2.3. Синтез удосконаленої системи управління інцидентами інформаційної безпеки nau-cert
Після удосконалення СУІІБ структурна схема набуде такого вигляду (рис.2.2) і буде містити такі компоненти:
Рис.
2.2. Структурна схема СУІІБ НАУ
поштовий сервер НАУ (Zimbra), призначений для отримання та зберігання даних;
модуль виявлення атак, що виконує аналіз даних, зібраних поштовим сервером, з метою виявлення інформаційних атак;
модуль категоризації виявлення атак – це модуль, який аналізує та категоризує повідомлення, які надходять на поштовий сервер та записує дані у модуль зберігання даних;
модуль реагування потрібний для реакції на дані про виявлені атаки;
модуль зберігання даних, в якому знаходиться інформація щодо моделі та конфігурації мережі та результати роботи засобів виявлення атак;
модуль управління – за допомогою цього модуля відбувається управління даними, які надійшли, які були отримали в результаті обробки атак СУІІБ.
мережа НАУ – компонент СУІІБ до якого входить вся ІКС університету.
Поштовий сервер «Zimbra» призначений для збору інформації про всі пакети даних, котрі передаються в рамках ІКС НАУ. На вузлах системи та серверах програмний модуль збирає інформацію щодо всіх подій, які відбуваються на цих вузлах системи і категоризує її за певними ключовими словами по групам.
Інформація, зібрана програмним модулем категоризації поступає у модуль виявлення атак, де вона обробляється з метою виявлення подій, пов’язаних з порушеннями ІБ.
Після виявлення атаки, дані обробляються модулем категоризації атак. Програмне середовище автоматично категоризує повідомлення і потім система має можливість почати певні відповідні дії, за реалізацію яких відповідає модуль реагування. Модуль реагування може використовувати як пасивні, так і активні методи реагування. До пасивних методів відноситься оповіщення адміністратора безпеки про виявлені атаки, які не несуть загрози для університету, а до активних – виконання дій, спрямованих на блокування виявленої атаки.
Результати роботи записуються у сховище системи, у якості якого може виступати звичайний текстовий файл або реляційна система управління базами даних. Для зберігання звіту використовують такі системні додатки як, MS Word, Excel тощо.
Управління компонентами системи виявлення атак може виконуватися віддаленим або локальним способом залежно від використання тієї або іншої системи. Локальне управління здійснюється безпосередньо з того вузла, на якому встановлено компонент системи виявлення атак, а віддалене – за допомогою команд, що посилаються каналами зв’язку через один або кілька проміжних серверів.
Впровадження підсистеми інцидентів реалізованої у відповідності до побудованої СУІІБ НАУ дозволяє отримати наступні переваги: вдосконалення системи за рахунок впровадження програмного модуля, який буде використовуватися для моніторингу та класифікації інцидентів ІБ, а це в свою чергу підвищить продуктивність системи; поліпшить роботу команди реагування на інциденти ІБ та удосконалить управління якістю обслуговування; виключення втрат і некоректного обліку інцидентів і запитів.
Після підвищення рівня захищеності ІКС НАУ за рахунок удосконалення СУІІБ шляхом розробки програмного модуля категоризації інцидентів ІБ, робота команди реагування на інциденти ІБ стає більш автоматизованою і дозволяє ефективніше і ціленаправленіше реагувати на інциденти ІБ, що відбуваються в мережі студмістечка та університету. Також, програмний модуль має важливу функцію – виведення статистики подій та інцидентів, які відбуваються в ІКС НАУ. Дана функція в роботі команди реагування на інциденти ІБ NAU-CERT відіграє важливу роль. Експерти мають можливість проглядати частоту появи інцидентів в ІКС НАУ і тим самим акцентувати увагу на інцидентах, які проявляються частіше всього та виконувати певні заходи щодо запобігання появи рецидиву.
Для команди реагування на інциденти ІБ NAU-CERT зручним є те, що програмний модуль автоматично виконує сортування інцидентів та подій ІБ по категоріям і тим самим заощаджує час на формування звітів та виведення статистики щодо виявлених атак.
Всі дані про інциденти ІБ та його статистика зберігається в базі даних СУІІБ НАУ і тому, адміністратор NAU-CERT в любий час має можливість проглянути статистику появи кожного з інцидентів за різними параметрами формування статистики.