ГОСТ Р ИСО/МЭК 17799—2005
Для обнаружения отклонения от требований политики контроля доступа и регистрации событий и
обеспечения доказательства на случай выявления инцидентов нарушения информационной безопас
ности необходимо проводить мониторинг системы.
Мониторингсистемы позволяет проверять эффективность применяемых мероприятий пообеспе
чению информационнойбезопасности иподтверждатьсоответствиемодели политикидоступа требова
ниям бизнеса (9.1).
9.7.1 Регистрация событий
Для записи инцидентов нарушения информационной безопасности и других связанныхс безопас
ностьюсобытийследуетсоздаватьжурналы аудита ихранитьихв течение согласованногопериода вре
мени с целью содействия в проведении будущих расследований и мониторинге управления доступом.
Необходимо, чтобы записи аудита включали:
- ID пользователей;
- даты и время входа и выхода:
- идентификатор терминала или его местоположение, если возможно;
- записи успешных и отклоненных попыток доступа к системе;
- записи успешных и отклоненных попыток доступа к данным и другим ресурсам. Может потребо
ваться, чтобы определенные записи аудита были заархивированы для использования их при анализе и
расследованиях инцидентов нарушения информационной безопасности, а также в интересах других
целей (раздел 12).
9.7.2 Мониторинг использования систем
9.7.2.1 Процедуры и области риска
Для обеспеченияуверенности в том, что пользователи выполняюттолько те действия, на которые
они были явно авторизованы, необходимо определить процедуры мониторинга использования средств
обработки информации. Уровень мониторинга конкретных средств обработки информации следует
определять на основе оценки рисков. При мониторинге следует обращать внимание на:
а) авторизованный доступ, включая следующие детали:
1) пользовательский ID;
2) даты и время основных событий;
3) типы событий;
4) файлы, к которым был осуществлен доступ;
5) используемые программы/утилиты;
б) все привилегированные действия, такие как:
1) использование учетной записи супервизора;
2) запуск и останов системы;
3) подсоединение/отсоединение устройства ввода/вывода:
в) попытки неавторизованного доступа, такие как:
1) неудавшиеся попытки;
2) нарушения политики доступа и уведомления сетевых шлюзов и межсетевых экранов;
3) предупреждения от собственных систем обнаружения вторжения;
г) предупреждения или отказы системы, такие как:
1) консольные (терминальные) предупреждения или сообщения:
2) исключения, записанные в системные журналы регистрации;
3) предупредительные сигналы, связанные с управлением сетью.
97.2.2 Факторы риска
Результаты мониторинга следует регулярно анализировать. Периодичность анализов должна
зависетьот результатовоценкириска. Факторы риска, которыенеобходимопри этомучитывать, включа
ют:
- критичность процессов, которые поддерживаются бизнес-приложениями;
- стоимость, важность или критичность информации;
- анализ предшествующих случаев проникновения и неправильного использования системы;
- степень взаимосвязи информационных систем организации сдругими (особенно с общедоступ
ными) сетями.
9.7.2.3 Регистрация и анализ событий
Анализ (просмотр) журнала аудита подразумевает понимание угроз, которым подвержена систе
ма, и причин их возникновения. Примеры событий, которые могли бы потребоватьдальнейшего иссле
дования в случае инцидентов нарушения информационной безопасности, приведены в 9.7.1.
Системные журналы аудита часто содержат информацию, значительный объем которой не пред
ставляет интереса с точки зрения мониторинга безопасности. Для облегчения идентификации
37