Технические средства и системы выявления инцидентов иб

События от различных технических средств защиты являются важнейшим поставщиком информации о процессах, происходящих в СУИБ, о нарушениях, рисках. Большое развитие получили системы обнаружения вторжений (IDS), используемые для обнаружения сетевых атак и вредоносной активности, технологии предотвращения утечек из информационной системы вовне (DLP-системы), различного рода аппаратно-программные средства, контролирующие состояние сети, информационные потоки и действия пользователей. Современные тенденции развития средств обеспечения ИБ демонстрируют переход от узкоспециализированных программных продуктов к интегрированным и автоматизированным программно-аппаратным комплексам, решающим сразу несколько задач по обеспечению ИБ, что позволяет существенно повысить эффективность получения информации об инцидентах и состоянии системы ИБ в целом.

Основными задачами, решаемыми с помощью технических средств и систем выявления инцидентов ИБ, являются:

• осуществление централизованного сбора, обработки и анализа событий из множества распределенных гетерогенных источников событий;

• обнаружение в режиме реального времени атак, вторжений, нарушений политик безопасности;

• контроль за портами и устройствами ввода/вывода информации;

• мониторинг действий пользователей;

• предоставление инструментария для проведения расследований инцидентов ИБ, формирования доказательной базы по инциденту ИБ.

Анализ собранных данных включает исследование журналов работы различных систем, сообщений о событиях, просмотр состояния портов, свидетельств работы операционных систем, приложений, протоколов конфигурационных файлов, сообщений электронной почты и прикрепленных файлов, инсталлированных приложений и т.д., в результате чего подтверждается или опровергается факт возникновения инцидента ИБ.

В процессе анализа осуществляется структуризация и приоритизация инцидентов ИБ на основе определения степени критичности рассматриваемого ресурса и степени критичности воздействия на него, - так называемый эффект инцидента. Собранные данные подвергаются корреляции и выводятся на консоль работника подразделения ИБ.

На основании событий проводятся корректирующие действия, оценка текущей защищенности системы, эффективности функционирования СУИБ. Только обладая полным и достоверным набором событий, можно провести надлежащее расследование инцидентов, получить представление о состоянии системы ИБ. Важно, чтобы ни один инцидент ИБ не остался незамеченным, было проведено расследование, выявлены виновные и, самое главное, выполнены корректирующие и превентивные действия.

Реагирование на инциденты информационной безопасности

Тема реагирования на инциденты информационной безопасности (ИБ) и их расследования является сегодня одновременно и популярной, и самой щепетильной. Именно во время расследования и реагирования на инцидент проявляются конкретные уязвимости информационной системы, обнаруживаются следы атак и вторжений, проверяется работа защитных механизмов, качество архитектуры системы ИБ и ее управления.

Как правило, о возникновении инцидентов в системе информационной безопасности компании стараются не заявлять открыто, чтобы не дискредитировать себя и не давать дополнительное "оружие" конкурентам или криминальным структурам, которые в последнее время проявляют повышенный интерес к возможностям информационных технологий. В результате, хотя количество инцидентов ИБ постоянно растет, сведения о них, как правило, держатся в секрете, а мы узнаем лишь о тех немногочисленных инцидентах, информация о которых "просочилась" в прессу.

Оборотная сторона такой информационной непрозрачности - трудности при поиске специалистов, которые могли бы провести работы по расследованию компьютерных инцидентов или выстраиванию в компании процесса реагирования на инциденты. По понятным причинам исполнитель не может предоставить отзывы своих клиентов о произведенных работах такого рода. Вместе с тем проведение работ по расследованию инцидентов требует от исполнителя и заказчика очень высокого уровня взаимного доверия.

Вообще, существует целый ряд серьезных проблем в этой области: нет единого центра регистрации инцидентов, отстает законодательство, нет открытых методик и стандартов организации процесса реагирования и расследования инцидентов ИБ. Куда обращаться компании, потерпевшей убытки в результате злоумышленного компьютерного инцидента? Как можно подготовиться к такого рода событиям, какие существуют превентивные меры по предотвращению инцидентов?

За рубежом уже существуют стандарты, описывающие процесс реагирования на компьютерные инциденты. В первую очередь это стандарт NIST Special Publication 800-61 "Computer security incident handling guide". К слову, новая версия ISO 17799:2005 требует наличия процесса реагирования на инциденты (раздел 13 - "Information security incident management"). Попробуем коротко рассмотреть основные составляющие процесса реагирования на инцидент.

Организация процесса реагирования на инцидент преследует такие цели.

• Предупредить нескоординированные действия и в кратчайшие сроки восстановить работоспособность компании при возникновении инцидента.

• Подтвердить или опровергнуть факт инцидента ИБ.

• Представить детализированный отчет о произошедшем инциденте и полезные рекомендации. Создать условия для накопления и хранения точной информации о компьютерных инцидентах. Обеспечить быстрое обнаружение и/или предупреждение подобных инцидентов в будущем (путем анализа "прошедших уроков", изменения политики ИБ, модернизации системы ИБ и др.).

• Обеспечить сохранность и целостность доказательств произошедшего инцидента. Создать условия для возбуждения гражданского или уголовного дела против злоумышленника(-ов). Защитить частные права, установленные законом.

• Минимизировать нарушение порядка работы и повреждения данных ИТ-системы. Минимизировать последствия нарушения конфиденциальности, целостности и доступности ИТ-системы.

• Защитить репутацию компании и ее ресурсы.

• Провести обучение сотрудников компании о процессе реагирования на инцидент.