ГОСТ Р ИСО/МЭК 27033-1—2011
- NIDS — система, осуществляющая контроль пакетов в сети и пытающаяся обнаружить злоу
мышленника посредством сопоставления модели атаки с базой данных известных моделей атак;
- HIDS — система, осуществляющая контрольдеятельности на серверах путем мониторинга жур
налов регистрации событий безопасности или проверки на предмет изменений в системе, таких, напри
мер, как изменения в критических файлах системы или реестре систем.
Система предотвращения вторжений проверяет весь трафик перед его переходом во внутренние
сети и автоматически блокирует все распознанные атаки; другими словами, система предупреждения
вторжений специально предназначена для обеспечения возможности активного реагирования.
Подробная информация об обнаружении и предупреждении вторжений представлена в
ИСО/МЭК 18043.
8.7 Защита от вредоносных программ
Вредоносные программы (вирусы, черви, троянские кони, шпионские программные средства и
т. д.. которые часто обозначают общим термином «вредоносные программные средства») могут быть
введены через сетевые соединения. Конкретная вредоносная программа может заставить компьютер
выполнять несанкционированные функции (например, «бомбардировать» указанную цель сообщения
ми в указанное число ивремя) илифактически уничтожить важные ресурсы (например, удалитьфайлы).
Будучи продублированной, вредоносная программа пытается обнаружить другие уязвимые серверы.
Вредоносная программа не может быть обнаружена до нанесения ей ущерба, если только не применя
ются специальные меры и средства контроля и управления. Вредоносная программа может привести к
компрометации мер и средств контроля и управления безопасностью (например, к захвату и раскрытию
паролей), непреднамеренному раскрытию информации, непреднамеренным ее изменениям, уничтоже
нию информации и (или) несанкционированному использованию ресурсов системы.
Некоторые формы вредоносной программы могут обнаруживаться и удаляться специальным ска
нирующим программным средством. Для некоторых видов вредоносной программы существуют скане
ры для межсетевых экранов, файловых серверов, почтовых серверов. ПК/рабочих станций. Кроме того,
для создания возможности обнаружения новой вредоносной программы очень важно обеспечитьпосто
янное соответствие сканирующих программных средств уровню современных требований, желательно
посредством проведения ежедневных обновлений. Однако пользователи и администраторы должны
осознавать, что не следует рассчитывать на то, что сканеры обнаружат все вредоносные программы
(или даже все вредоносные программы конкретного вида), поскольку постояннопоявляются новые фор
мы вредоносных программ. Обычно для усиления защиты, обеспечиваемой сканерами (при наличии),
требуются другие меры и средства управления и контроля.
Основной задачей программных средств защиты от вредоносной программы является сканирова
ние данных и программ с целью идентификации подозрительных моделей, связанных с вредоносным
программным средством. Библиотека сканируемых моделей, известных как «сигнатуры», должна об
новляться через определенные промежутки времени или каждый раз, когда становятся доступными но
вые сигнатурыдля предупрежденияо вредоносном программном средстве с высокой степенью риска. В
контексте удаленногодоступа программное средство защиты от вредоносной программы должно рабо
тать на удаленных системах, а также на серверах центральной системы — особенно на серверах
операционной системы Windows и электронной почты.
Сетевые пользователи и администраторы должны осознавать, что при взаимодействии с внешни
ми сторонами по внешним каналам связи существуют риски более значительные по сравнению с обыч
ными. связанные с вредоносным программным средством. Должны быть разработаны рекомендации
для пользователей и администраторов, определяющие процедуры и практические приемы сведения
к минимуму возможности внедрения вредоносной программы.
Пользователи и администраторы должны особо позаботиться о конфигурировании систем и при
ложений, связанных с сетевыми соединениями с тем. чтобы блокировать функции, не являющиеся не
обходимыми при данных обстоятельствах. (Например, приложения ПК могут конфигурироваться так,
чтобы макрокоманды блокировались по умолчанию или требовали подтверждения пользователя перед
выполнением макрокоманд).
Более подробная информация о защите от вредоносных программ представлена в
ИСО/МЭК 27002 и ИСО/МЭК 27005.
П р и м е ч а н и е — В ИСО/МЭК 11889 представлена технология, широко применяемая в клиентских и сер
верных системах, которая может быть использована для обнаружения и изолирования программ вредоносного или
неизвестного происхождения.
27