ГОСТ Р МЭК 62443-3-3—2016
информации из файлов регистрации аудита к механизмам анализа, таким как S1EM. В разделах 5, 6 и 9
представлены родственные SR. касающиеся создания, защиты и доступа к файлам регистрации
аудита.
10.3.3 Расширения требований
10.3.3.1 SR 6.1 RE 1— Программный доступ к файлам регистрации аудита
Система управления должна обеспечивать программный доступ к записям аудита посредством
интерфейса программирования приложений (API).
10.3.3.2 Пусто
10.3.4 Уровни безопасности
Далее приведены требования для уровней SL. относящихся к SR 6.1 — Доступность файлов ре
гистрации аудита:
- SL-C (TRE. система управления) 1: SR 6.1;
- SL-C (TRE. система управления) 2: SR 6.1;
- SL-C (TRE. система управления) 3: SR 6.1 (1),
- SL-C (TRE. система управления) 4: SR 6.1 (1).
10.4 SR 6.2 — Непрерывный мониторинг
10.4.1 Требование
Система управления должна обеспечивать возможность непрерывного мониторинга функциони
рования всех механизмов безопасности посредством общепринятыхпрактики рекомендаций индустрии
безопасности для оперативного обнаружения, описания и информирования о брешах в безопасности.
П р и м е ч а н и е — Время реагирования — вопрос частный и выходит за рамки настоящего стандарта.
10.4.2 Целесообразность и дополнительная методологическая основа
Возможность мониторинга системы управления может быть достигнута посредством самых раз
нообразных инструментов и технологий (например, систем IDS, IPS, механизмов защиты от вредонос
ного кода и механизмов мониторинга сети). Поскольку атаки становятся все более изощренными, эти
инструменты и технологии мониторинга также должны усложняться и включать в себя, например. IDS/
IPS на основе анализа поведения.
С точки зрения стратегии устройства мониторинга по возможности должны применяться внутри
системы управления (например, на определенных участках периметра и вблизи серверных ферм, под
держивающих критически важные приложения) для сбора жизненно важной информации. Механизмы
мониторинга могут быть применены и на нерегламентированных участках внутри системы управления
для отслеживания конкретных трансакций.
Мониторинг по возможности должен включать в себя использование подходящих механизмов от
четности для обеспечения своевременного реагирования на события. Для того, чтобы поддерживать
сфокусированность отчетности, а объем представляемой информации — на уровне, при котором она
может быть обработана получателями, обычно применяются такие механизмы, как SIEM. для соотнесе
ния отдельных событий с общими отчетами, предоставляющими более обширный контекст, в котором
произошли исходные события.
Кроме того, эти механизмы могут использоваться для отслеживания эффекта изменений в без
опасности системы управления (см. 6.10 SR 2.8 — События, подлежащие аудиту). Предварительная
установка инструментов экспертного анализа может помочь в анализе инцидентов.
10.4.4 Уровни безопасности
Далее приведены требования для уровней SL. относящихся к SR 6.2 — Непрерывный мониторинг:
- SL-C (TRE, система управления) 1: не определено;
- SL-C (TRE, система управления) 2: SR 6.2;
- SL-C (TRE. система управления) 3: SR 6.2;
- SL-C (TRE, система управления) 4: SR 6.2.
11 FR 7— Работоспособность идоступность ресурсов
11.1 Назначение и описания SL-C(RA)
Обеспечивать работоспособность и доступность системы управления в противовес ухудшению ее
функциональности или отказу в жизненно важных сервисах:
42