ГОСТ Р 59712—2022
и) получения параметров сетевых настроек и информации о сетевой активности элементов ин
формационной инфраструктуры;
к) анализа сетевого трафика, циркулирующего между элементами информационной инфраструк
туры, а также другими функционирующими в сети Интернет ресурсами, в том числе зафиксированного в
момент возникновения компьютерного инцидента (при наличии такой возможности);
л) обнаружения компьютерных атак.
6.3 Локализация компьютерного инцидента
На этапе «локализация компьютерного инцидента» специалистами, входящими в состав рабочей
группы реагирования на компьютерный инцидент, должны выполняться действия, направленные на
ограничение функционирования элементов информационной инфраструктуры, вовлеченных в компью
терный инцидент, с целью предотвращения его дальнейшего распространения.
На рисунке 2 представлена схема организационного процесса этапа «локализация компьютерно
го инцидента».
Рисунок 2 — Схема организационного процесса этапа «локализация компьютерного инцидента»
К примерам возможных действий, которые могут выполняться при локализации компьютерных
инцидентов, можно отнести:
- применение блокировок (использование межсетевого экрана).
П р и м е ч а н и е — Блокировки с использованием межсетевых экранов используются для предотвраще
ния несанкционированного воздействия. Например, с использованием межсетевого экрана можно заблокиро
вать информационные потоки с IP-адресов, с которых распространяется вредоносное ПО, шпионское ПО, а так
же IP-адресов почтовых ретрансляторов, источников фишинга и спама. Почтовые блокировки включают в
себя фильтрацию вложений, строк темы и адреса отправителей. Для предотвращения доступа к неразрешенным
или вредоносным веб-сайтам или хостам (узлам) могут применяться блокировки URL-адресов и доменных имен;
- отключение (изоляция, исключение).
П р и м е ч а н и е— Отключение зараженного элемента информационной инфраструктуры (группы эле
ментов или информационного ресурса в целом) от локальной вычислительной сети может предотвратить зара
жение остальной части информационной инфраструктуры. Отключение зараженного элемента информационной
инфраструктуры (группы элементов или информационного ресурса в целом) от сети Интернет или любых других
7