ГОСТ Р ИСО/МЭК 18028-1— 2008
вание одних и техжеданных аутентификации. Безопасное одноразовое предъявление пароля можетумень
шить риски подобных действий путем сокращения количества паролей, которые пользователь должен
запомнить. Наряду с уменьшением рисков можно повысить продуктивность работы пользователя, а рабо
чие нагрузки «справочного стола», связанные с повторной установкой паролей, могут быть уменьшены.
Однако следует отметить, что последствия сбоя системы безопасного одноразового предъявления
пароля могут быть серьезными, так как не одна, а много систем и приложений подвергнутся риску и будут
открыты для компрометации.
Следовательно, могут потребоваться механизмы идентификации и аутентификации мощнее обыч
ных. и они могут быть востребованы для исключения идентификации и аутентификации функций с высокой
степенью привилегированности (системный уровень) из режима безопасного одноразового предъявления
пароля.
13.7 Протоколирование данных аудита и мониторинг сети
Очень важно обеспечить эффективность сетевой безопасности посредством протоколирования дан
ных аудита и его текущего мониторинга с быстрым обнаружением и исследованием событий безопасности,
сообщением о них и реагированием на них. а затем на инциденты. Без этой деятельности нельзя
быть уверенным в постоянной эффективности мер безопасности и втом. что не будут происходить
инциденты безопасности с неблагоприятными воздействиями на бизнес-операции.
В протоколе аудита необходимо регистрироватьдостаточный объем информации о состояниях ошиб
ки и действительных событиях для осуществления тщательного анализа предполагаемых и фактических
инцидентов. Однако, признавая то.что протоколирование огромного объема информации,связанной с ауди
том. может затруднить управление анализом и повлиять на его продуктивность, со временем надо будет
соблюдать осторожность вотношении протоколируемой информации. Для сетевых соединений необходи
мо протоколировать данные аудита, включающие следующие типы событий:
-дистанционные неудавшиеся попытки входа в систему с датой и временем:
-события неудачной повторной аутентификации (или использования маркера):
- нарушения трафика через шлюзы безопасности;
-дистанционные попытки получения доступа кпротоколам аудита;
- предупреждения/аварийные сигналы для управления системой с последствиямидля безопасности
(например, дублирование IP-адреса, нарушения физической цепи).
В контексте сетей информация для протоколов аудитадолжна получаться от различных источников,
таких, как маршрутизаторы, межсетевые экраны, системы обнаружения атак, и должна передаваться на
центральный сервер аудита для объединения и тщательного анализа. Все протоколы аудита следует про
верять как в режиме реального времени, так и в автономном режиме. В режиме реального времени прото
колы аудита могут отображаться на экране прокрутки и быть использованными для предупреждения о
потенциальных атаках. Автономный анализ имеет большое значение, так как он позволяет определять
большую картину с помощью анализа тенденции. Первыми указаниями на атаку могут быть значительные
«следы» в протоколах межсетевых экранов, указывающие на зондирующую деятельность по отношению к
потенциальной цели. Системаобнаружения атак также может это обнаружить врежиме реального време ни
по отношению к сигнатуре атаки. Таким образом, подчеркивается, что для получения быстрых, специа
лизированных и понятных результатов надо бытьоченьосторожным при выборе правильного инструмента
рия анализа протокола аудита.
Контрольные записи необходимо сохранять в оперативном режиме на определенный период всоот
ветствии с потребностями организации и все контрольные записи необходимо дублировать и архивировать
способом, гарантирующим их целостность и доступность, например с помощью носителей с однократной
записью и многократным считыванием, таких, как компакт-диск. Кроме того, протоколы аудита содержат
секретную информацию или информацию по использованию для тех. кто может захотеть атаковать систе
мучерез сетевые соединения, и обладание протоколами аудита гложет предоставитьдоказательство пере
мещения по сети в случае возникновения спора, в силу чего эти протоколы являются особенно необходи
мыми в контексте обеспечения целостности и неотказуемости. Следовательно, все протоколы аудита дол
жны быть соответствующим образом защищены, включая случаи уничтожения архивированных компакт-
дисков в назначенный срок. Контрольные записидолжны храниться безопасным образом втечение пери
ода времени, соответствующего требованиям организации и национальному законодательству. Также важ
но. чтобы для всех контрольных записей и связанных с ними серверов надлежащим образом учитывалась
временная синхронизация, например при использовании протоколов NTP. особенно в ходе судебной экс
пертизы и при возможном судебном преследовании.
44