ГОСТ Р ИСО/МЭК 15408-2-2013
С.4.3.2 Операции
С.4.3.2.1 Выбор
В FAU_SAA.2.1 автору ПЗ/ЗБ следует определить целевую группу профиля. Один ПЗ/ЗБ может
включать в себя несколько целевых групп профиля.
В FAU_SAA.2.3 автору ПЗ/ЗБ следует определить условия, при которых ФБО сообщают об
аномальном поведении. Условия могут включать в себя достижение рейтингом подозрительной ак
тивности некоторого значения или основываться на определенном виде аномального поведения.
С.4.4 FAU_SAA.3 Простая эвристика атаки
С.4.4.1 Замечания по применению для пользователя
На практике случай, когда средства анализа могут точно предсказать ожидаемое нарушение
безопасности, является редкой удачей. Тем не менее, существуют некоторые системные события,
важные настолько, что всегда заслуживают отдельного отслеживания. Примерами таких событий яв
ляются удаление файла с ключевыми данными безопасности ФБО (например, файла паролей) или
попытка удаленного пользователя получить административные привилегии. Такие события называют
характерными,
поскольку они, в отличие от остальных событий, свидетельствуют о попытках втор
жения в систему.
Сложность средств анализа в значительной степени будет зависеть от назначений, сделанных
автором ПЗ/ЗБ при определении базового множества
характ ерных событий.
В ПЗ/ЗБ следует перечислить события, отслеживаемые ФБО с целью их анализа. Автору ПЗ/ЗБ
следует указать, на основании какой информации о событии его следует отнести к характерным.
Административные уведомления следует доводить до уполномоченного пользователя таким
образом, чтобы он понимал значение этих событий и приемлемую реакцию на них.
При спецификации этих требований предусмотрена возможность привлечения иных источников
данных, кроме данных аудита, для мониторинга системы. Это было сделано с целью расширения
привлекаемых методов обнаружения вторжения, которые при анализе показателей функционирова
ния системы используют не только данные аудита (примерами других типов источников данных яв
ляются параметры сетевых дейтаграмм, данные о ресурсах/учете или комбинации различных сис
темных данных).
Элементы FAU_SAA.3 «Простая эвристика атаки» не требуют, чтобы реализация эвристик рас
познавания прямой атаки осуществлялась теми же самыми ФБО. выполнение которых подлежит мо
ниторингу. Поэтому компоненты, применяемые для обнаружения вторжения, можно разрабатывать
независимо от системы, показатели функционирования которой подлежит анализу.
191