ГОСТ Р ИСО/МЭК 18028-1— 2008
Текущий мониторингдолжен охватывать:
- протоколы аудита межсетевых экранов, маршрутизаторов, серверов и т. д.;
- предупреждения/аварийные сигналы из протоколов аудита, предварительно конфигурированных
для уведомления об определенных типах событий, от межсетевых экранов, маршрутизаторов, серверов
и т. д.;
- выходные данные систем обнаружения атак;
- результаты деятельности сканирования сетевой безопасности;
- информацию о событиях и инцидентах, о которых сообщили пользователи и вспомогательный пер
сонал;
- результаты анализа соответствия безопасности.
События могли оказаться инцидентом безопасности, но были предотвращены, например «ненадле
жащий» вход в систему, или фактически вызвали инцидент, но были обнаружены, например распознава
ние пользователя, который совершил несанкционированное изменение базы данных.
Подчеркивается, что мониторинг сети должен проводиться способом, полностью согласующимся
с соответствующими национальным и международным законодательством и положениями. Это подразу
мевает законодательство по защите данных и для регламентирования действий следственных органов
(где по закону все пользователи должны быть проинформированы о мониторинге до его проведения). В
общих чертах мониторинг следует проводить ответственно и не использовать, например, для анализа
поведения сотрудников в странах с очень ограниченными нормами права, охраняющими неприкосновен
ность личнойжизни. Очевидно, что проводимыедействия необходимо согласовывать с политиками безо
пасности и неприкосновенности частной жизни организации и соответствующими процедурами. Протоколи
рование данных аудита и мониторинг сети также должны проводиться безопасным в правовом смысле
образом, если свидетельство из протокола аудита необходимо использовать при уголовном или граждан
ском преследовании.
Большую часть мер безопасности по протоколированию данных аудита и мониторингу сети, востре
бованных в отношении сетевых соединений и информационных систем, связанных с ними, можно опреде
лить с помощью ИСО/МЭК 17799.
13.8 Обнаружение вторжений
По мере увеличения количества сетевых соединений злоумышленникам стало проще;
- находить многочисленные способы проникновения в информационные системы и сети организации
или сообщества;
- маскировать свои исходные точки доступа;
- получатьдоступ через сети и внутренние информационные системы.
Кроме того, злоумышленники становятся более изощренными, а более усовершенствованные мето
ды и средства атак— легкодоступными вИнтернете или в открытой печати. Действительно, многие из этих
средств являются автоматизированными, могут бытьочень эффективными и простыми в использовании, в
том числедля лиц с ограниченным опытом.
Для большинства организаций экономически невозможно предотвратить все потенциальные проник
новения. Следовательно, велика вероятность осуществления каких-либо вторжений. Риски, связанные с
большинством этих вторжений, надлежит рассматривать через призму внедрения качественных иденти
фикации и аутентификации, логического контроля доступа, ведения учета и средства контроля аудита и,
если это оправдано, вместе со способностью обнаружения вторжения. Подобный подход обеспечивает
средства прогнозирования и идентификации вторжений в режиме реального времени и подачи соответ
ствующих тревожных сигналов. Он такжедает возможность локального сбора информации по вторжениям
и последующего ее обобщения и анализа, а также анализа обычных моделей поведения/использоваиия
информационных систем организации.
Во многих ситуациях сразу становится ясно, что происходит несанкционированное или нежелатель
ное событие. Это может быть незначительное ухудшение услуг по якобы неизвестным причинам, или не
ожиданное количество доступов в необычное время, или отказ в конкретных услугах. В
большинстве ситуаций важно как можно скорее узнать причину, масштаб и областьдействия вторжения.
Следует отметить, что эта система обнаружения вторичных атакявляется более совершенной мерой
обеспечения безопасности, чем средства и методы анализа протоколов аудита, изложенные в 13.7 и род
ственных пунктах ИСО/МЭК 17799. Более эффективные потенциальные возможности обнаружения втор
жения используют специальные постпроцессоры, которые предназначены для использования правил ав
томатического анализа прошедших действий, зарегистрированных в контрольных записях и других про-
45