БИТиС / Лекции_Мошак_Птицына_ Пособие_БИТиС

–Добавление/удаление СМН (компакт-диски, флэш-диски и др.).

–Отправление/прием почтовых сообщений и файлов.

–Работа по протоколам FTP и HTTP.

–Печать документов.

–Модификация информации реестра ОС Windows.

Подсистема хранения событий ИБ предназначена для хранения результатов работы подсистемы анализа в базе данных (БД) событий ИБ.

Подсистема информирования о событиях ИБ предназначена для оперативного (в режиме, приближенном к реальному времени) графического представления информации о событиях ИБ персоналу СОИБ.

Подсистема расследования событий ИБ предназначена для автоматизации деятельности персонала в части проведения отложенного анализа и генерации отчетов о событиях ИБ, содержащихся в подсистеме хранения.

Основными задачами третьего уровня ЕСМИБ (рис.5.8) являются идентификация и обработка коррелированных событий ИБ (КСИБ) .

161

предназначена для выявления КСИБ на основе правил анализа событий ИБ от разнотипных источников ИС с указанием нарушений требований нормативных документов организации по ИБ, а также передачи коррелированных событий ИБ в подсистему обработки. Подсистема идентификации должна включать в свой состав средства для создания, редактирования, проверки и графического представления правил анализа событий ИБ (сценариев).

Рис. 5.9. Реализация третьего уровня мониторинга. Подсистема идентификации коррелированных событий ИБ

Основные принципы функционирования подсистемы идентификации:

–входными данными являются события ИБ, сформированные подсистемой анализа и формирования событий ИБ второго уровня;

–формирование (идентификация) КСИБ осуществляется в результате взаимоувязанного анализа событий ИБ от разных объектов мониторинга в соответствии с набором правил анализа, сформированных с учетом требований документов ИБ организации;

–идентификация может выполняться как по мере поступления входных данных в режиме, максимально приближенном к режиму реального времени, так и в отложенном режиме, по запросам персонала;

–каждое идентифицированное КСИБ содержит ссылку на нарушение конкретных требований нормативных документов ИБ организации и передается в подсистему обработки.

Интегральный анализ предполагает проведение совместной обработки

разнородных данных мониторинга ИБ, полученных от различных ОС, СУБД и технических средств, функционирующих в составе ИС. На (рис. 5.10) показано изменение объема данных в процессе выполнения отдельных этапов интегрального анализа, обусловленное введением концепции конкретизации и дальнейшего уточнения целей анализа.

163

Формирование информационных массивов для целей анализа

Рис.5.10. Изменение объема анализируемых данных в процессе интегрального анализа

Параметры задач однозначно определяются природой анализируемых данных. К числу источников данных значимых для целей интегрального анализа ИБ относятся:

–материалы по фактам обнаружения признаков нарушений, имеющих место в процессе использования разнородных критических ресурсов организации;

–сообщения лиц, имеющих прямой доступ к информации, относящейся

кфактам нарушений;

–материалы ведущихся расследований;

–результаты анализа инцидентов по материалам завершенных расследований;

–открытые источники: анализ и обобщение информации, уже собранной правительственными и иными учреждениями, в том числе опубликованной в общедоступных документах;

–соответствующие положения нормативно-методических документов организации, описывающие порядок проведения интегрального анализа.

Общая схема выполнения методики интегрального анализа приведена на рис.5.11.

164

Рис.5.11. Общая схема выполнения методики интегрального анализа

Формирование информационных массивов для целей анализа (рис. 5.11)

вобщем случае является автоматизированным непрерывным процессом, выполнение которого поддерживается системой мониторинга ИБ.

Укажем основные особенности подсистемы идентификации и коррелированного анализа ЕСМИБ

–возможность одновременного анализа событий от нескольких разнородных источников (анализ событий ИБ проводится как независимо для каждого объекта мониторинга, так и с учетом корреляций событий ИБ: взаимных связей по пользователям, ресурсам, времени и пр. информационным параметрам событий ИБ);

–выявление незавершенных последовательностей;

–выявление циклических появлений событий в последовательности;

–использование при анализе возможности объединения нескольких учетных записей в одну карточку пользователя;

–возможность использования нескольких описаний последовательностей

вконтексте одного правила;

–декларативное описание правила анализа без использования элементов программирования;

–возможность ручной и автоматической регистрации КСИБ в подсистеме обработки;

–возможность регистрации КСИБ в любом узле описания последовательности.

165

Ввод исходных данных в подсистему импорта исходных данных происходит с целью использования в процессе взаимоувязанного анализа событий ИБ данных о сотрудниках организации и данных об их учетных записях.

Подсистема обработки КСИБ (рис. 5.12) должна обеспечивать реализацию функций регистрации, информирования, классификации по заданным критериям, и фиксирования мер по устранению последствий КСИБ в соответствии с ролевыми функциями персонала СОИБ.

коррелированных событий ИБ в ЕСМИБ

Подсистема обработки КСИБ функционирует в соответствии со следующими принципами:

–входными данными являются КСИБ, сформированные подсистемой идентификации, либо зарегистрированные Регистратором посредством ввода информации в специализированную форму;

–подсистема обработки КСИБ обеспечивает последовательность обработки в соответствии с назначенными ролями персонала (Регистратор, Ответственный, Руководитель и др.). В зависимости от назначенной роли, персоналу доступны различные функции по обработке коррелированных событий ИБ. Например, разрешение (закрытие) коррелированного события ИБ может выполнить только пользователь с ролью «Ответственный» и т. д.;

–использование Web-технологий позволяет подключать новых

ответственных лиц без установки дополнительного программного

166

обеспечения на их рабочие места. Доступ осуществляется по http-протоколу из Интернет-браузера, что предоставляет возможность работы с системой, не привязываясь к определенному рабочему месту.

Общая схема обработки коррелированных событий ИБ в ЕСМИБ приведена на рис.5.13.

Рис.5.12. Общая схема обработки коррелированных событий ИБ в ЕСМИБ В оперативном режиме выполняется анализ событий ИБ из нескольких

источников одновременно без переписывания данных в промежуточное хранилище, с сохранением специфики и уникальности информации об источниках данных.

Подсистема хранения и резервирования коррелированных событий ИБ должна обеспечивать реализацию функций по ведению оперативного архива (например, в течение 30 дней) и долговременного архива (перенос данных, с освобождением дискового пространства, на отчуждаемые носители), загрузки данных из долговременных архивов.

Подсистема подготовки отчетов по коррелированным событиям ИБ должна обеспечивать реализацию функции автоматизированной подготовки отчетов по коррелированным событиям ИБ с учетом задаваемых параметров (временной интервал, оценка коррелированного события ИБ, его тип и т. п.), выводу на печать и экспорту в файл отчетов.

Структурная схема применения ЕСМИБ приведена на рис.5.14.

167

–подсистема оценки результатов реагирования и оценки ущерба от инцидентов ИБ;

–подсистема активизации плана непрерывности бизнеса;

–подсистема тестирования и проверки плана обеспечения непрерывности бизнеса;

–подсистема учета обучения и повышения осведомленности работников организации;

–подсистема учета обязанностей работников по выполнению плана непрерывности бизнеса.

5.3.6.Документированные процедуры СУИБ для ввода в эксплуатацию

Документированные процедуры являются обязательным элементом эксплуатации СУИБ организации. Следовательно, в рамках системы управления необходимо разработать базу нормативных документов, описывающих все процедуры в области ИБ.

Основными документами по управлению ИБ являются Политика управления информационной безопасностью и Политика информационной безопасности (Политика). Политика управления ИБ описывает общий подход к управлению ИБ. Кроме этого, разрабатываются методики и инструкции,

описывающие процедуры обеспечения ИБ и управления ею. В качестве примеров можно привести следующие методики:

–Методика инвентаризации активов;

–Методика категорирования активов;

–Методика оценки информационных рисков;

–Методика обработки информационных рисков.

Инструкции следует разработать для каждой процедуры обеспечения информационной безопасности. Примерный перечень может содержать следующие инструкции:

–Инструкция по обеспечению сохранности конфиденциальной информации (соглашение о конфиденциальности);

–Инструкция пользователя по обеспечению информационной безопасности;

–Инструкция системного администратора по обеспечению информационной безопасности;

–Инструкция администратора безопасности;

–Инструкция по управлению доступом пользователей к информационной системе;

–Инструкция по защите от вредоносного программного обеспечения;

–Инструкция по выполнению резервного копирования;

–Инструкция по обращению со съемными носителями информации;

–Инструкция по использованию мобильных компьютеров;

–Инструкция по использованию средств криптографической защиты информации;

169

–Инструкция по внесению изменений в информационную систему;

–Инструкция по управлению инцидентами информационной безопасности;

–План непрерывности ведения бизнеса;

–Регламент обеспечения физической безопасности и др.

Как правило, на этапе «ВНЕДРЕНИЕ» СУИБ разрабатывают также «План внедрения системы управления», в котором описывают четкую последовательность действий при внедрении процедур, методы контроля и осуществления проверок выполнения процедуры. Модель СУИБ формализуется в едином комплексе нормативных документов. В этот комплекс входят следующие основные документы:

–Концепция обеспечения ИБ;

–Политика информационной безопасности;

–Положение об информационной безопасности организации;

–План обеспечения непрерывной работы и восстановления работоспособности информационной системы в кризисных ситуациях;

–Правила работы с защищаемой информацией;

–Журнал учета нештатных ситуаций;

–План защиты информационных систем организации;

–Положение о правах доступа к информации;

–Инструкция по внесению изменений в списки пользователей и наделению пользователей полномочиями доступа к информационным ресурсам организации;

–Инструкция по внесению изменений в состав и конфигурацию технических и программных средств информационных систем;

–Инструкция по работе сотрудников в сети Интернет;

–Инструкция по организации парольной защиты;

–Инструкция по организации антивирусной защиты;

–Инструкция пользователю информационных систем по соблюдению режима информационной безопасности;

–Инструкция администратора безопасности сети;

–Аналитический отчет о проведенной проверке системы информационной безопасности;

–Требования к процессу разработки программного продукта;

–Положение о распределении прав доступа пользователей информационных систем;

–Положение по учету, хранению и использованию носителей ключевой информации;

–План обеспечения непрерывности работы организации (непрерывности ведения бизнеса);

–Положение по резервному копированию информации;

–Методика проведения полного анализа и управления рисками, связанными с нарушениями информационной безопасности.

Датой ввода СУИБ в эксплуатацию является дата утверждения высшим руководством организации Положения о применимости средств управления.

170