоли, в результате анализа текущей ситуации, автоматически или вручную, вырабатываются управляющие команды. Центральная консоль физически может быть реализована в виде нескольких рабочих мест (с выделением, например, места АИБ СУБД, администратора безопасности Unix–систем и т. д.). Такой подход к построению ЕСМИБ позволит:

– комплексно анализировать распределенные атаки на ИС, обобщать результаты анализа и выявлять скоординированные атаки на разные участки системы;

– организовать в режиме реального времени автоматизированную обработку, классификацию и индикацию регистрационной информации по мере ее поступления;

– оперативно осуществлять выработку необходимых решений по улучшению защиты контролируемой системы от несанкционированных воздействий, а также формировать в режиме реального времени рекомендации (в виде выявленных типов аварийных ситуаций) администрации ИС для необходимой реакции на технологический процесс;

– формировать численные оценки опасности регистрируемых событий;

– избежать ложного детектирования несанкционированных событий, вызванных случайными сбоями или ошибками пользователей;

– интегрировать дистанционное управление настройками аудита компонентов ИС.

Для оперативного анализа регистрационных журналов и выработки отчетов по результатам такого анализа необходимо разработать инструмент импорта информации аудита в центральную SQL–базу данных аудита, реализованную в составе ЕСМИБ, и программное обеспечение для работы с этой базой данных, обеспечивающее выборку интересующих сведений аудита и формирования отчетов по результатам выполнения политики безопасности.

Так как существует большое разнообразие наблюдаемых компонентов ИС, каждая из которых обладает особенностями сбора и представления информации, ЕСМИБ должна быть способна использовать следующие механизмы сбора данных аудита:

– удаленные запросы ЕСМИБ к штатным SQL–базам аудита систем, как например к базе аудита СУБД Oracle, которая является уже готовым набором таблиц базы данных SQL и нуждается лишь в небольшой в дополнительной формализации;

– использование централизованной базы штатного аудита распределенных систем. Например, система аудита маршрутизаторов Cisco TACACS+ уже имеет централизованную базу данных аудиторской информации всех своих компонентов и системе интегрального аудита имеет смысл организовать работу непосредственно с этой централизованной базой данных;

– использование агентов трансляции данных аудита непосредственно на контролируемых объектах (например, ОС Unix). При отсутствии баз данных аудита компонентов ИС для передачи в ЕСМИБ данных аудита должны быть разработаны агенты трансляции аудиторской информации, например, для ОС HP–UX, которая не обладает механизмами удаленного предоставления данных аудита на базе архитектуры «клиент–сервер».

Кроме того, на этапе планирования системы мониторинга СУИБ и контроля защитных мер должны быть разработаны следующие нормативно-методические документы и процедуры:

– типовые документы, регламентирующие процедуры мониторинга СУИБ и контроля защитных мер, включая контроль параметров конфигурации и настроек средств и механизмов защиты.

– типовая система классификации и категорирования первичных событий ИБ объектов области действия СУИБ и инцидентов ИБ.

– типовые документы и процедуры расследования инцидентов ИБ с учетом нормативных актов ФСТЭК, а также внутренних документов организации в области ИБ, в том числе:

– процедуры обнаружения первичных событий мониторинга ИБ и формирования инцидентов ИБ;

– процедуры классификации и категорирования первичных событий мониторинга ИБ и инцидентов ИБ;

– процедуры анализа причин инцидентов ИБ;

– процедуры информирования об инцидентах ИБ и нарушениях конкретных требований Политики ИБ и требований нормативных документов;

– процедуры формирования интегральной оценки состояния ИБ организации;

– процедуры поддержания в актуальном состоянии централизованной базы данных инцидентов ИБ;

– процедуры настройки отображения результатов мониторинга ИБ.

– типовые документы по хранению информации об инцидентах ИБ, практиках анализа инцидентов ИБ и результатах реагирования на инциденты ИБ.

– типовой порядок действий работников организации при обнаружении нетипичных событий, связанных с ИБ, и информировании о данных событиях.

– типовые роли по обнаружению, классификации, реагированию, анализу и расследованию инцидентов ИБ.

– типовые документы, регламентирующих процедуры сбора и хранения информации о действиях работников организации, событиях и параметрах, имеющих отношение к функционированию защитных мер.

– типовые документы, определяющих роли, связанные с выполнением процедур мониторинга СОИБ и контроля защитных мер, а также пересмотром указанных процедур.