ГОСТ Р ИСО/МЭК15408-2—2008
Требования аудита и приватности могут противоречитьдруг другу. При проведении аудита желательно знать,
кто выполнил действие. Пользователь гложет не пожелать предавать свои действия огласке, а также может не
захотеть, чтобы его идентифицировали другие лица (например, на сайте поиска работы). Требование защиты
идентификатора пользователя может также содержаться в политике безопасности организации. В таких случаях
цели аудита и сохранения приватности прямо противоположны друг другу. Поэтому, если при выполнении требо
ваний аудита необходимо сохранить приватность, в этом компоненте можно использовать псевдоним пользова
теля. Требования по определению подлинного имени пользователя по псевдониму содержатся в классе «При
ватность».
С.4 Анализ аудита безопасности (FAU
_
SAA)
С.4.1 Замечания по применению
Семейство FAU
_
SAA определяет требования для автоматизированных средств, которые анализируют по
казатели функционирования системы и данные аудита в целях поиска возможных или реальных нарушений
безопасности. Этот анализ может использоваться для поддержки как обнаружения вторжения, так и автомати
ческой реакции на ожидаемое нарушение безопасности.
Действия для выполнения ФБО при обнаружении ожидаемого или потенциального нарушения определя
ются в компонентах семейства FAU
_
ARP «Автоматическая реакция аудита безопасности».
Для анализа в режиме реального времени данные аудита могут преобразовываться не только в формат,
используемый для автоматической обработки, но также в формат, удобный для просмотра уполномоченными
пользователями.
С.4.2 FAU
_
SAA.1 Анализ потенциального нарушения
С.4.2.1 Замечания по применению для пользователя
Компонент FAU
_
SAA.1 используется для определения совокупности событий, потенциально подвергаемых
аудиту, появление которых (каждого отдельно или в совокупности) указывает на потенциальные нарушения ПБО. и
правил, применяемых для анализа этих нарушений.
С.4.2.2 Операции
С.4.2.2.1 Назначение
В FAU
_
SAA.1.2 автору ПЗ/ЗБ следует определить совокупность событий, потенциально подвергаемых ауди
ту. проявление которых (каждого в отдельности или совместно) будет указывать на возможные нарушения ПБО.
В FAU
_
SAA.1.2 автору ПЗ/ЗБ следует определить любые другие правила, которые ФБО следует использо
вать для анализа журнала аудита. Эти правила могут включать в себя конкретные требования, согласно которым
необходимо, чтобы в течение указанного периода времени (например, установленного времени суток, заданного
интервала времени) произошли определенные события. Если нет никаких дополнительных правил, которые
должны использовать ФБО при анализе журнала аудита, то данное назначение может быть выполнено
как «нет».
С.4.3 FAU
_
SAA
_
2 Выявление аномалии, основанное на профиле
С.4.3.1 Замечания по применению для пользователя
Профиль является структурой, характеризующей поведение пользователей и.’или субьектов; он описывает
различные способы взаимодействия пользователей/субъектов с ФБО. Шаблоны использования для пользовате-
лей/субъектов устанавливают по отношению к различным видам результатов их деятельности, включая, напри
мер. шаблоны возникновения исключительных ситуаций, шаблоны использования ресурсов (когда, каких, как),
шаблоны выполняемых действий. Метрики профиля ссылаются на способы, которыми различные виды деятель
ности отражаются в профиле (например, измерение использованных ресурсов, счетчики событий, таймеры).
Каждый профиль представляет собой ожидаемые шаблоны использования, выполняемые членами груп
пы. на которую он ориентирован (целевая группа профиля). Данный шаблон может основываться на предшеству
ющем использовании (шаблон предыстории) или на обычном использовании пользователями подобных целе
вых групп (ожидаемое поведение). Целевая группа профиля включает в себя одного или нескольких пользовате
лей. взаимодействующих с ФБО. Деятельность каждого члена группы данного профиля анализируется инструмен
тальными средствами, чтобы сравнить ее с шаблоном, представленным в профиле. Примерами целевых групп
профиля являются:
a) учетная запись отдельного пользователя — один профиль для каждого пользователя:
b
) идентификатор группы или учетная запись группы — один профиль для всех пользователей, которые
имеют один и тот же идентификатор группы или работают, используя общую учетную запись;
c) операционная роль — один профиль на всех пользователей, выполняющих данную операционную роль;
d) система в целом — один профиль на всех пользователей системы.
Каждому члену целевой группы профиля присваивают индивидуальный рейтинг подозрительной активнос
ти, показывающий, насколько его деятельность соответствует шаблону использования системы, установленному
в профиле этой группы.
Сложность средств обнаружения отклонений в значительной степени будет определяться числом целевых
групп, предусмотренных в ПЗ/ЗБ. и сложностью метрики профиля.
Данный компонент используют для определения как совокупности событий, потенциально подвергаемых
аудиту, появление которых (каждого в отдельности или вместе) указывает на возможные нарушения ПБО. так и
96