ГОСТ Р ИСО/МЭК 15408-2-2013
Действия для выполнения ФБО при обнаружении потенциального нарушения определяются в
компонентах семейства FAU_ARP «Автоматическая реакция аудита безопасности».
Для анализа в режиме реального времени данные аудита могут преобразовываться не только в
формат, используемый для автоматической обработки, но также и в формат, удобный для просмотра
уполномоченными пользователями.
С.4.2 FAU_SAA,1 Анализ потенциального нарушения
С.4.2.1 Замечания по применению для пользователя
Компонент FAU_SAA.1 используется для определения совокупности событий, потенциально
подвергаемых аудиту, появление которых (каждого отдельно или в совокупности) указывает на по
тенциальные нарушения выполнения ФТБ, и правил, применяемых для анализа этих нарушений.
С.4.2.2 Операции
С.4.2.2.1 Назначение
В FAU_SAA.1.2 автору ПЗ/ЗБ следует определить совокупность событий, потенциально подвер
гаемых аудиту, проявление которых (каждого в отдельности или совместно) будет указывать на воз
можные нарушения выполнения ФТБ.
В FAU_SAA.1.2 автору ПЗ/ЗБ следует определить любые другие правила, которые ФБО следу
ет использовать для анализа журнала аудита. Эти правила могут включать в себя конкретные требо
вания. согласно которым необходимо, чтобы в течение указанного периода времени (например, уста
новленного времени суток, заданного интервала времени) произошли определенные события. Если
нет никаких дополнительных правил, которые должны использовать ФБО при анализе журнала ауди
та, то данное назначение может быть выполнено как «нет».
С.4.3 FAU_SAA.2 Выявление аномалии, основанное на профиле
С.4.3.1 Замечания по применению для пользователя
Проф иль
является структурой, характеризующей поведение пользователей и/или субъектов: он
описывает различные способы взаимодействия пользователей/субъектов с ФБО. Шаблоны использо
вания для пользователей/субъектов устанавливаются по отношению к различным видам результатов
их деятельности, включая, например: шаблоны возникновения исключительных ситуаций; шаблоны
использования ресурсов (когда, каких, как); шаблоны выполняемых действий.
М ет рики проф иля
ссылаются на способы, которыми различные виды деятельности отражаются в профиле (например,
измерение использованных ресурсов, счетчики событий, таймеры).
Каждый профиль представляет собой ожидаемые шаблоны использования, выполняемые чле
нами группы, на которую он ориентирован (целевая
группа проф иля).
Этот шаблон может основы
ваться на предшествующем использовании (шаблон предыстории) или на обычном использовании
пользователями подобных целевых групп (ожидаемое поведение). Целевая группа профиля включает
в себя одного или нескольких пользователей, взаимодействующих с ФБО. Деятельность каждого чле-
189