СОВ - системы обнаружения вторжений

•оповещение администратора безопасности об обнаруженных атаках путем вывода соответствующего сообщения на консоль администратора СОВ, записи сообщения в специальный журнал, путем отправки сообщений по электронной почте;

•контроль целостности собственных ресурсов СОВ и ресурсов защищаемой АИС, а так же, за счет этого механизма, возможность отслеживания действий нарушителей по отношению к контролируемым ресурсам в скомпрометированной системе;

СОВ - системы обнаружения вторжений

•оповещение администратора безопасности о новых сообщениях системных журналов на машинах защищаемой АИС путем вывода соответствующего сообщения на консоль администратора СОВ, записи сообщения в специальный журнал, путем отправки сообщений по электронной почте;

•ведение журнала системных сообщений, содержащего служебную информацию, формируемую компонентами СОВ, журнала сообщений от сетевого оборудования, поступающих по протоколам SNMP и syslog;

•удаленное управление сетевым оборудованием по защищенному с использованием отечественных средств криптографической защиты информации (СКЗИ) каналу;

СОВ - системы обнаружения вторжений

•интеграцию с внешними системами путем передачи сообщений о зафиксированных компьютерных атаках из журнала СОВ по протоколу syslog;

•генерацию отчетов на основе содержимого журналов СОВ.

В основу функционирования сетевого датчика СОВ «Форпост» положен сигнатурный метод выявления атак.

Он обеспечивает обнаружение атак на основе специальных шаблонов (сигнатур), каждый из которых соответствует конкретной атаке.

При получении исходных данных о сетевом трафике информационной системы, СОВ «Форпост» производит их анализ на соответствие указанным шаблонам атак, имеющимся в базе данных.

СОВ - системы обнаружения вторжений

В случае обнаружения сигнатуры в исходных данных, система регистрирует факт обнаружения атаки, оповещает администратора безопасности о данном событии и предоставляет возможность администратору произвести блокирование источника атаки с помощью соответствующего коммуникационного оборудования.

СОВ - системы обнаружения вторжений

СОВ «Форпост» реализует следующие методы реагирования на факт выявления компьютерной атаки:

•идентификация компьютерной атаки с использованием описаний уязвимостей, на которые они направлены, или описаний реализаций компьютерных атак;

•оповещение администратора безопасности об обнаруженных атаках путем вывода соответствующего сообщения на консоль администратора СОВ, отправки сообщений по электронной почте;

•регистрация атаки в журнале модулей-датчиков СОВ;

•блокировка источника угрозы информационной безопасности путем блокирования источников атак посредством отправки сетевому оборудованию (межсетевому экрану, коммутатору, маршрутизатору), по протоколам RS-232, telnet, последовательности команд на основе шаблонов.

СОВ - системы обнаружения вторжений

Управление сетевым оборудованием производится компонентом СОВ через локальный интерфейс RS-232 или через выделенный сетевой интерфейс с использованием протокола telnet.

Связь между удаленной консолью администратора и компонентом СОВ, выполняющим управление сетевым оборудованием осуществляется по защищенному с использованием отечественных СКЗИ каналу.

Средства криптографической защиты информации (СКЗИ)

СКЗИ – это средство криптографической защиты информации. Его использование необходимо в случаях, явно установленных законодательством Российской Федерации (например, защита биометрических персональных данных), а также при наличии в информационной системе угроз, которые могут быть нейтрализованы только с помощью СКЗИ. Самая распространенная задача – защита информации при передаче по недоверенным каналам связи. В статье в качестве примера рассматривается подключение к Национальному координационному центру по компьютерным инцидентам (НКЦКИ) по защищенному каналу связи.

Средства криптографической защиты информации (СКЗИ) Классы защиты

СКЗИ сертифицируются ФСБ России по классам КС1, КС2, КС3, КВ и КА. Необходимый класс защиты определяется заказчиком (владельцем системы) на основе модели угроз – совокупности условий и факторов, создающих потенциальную или реальную опасность нарушения безопасности информации.

При этом детализированные требования к СКЗИ различных классов имеют ограничительную пометку «Для служебного пользования». Но существуют открытые документы, позволяющие получить общее представление о различных классах и их применении:

«Принципы разработки и модернизации шифровальных (криптографических) средств защиты информации», предложенные техническим комитетом по стандартизации «Криптографическая защита информации» (ТК 26);

Приказ Федеральной службы безопасности Российской Федерации №378 об обеспечении безопасности персональных данных.