ГОСТ Р ИСО/МЭК 27033-1—2011
ком «ключей от царства»). Следовательно, могут потребоваться более мощные по сравнению с обычны ми
механизмы идентификации и аутентификации, что желательно для исключения идентификации и
аутентификации в смысле функций с высокой степенью привилегированности (системный уровень) из ре
жима безопасного одноразового предъявления пароля.
8.5 Ведение контрольных журналов и мониторинг сети
Очень важно обеспечиватьэффективностьсетевой безопасности посредством ведения контроль
ных журналов и постоянного мониторинга с быстрым обнаружением, исследованием событий безопас
ности и оповещением и реагированием на них. а затем — на инциденты. Без ведения контрольных
журналов и постоянного мониторинга нельзя быть уверенным в постоянной эффективности мер
и средств контроля и управления сетевой безопасностью, а также в том, что не будут происходить
инци денты безопасности с результирующими неблагоприятными воздействиями на операции
основной деятельности организации.
В контрольныхжурналахдолжно фиксироваться достаточное количество информации об аварий
ных состояниях и действительных событиях с тем, чтобы можно было осуществлять тщательный ана
лиз предполагаемых и фактических инцидентов. Однако признавая, что фиксирование огромного
объема информации, связанной с сетевыми событиями, может затруднить управление анализом и
по влиять на его продуктивность, со временем следует обращать внимание на то, что фиксируется на
са мом деле. Для сетей необходимо поддерживать контрольныежурналы, фиксирующие следующие
виды событий:
- неудавшиеся попытки входа в систему с указанием даты и времени;
- неудачной повторной аутентификации (или использования маркера);
- нарушения трафика через шлюзы безопасности;
- дистанционные попытки получения доступа к контрольным журналам сетевых событий:
- предупреждения об опасности или аварийные сообщения системы управления с последствиями
для безопасности (например, дублирование IP-адреса, нарушения физической цепи).
В контексте сетей информация для контрольных журналов должна быть получена из различных
источников, таких, например, как маршрутизаторы, межсетевые экраны, системы обнаружения вторже
ний, и передана на центральный сервер регистрациидля объединения и тщательного анализа. Все кон
трольные журналы должны изучаться как в режиме реального времени, так и в автономном режиме. В
режиме реального времени регистрационные записи могут быть отображены на экране в режиме про
крутки и использованы для предупреждения о потенциальных атаках. Автономный анализ является
важным, поскольку он позволяет определять общую картину с помощью анализа тенденции. Первыми
признаками атаки на сеть могут быть значительные «следы» в журналах межсетевых экранов, указыва
ющие на действие по зондированию потенциальной цели. Система обнаружения вторжений может
также обнаруживать это в реальном времени по сигнатуре атаки.
Следует подчеркнуть, что в аналитических и исследовательских целях должны использоваться со
ответствующие утвержденные программные средства анализа и менеджмента контрольных журналов
для хранения и восстановления журналов, прослеживаемости и отчетности по контрольным журналам (в
отношении конкретных пользователей, приложений и видов информации, а также временного периода,
особенно если это необходимо в исследовательских целях) с быстрыми, сфокусированными и легко по
нятными результатами. Отчеты об анализе контрольных журналовдолжны архивироваться ихраниться в
безопасном месте в течение установленного периода времени. Кроме того, для самих контрольных жур
налов должна обеспечиваться защита в виде идентификации, аутентификации и управления доступом.
Постоянный мониторинг должен охватывать:
- контрольные журналы межсетевых экранов, маршрутизаторов, серверов и т. д.;
- предупреждения об опасности или аварийные сообщения из контрольных журналов, заранее
сконфигурированные для уведомления об определенных видах событий, например, от межсетевых эк
ранов. маршрутизаторов, серверов и т. д.;
- выходные данные систем обнаружения вторжений;
- результаты деятельностей по сканированию сетевой безопасности;
- информацию о событиях и инцидентах, о которых сообщили пользователи, и вспомогательный
персонал;
- результаты проверок соответствия безопасности.
Контрольные журналы должны быть доступны в режиме on-line в течение периода времени, соот
ветствующего потребностям организации, и все контрольные журналы должныдублироваться иархиви-
25