4.7.16. Дії при спробах порушення безпеки

4.7.16.1. Повідомлення про інцидент – це процес, за допомогою якого певні аномальні події фіксуються в журналах і повідомляються адміністратору брандмауера. Необхідна політика, в якій визначалися б типи записів в журналах про особливі події і порядок дій при появі подібних записів. Це повинно бути погоджено із загальним порядком дій при інциденті з безпекою.

4.7.16.2. Брандмауер повинен конфігуруватися так, щоб створювалися щоденні, щотижневі і щомісячні звіти, для того щоб при необхідності можна було проаналізувати мережну активність.

4.7.16.3. Журнали брандмауера повинні аналізуватися щодня для виявлення слідів атак.

4.7.16.4. Адміністратор брандмауера повинен бути повідомлений у будь-який час про атаку за допомогою електронної пошти, телефону або інших засобів, для того щоб він міг відразу ж зробити необхідні контрзаходи.

4.7.16.5. Брандмауер повинен виявляти спроби сканування або зондування, щоб не ставалося витоку інформації, що захищається, за межі брандмауера. Аналогічним чином він повинен блокувати роботу всіх типів програм, які представляють загрозу безпеки мережі (таких як ActiveX і Java) для посилення безпеки мережі.

4.7.17. Відновлення сервісів

4.7.17.1. При виявленні факту проникнення, брандмауер повинен бути відключений і переконфігурований. Якщо необхідно відключити брандмауер, може знадобитися також відключитися від Інтернету або перейти на запасний брандмауер – внутрішні системи не повинні бути підключені до Інтернету напряму. Після переконфігурування брандмауер повинен бути включений знову в роботу. Потрібні правила відновлення брандмауера до робочого стану після проникнення.

4.7.18. Удосконалення брандмауера

4.7.18.1. Необхідно проводити оновлення програмного забезпечення брандмауера і його апаратної частини для того, щоб його продуктивність була оптимальною. Адміністратор брандмауера повинен бути обізнаний про всі апаратні і програмні помилки, а також про доробки програм, здійснюваних виробником брандмауера.

4.7.18.2. Для оптимізації продуктивності брандмауера слід виконувати всі рекомендації виробника відносно потужності процесора і об'єму оперативної пам'яті.

4.7.18.3. Адміністратор брандмауера повинен проводити оцінку можливостей кожної нової версії програмного забезпечення брандмауера на предмет необхідності установки доробок. Всі модифікації виконуваного коду (патчи), рекомендовані виробником брандмауера, повинні виконуватися оперативно .

4.7.18.4. Апаратні і програмні компоненти повинні бути отримані з джерел, рекомендованих виробником. Всі доробки специфічних програм брандмауера повинні бути отримані від самого виробника. Для отримання програм не повинен використовуватися NFS. Методами, що рекомендуються, є використовування CD-ROMа, перевіреного на віруси, або FTP-серверу на сайті виробника.

4.7.18.5. Адміністратор брандмауера повинен бути підписаний на список розсилки виробника брандмауера або іншим способом одержувати інформацію від виробника про всі необхідні доробки. Перед застосуванням доробки до брандмауера адміністратор повинен упевнитися у виробника, що доробка потрібна. Після доробки брандмауер повинен бути протестований на предмет правильності роботи перед початком експлуатації.