ГОСТ Р ИСО/МЭК 27033-1—2011
роваться способом, обеспечивающим их целостность идоступность, например, с помощью носителей с
однократной записью и многократным считыванием, таких, например, как компакт-диски. Кроме того,
контрольные журналы должны содержать конфиденциальную информацию или информацию, пригод
нуюдля тех, кто может захотеть атаковать системучерез сетевые соединения, а обладание контрольны
ми журналами может предоставлять доказательство передачи данных по сети в случае возникновения
спора. Поэтому контрольные журналы особенно необходимы в контексте обеспечения целостности ин
формации и неотказуемости доступа к ней. Следовательно, все контрольные журналы должны быть
надлежащим образом защищены, включая утилизацию архивных компакт-дисков в установленные сро
ки. Контрольные журналы должны храниться безопасным образом в течение периода времени, соотве
тствующего требованиям конкретной организации и действующему законодательству. Также важно,
чтобы во всех контрольных журналах и связанных с ними серверах надлежащим образом учитывалась
временная синхронизация, например, путем использования NTP-лротоколов. особенно в целях рассле
дования и в случае возможного судебного преследования.
Следует подчеркнуть, что мониторинг сети должен проводиться способом, полностью согласу
ющимся с соответствующим национальным и международным законодательством и предписаниями, в
том числе и с законодательством по защите данных и регулированию следственных полномочий
(согласно которому все пользователи должны быть проинформированы о мониторинге до его прове
дения). В общих чертах мониторинг должен проводиться ответственно и не использоваться, напри
мер, для анализа поведения сотрудников в странах с жесткими нормами права, охраняющими
неприкосновенность частной жизни. Очевидно, что проводимые действия должны согласовываться с
политиками безопасности и секретности организации/сообщества, и быть установлены соотве
тствующие режиму процедуры и связанные с ними обязанности. Ведение сетевых контрольных жур
налов и мониторинг сети также должны проводиться безопасным с точки зрения права образом, с
учетом того, что данные контрольных журналов могут использоваться при уголовном или граждан
ском преследовании.
Большую часть мер и средств контроля и управления безопасностью по ведению контрольных
журналов и мониторингу, требующихся в отношении использования сетей исвязанных с ними информа
ционных систем, можно определить с помощью ИСО/МЭК 27002 и ИСО/МЭК 27005.
8.6 Обнаружение и предотвращение вторжений
С увеличением использования сетей злоумышленникам стало проще находить многочисленные
способы проникновения в информационные системы и сети организации или сообщества, маскировать
свои исходные точки доступа и получатьдоступ через сети и целевые внутренние информационные сис
темы. Кроме того, злоумышленники становятся все более изощренными, а в Интернете или в открытой
литературе легко доступны усовершенствованные методы и средства атак на информационные систе
мы. Действительно, многие из средств атаки на информационные системы являются автоматизирован
ными, могут быть очень эффективны и просты в использовании, включая применение их лицами с
ограниченным опытом проникновения в информационные системы.
Для большинства организаций экономически невозможно предотвратить все потенциальные про
никновения. Следовательно, существует вероятность осуществления некоторых проникновений в инфор
мационные системы организации. Риски, связанные с большинством проникновений в информационные
системы организации, должны рассматриваться через реализацию обоснованной идентификации и ау
тентификации. логического контроля доступа, мер и средств контроля и управления учетом и аудитом и,
если это оправдано, вместе с возможностями обнаружения и предотвращения вторжений. Такие возмож
ности обеспечиваютспособы прогнозирования вторжений, идентификации вторжений в режиме реально го
времени, соответствующего предупреждения об опасности ипредотвращения вторжений, а также дают
возможностьлокальногосбора информации, касающейся вторжений, последующего ееобобщения иана
лиза. а также анализа обычных моделей поведения/использования информационных систем организа
ции.
Система обнаружения вторжений «прослушивает» весь трафик во внутренних сетяхс целью опре
деления того, что предпринимается: попытка вторжения, вторжение происходит, вторжение уже прои
зошло и. возможно, осуществляется реагирование на вторжение и предупреждается об опасности
соответствующий персонал. Существуют два вида систем обнаружения вторжений:
26