3. Ознаки інциденту інформаційної безпеки

Припущення про те, що в організації стався інцидент інформаційної безпеки, має базуватися на трьох основних факторах:

• повідомлення про інцидент інформаційної безпеки надходять одночасно з декількох джерел (користувачі, IDS, журнальні файли);

• IDS сигналізують про багаторазове повторення подій;

• аналіз журнальних файлів автоматизованої системи дає підставу для висновку системним адміністраторам про можливість настання події інциденту.

В загальному випадку, ознаки інциденту поділяються на дві основні категорії, повідомлення про те, що інцидент відбувається в даний момент і повідомлення про те, що інцидент, можливо, відбудеться в недалекому майбутньому. Нижче перераховані деякі ознаки здійснюваної події:

• IDS фіксує переповнення буферу;

• повідомлення антивірусної програми;

• крах web-інтерфейсу;

• користувачі повідомляють про достатньо низьку швидкість при спробі виходу в Internet;

• системний адміністратор фіксує наявність файлів з підозрілими назвами;

• користувачі повідомляють про наявність у своїх поштових скриньках багатьох повторюваних повідомлень;

• хост вносить запис до журналу аудиту про зміну конфігурації;

• додаток фіксує в журнальному файлі множинні невдалі спроби авторизації;

• адміністратор мережі фіксує різке збільшення мережевого трафіку.

Прикладами подій, які можуть стати джерелами інформаційної безпеки можуть бути:

• журнальні файли сервера фіксують сканування портів;

• оголошення про появу нового виду експлойту;

• відкрита заява комп'ютерних злочинців про оголошення війни вашій організації та ін.

4. Аналіз інцидентів інформаційної безпеки

Інцидент не є очевидним відбувшимся фактом, навпаки, зловмисники намагаються зробити все, щоб не залишити в системі слідів своєї діяльності. Прийняття рішення про настання події інциденту багато в чому залежить від компетентності експертів команди реагування. Необхідно відрізняти випадкову помилку оператора від зловмисного цілеспрямованого впливу на інформаційну систему. Керівництво організацій повинно звернути увагу на цю обставину і надати експертам команди реагування відому свободу дій.

Складання діагностичних матриць служить для візуалізації результатів аналізу подій, що відбуваються в інформаційній системі. Матриця формується з рядків потенційних ознак інциденту та стовпців – типів інцидентів. Дається оцінка події за шкалою пріоритетів "високий", "середній", "низький". Діагностична матриця покликана документувати хід логічних висновків експертів в процесі прийняття рішення і, поряд з іншими документами, служить свідченням розслідування інциденту.

При аналізі інцидентів ІБ організація повинна виконати наступне:

• своєчасно ідентифікувати невдалі та успішні порушення безпеки і інциденти безпеки;

• допомогти у виявленні подій безпеки, таким чином запобігти інцидентам безпеки шляхом використання індикаторів.

Управління інцидентами інформаційної безпеки повинно включати наступні дії.

Повідомлення про події інформаційної безпеки. Ці повідомлення повинні якомога швидше відправлятися за належними управлінськими каналами.

Повідомлення про слабкості захисту. Необхідно зобов'язати всіх співробітників, підрядчиків і користувачів із сторонніх організацій, що використовують інформаційні системи та сервіси, відмічати і повідомляти про всі спостережувані або передбачувані слабкості захисту систем або сервісів.

Відповідальність і процедури. Повинна бути встановлена відповідальність керівництва та визначені процедури для забезпечення швидкого, ефективного і правильного реагування на інциденти інформаційної безпеки.

Навчання на інцидентах інформаційної безпеки. Повинні бути реалізовані механізми, що дозволяють виміряти та відстежувати типи, об'єми і вартість інцидентів інформаційної безпеки.

Збір доказів. Якщо дії, які в результаті інциденту інформаційної безпеки передбачається зробити щодо особи або організації, включають в себе, окрім інших, і правові, то необхідно зібрати, зберегти та надати докази, щоб виконати правила доказу, встановлені у відповідному правоохоронному органі (органах).