ГОСТ Р 59712—2022
П р и м е ч а н и е — Карточки закрытых компьютерных инцидентов могут использоваться в качестве типовых
шаблонов действий по реагированию на аналогичные компьютерные инциденты в организации с целью формиро
вания базы знаний, доступной специалистам, входящим в состав рабочих групп реагирования на компьютерные
инциденты при работе с новыми компьютерными инцидентами.
7 Фиксация материалов, связанных с возникновением компьютерных
инцидентов, и установление причин и условий их возникновения
7.1 Фиксация материалов, связанных с возникновением компьютерных инцидентов
Состав материалов, связанных с возникновением компьютерных инцидентов (цифровых свиде
тельств), подлежащих фиксации, зависит от типа компьютерного инцидента и его последствий.
В рамках реагирования на компьютерные инциденты могут фиксироваться следующие материа
лы, связанные с возникновением компьютерных инцидентов (цифровые свидетельства):
- электронные образы штатных машинных носителей информации средств вычислительной тех
ники и/или съемных машинных носителей информации;
- содержимое рабочей памяти (дамп) процесса, ядра ОС или ОС в целом;
- сетевой трафик, циркулирующий между вовлеченными в компьютерный инцидент элементами
информационной инфраструктуры, а также между этими элементами и элементами других функциони
рующих в сети Интернет ресурсов;
- образцы вредоносного ПО;
- отдельные файлы, такие как журналы регистрации событий безопасности, файлы реестра ОС,
системные и пользовательские файлы;
- сообщения электронной почты;
- снимки состояния виртуальных машин.
7.2 Установление причин и условий возникновения компьютерных инцидентов
Деятельность по установлению причин и условий возникновения компьютерных инцидентов на
правлена на определение факторов, обусловивших возможность возникновения компьютерного инци
дента и/или способствовавших его возникновению.
Существуют различные виды анализа зафиксированных материалов, связанных с возникновени
ем компьютерных инцидентов (цифровых свидетельств), которые могут быть выполнены для установ
ления причин и условий их возникновения. К таким видам относятся:
- анализ действий пользователей.
П р и м е ч а н и е — Анализ действий пользователей является процессом изучения сведений, задокументи
рованных в ходе опроса лица, взаимодействующего с элементом информационной инфраструктуры, вовлеченным в
компьютерный инцидент в момент его возникновения.
К сведениям, подлежащим изучению в ходе анализа действий пользователей, относятся:
- действия пользователей, которые выполнялись до и во время регистрации компьютерного инцидента (на
пример, посещение веб-сайта, открытие сообщения электронной почты, открытие электронного документа, под
ключение носителя информации и другие);
- сведения об игнорировании пользователем появляющихся сообщений ОС, средств защиты информации и
прикладного ПО (например, о необходимости выполнить обновление ОС, ее перезагрузку, о выявленном потенци
ально вредоносном файле);
- анализ ОС элемента информационной инфраструктуры.
П р и м е ч а н и е — Анализ ОС элемента информационной инфраструктуры является процессом изучения
событий безопасности ОС, средств защиты информации и прикладного ПО, которые регистрировались до и во
время возникновения компьютерного инцидента.
К сведениям, подлежащим изучению в ходе анализа ОС элемента информационной инфраструктуры,
относятся:
- журналы (протоколы) регистрации событий безопасности ОС, средств защиты информации и прикладного
ПО;
- информация о запущенных программных процессах;
- информация об установленных сетевых сессиях и открытых сетевых портах;
- реестр ОС (при наличии);
11