ГОСТ Р ИСО/МЭК 15408-2-2013
на группы данного профиля анализируется инструментальными средствами, чтобы сравнить ее с
шаблоном, представленным в профиле. Примерами целевых групп профиля являются:
a) учетная запись отдельного пользователя - один профиль для каждого пользователя;
b
) идентификатор группы или учетная запись группы - один профиль для всех пользовате
лей, которые имеют один и тот же идентификатор группы или работают, используя общую учетную
запись;
c) операционная роль - один профиль на всех пользователей, выполняющих данную опера
ционную роль;
d) система в целом - один профиль на всех пользователей системы.
Каждому члену целевой группы профиля присваивают
индивидуальный рейт инг
подозритель
ной активности, показывающий, насколько его деятельность соответствует шаблону использования
системы, установленному в профиле этой группы.
Сложность средств обнаружения отклонений в значительной степени будет определяться чис
лом целевых групп, предусмотренных в ПЗ/ЗБ, и сложностью метрики профиля.
При составлении ПЗ/ЗБ следует перечислить виды деятельности, которые следует отслежи
вать и анализировать с использованием ФБО. Автору ПЗ/ЗБ следует особо указать, какая информа
ция о деятельности пользователей необходима при составлении профилей использования системы.
FAU_SAA.2 «Выявление аномалии, основанное на профиле» содержит требование, чтобы ФБО
сопровождали профили использования системы. Под сопровождением понимается активное участие
детектора отклонений в обновлении профиля использования системы в соответствии с новыми дей
ствиями. выполняемыми членами целевой группы этого профиля. Важно, чтобы автором ПЗ/ЗБ была
определена метрика представления деятельности пользователя. Индивид может выполнять тысячи
различных действий, но детектор отклонений способен отобрать для контроля только некоторые из
них. Результаты аномальной деятельности интегрируются в профиль так же. как и результаты нор
мальной деятельности (при условии выполнения мониторинга этих действий). То, что считалось от
клонением четыре месяца назад, сегодня может стать нормой (и наоборот) из-за изменения условий
работы пользователей. ФБО не будут способны учесть изменение ситуации, если в алгоритмах об
новления профиля не отражена какая-либо аномальная деятельность пользователей.
Административные уведомления следует доводить до уполномоченного пользователя таким
образом, чтобы он понимал важность рейтинга подозрительной активности.
Автору ПЗ/ЗБ следует определить, как интерпретировать рейтинги подозрительной активности
и условия, при которых в случае аномального поведения нужно обращаться к механизму компонента
FAILARP.
190