1. Применение

• Проверка подлинности пользователя при входе в систему;

• назначение ролей и ограничение доступа в соответствии с должностными функциями;

• контроль всех действий через журналы регистрации;

• использование записей аудита для расследований, предотвращения нарушений и анализа подозрительных активностей.

5. Аналитика и отчетность

   1. Цель

Обеспечение мониторинга состояния информационной безопасности, контроля эффективности реагирования на инциденты, выполнения установленных нормативов и предоставления руководству агрегированной управленческой информации.

Цель включает анализ тенденций угроз, динамики инцидентов и оценку работы специалистов и автоматизированных процессов.

2. Методы и инструменты

• Использование встроенной функциональности подсистемы работы с документами и аналитики АСУ «Бустсейв»;

• формирование аналитических сводок, статистики и дашбордов, основанных на данных мониторинга, реагирования и хранения;

• обработка данных об инцидентах, результатах реагирования, тенденциях угроз и качестве работы подсистем;

• построение KPI и статистических показателей, включая количество инцидентов и эффективность реагирования;

• сохранение отчетных данных для долгосрочного анализа, аудита и расследований.

1. Применение

• Формирование автоматических и пользовательских отчётов для подразделений ИБ и ИТ;

• предоставление руководству агрегированной информации о состоянии защищённости и динамике угроз;

• хранение аналитических данных в архиве для проведения аудита, расследований и оптимизации сценариев реагирования;

• обеспечение визуализации ключевых показателей и статистики для принятия управленческих решений.

2. Разработка алгоритма решения задачи

   1. Цель алгоритма

Цель алгоритма – обеспечить автоматизированное выявление, регистрацию, обработку и документирование инцидентов информационной безопасности в рамках функционирования АСУ «Бустсейв».

Алгоритм определяет последовательность действий и порядок взаимодействия перечисленных подсистем на всех этапах жизненного цикла инцидента – от получения события до формирования итоговой отчётности и архивирования данных.

2. Общий принцип работы алгоритма

Шаг 1. Сбор событий:

1. Источники событий: серверы, сетевое оборудование, рабочие станции, прикладные сервисы, средства защиты информации.

2. События поступают в базовую подсистему, где выполняется их приём, предварительная обработка и приведение к единому формату.

Шаг 2. Анализ и определение значимости событий:

1. Базовая подсистема сопоставляет поступившие записи, определяет взаимосвязи и выявляет отклонения от нормального поведения.

2. На основе предопределённых шаблонов, размещённых в подсистеме шаблонов, система определяет потенциальные инциденты.

3. Для каждого обнаруженного события фиксируются характеристики: важность, тип угрозы, предполагаемый источник возникновения.

Шаг 3. Формирование инцидента:

1. События, относящиеся к одной угрозе, объединяются в единый инцидент.

2. Инцидент регистрируется в подсистеме хранения данных, где ему присваивается уникальный идентификатор.

3. Базовая подсистема назначает обработчика либо запускает сценарий обработки, связанный с выбранным шаблоном.

Шаг 4. Выполнение сценария обработки:

1. На основе выбранного шаблона подсистема шаблонов инициирует предопределённую последовательность действий.

2. Возможные автоматические действия:

• блокировка атакующих IP-адресов или сетевых соединений;

• изоляция скомпрометированных устройств;

• приостановка подозрительной активности;

• уведомление специалистов SOC и администраторов безопасности.

Шаг 5. Контроль выполнения и фиксация:

1. Система отслеживает выполнение сценария, обновляя статус («в работе», «обработан», «устранён», «ошибка»).

2. Все действия автоматически фиксируются в журналах подсистемы хранения данных.

3. При необходимости инцидент передаётся на ручную обработку специалистам SOC.

Шаг 6. Формирование отчётности:

1. Подсистема работы с документами получает сведения о ходе обработки инцидента и формирует отчётные материалы.

2. Документы включают показатели эффективности, временные параметры, перечень выполненных действий и итоговое состояние инцидента.

3. Отчёты могут направляться заинтересованным подразделениям или использоваться в аналитике.

Шаг 7. Завершение и архивирование:

1. Инцидент получает финальный статус («устранён», «обработан», «отклонён», «ложное срабатывание»).

2. Все сведения архивируются в подсистеме хранения данных для последующего анализа, оценки эффективности и аудита.

3. Система обновляет статистику и корректирует правила корреляции на основе накопленной информации.

Алгоритм представлен на рисунке 1.

Рисунок 1 – Алгоритм работы АСУ «Бустсейв»