43.Протоколирование и аудит в информационных системах. Ошибки первого и второго рода.

Протоколирование - сбор и накопл-е инф-и о событиях, происход-их в инф-ой сис-ме. У каждого сервиса свой набор возм-х событий, но их мож. раздел. на внешн. (вызванные действиями др. сервисов), внутрен. (вызванные действиями самого сервиса) и клиентские (вызванные действиями пользователей и администраторов).

Аудит – анализ накопл-ой инф-и, проводимый оперативно, в реальном времени или периодически (раз в день). Оперативный аудит с автоматическим реагиров-ем на выявл-ые нештатные ситуации назыв-ся активным.

Задачи протокол-ия и аудита: 1)обесп-ие подотчетности пользов-лей и администр-ров;2) обесп-е возм-ти реконструкции последоват-ти событий;3) обнаружение попыток наруш-й И.Б.;4) предоставл-е инф-и для выявл-я и анализа проблем.

При протоколировании события рекомендуется записывать, по крайней мере, следующую информацию: 1)дата и время события; 2)уникальный идентификатор пользователя – инициатора действия; 3)тип события; 4)результат действия (успех или неудача); 4)источник запроса; 5)имена затронутых объектов (например, открываемых или удаляемых файлов); 6)описание изменений, внесенных в базы данных защиты (например, новая метка безопасности объекта).

Обычный аудит позволяет выявить подобные попытки с опозданием, но и это оказывается полезным. Обнаружение попыток нарушений И.Б. – функция активного аудита. Под подозрительной активностью поним-ся поведение пользов-ля или компонента инф-ой сис-мы, являющееся злоумышленным (в соответствии с заранее определенной политикой безопасности) или нетипичным (согласно принятым критериям). Задача активного аудита – оперативно выявлять подозрительную активность и предоставлять ср-ва для автоматического реагирования на нее. Сигнатура атаки – это совокупность условий, при выполнении которых атака считается имеющей место, что вызывает заранее определенную реакцию. Простейший пример сигнатуры – "зафиксированы три последовательные неудачные попытки входа в систему с одного терминала", пример ассоциированной реакции – блокирование терминала до прояснения ситуации. Нетипичное поведение выявляется статистическими методами. В простейшем случае применяют систему порогов, превышение которых является подозрительным. Применительно к средствам активного аудита различают ошибки первого и второго рода: пропуск атак и ложные тревоги, соответственно. Нежелательность ошибок первого рода очевидна; ошибки второго рода не менее неприятны, поскольку отвлекают администратора безопасности от действительно важных дел, косвенно способствуя пропуску атак. Достоинства сигнатурного метода – высокая производительность, малое число ошибок второго рода, обоснованность решений. Основной недостаток – неумение обнаруживать неизвестные атаки и вариации известных атак. Основные достоинства статистического подхода – универсальность и обоснованность решений, потенциальная способность обнаруживать неизвестные атаки, то есть минимизация числа ошибок первого рода. Минусы заключаются в относительно высокой доле ошибок второго рода, плохой работе в случае, когда неправомерное поведение является типичным, когда типичное поведение плавно меняется от легального к неправомерному.