ГОСТ Р 59712—2022
П р и м е ч а н и е — Понятие «признак возможного возникновения компьютерных инцидентов» применя
ют в связи с тем, что средства управления событиями информационной безопасности фиксируют возникнове
ние ситуации, которая может свидетельствовать о возникновении компьютерного инцидента, а не сам факт его
возникновения.
5.2.1 Регистрация признаков возможного возникновения компьютерных инцидентов авто
матизированным способом
Регистрация признаков возможного возникновения компьютерных инцидентов автоматизирован
ным способом осуществляется с использованием средства управления событиями информационной
безопасности на основе правил регистрации признаков возможного возникновения компьютерных ин
цидентов.
Правила регистрации признаков возможного возникновения компьютерных инцидентов должны
позволять реализовать один или совокупность следующих методов анализа, направленных на выяв
ление причинно-следственной связи между событиями безопасности и иными данными мониторинга:
- сигнатурные методы, основанные на сопоставлении конкретных признаков и условий взаимо
связей событий безопасности и иных данных мониторинга;
- бессигнатурные методы, основанные на выявлении статистической и иной зависимости между
событиями безопасности и иными данными мониторинга и формировании профилей функционирова
ния информационных ресурсов.
П р и м е ч а н и е — Профиль функционирования формируется по результатам поведенческого анализа, ко
торый содержит набор атрибутов и их значений. Такие данные характеризуют работу конкретного приложения в
среде функционирования в определенный промежуток времени.
Сигнатурные методы анализа включают правила регистрации признаков возможного возникнове
ния компьютерных инцидентов, создание и настройку которых осуществляет специалист подразделе
ния, ответственного за управление компьютерными инцидентами.
Бессигнатурные методы анализа реализуются разработчиком средства управления событиями
информационной безопасности в программном коде средства, алгоритмы которых не могут быть из
менены специалистом подразделения, ответственного за управление компьютерными инцидентами.
П р и м е ч а н и е — Правила регистрации признаков возможного возникновения компьютерных инцидентов
могут содержать условия отбора событий безопасности и иных данных мониторинга в виде отдельных логических
операций, например конъюнкция («И»), дизъюнкция («ИЛИ»), отрицание («НЕ») и их комбинаций, критерии
сра батывания правила, учитывающие количественные, временные и иные характеристики событий
безопасности и иных данных мониторинга, а также результаты их сравнения («больше», «меньше», «равно» и
иные). Правила регистрации признаков возможного возникновения компьютерных инцидентов также могут
содержать операторы выполнения действий в зависимости от соответствия переменных (объектов, принимающих
несколько значений) заданному условию, циклические и иные операторы, позволяющие повысить эффективность
и точность описания критериев отбора событий безопасности и иных данных мониторинга.
Решение о наличии или отсутствии признака возможного возникновения компьютерного инцидента принима
ется на основе правил регистрации признаков возможного возникновения компьютерных инцидентов.
При автоматизированном способе регистрации признака возможного возникновения компьютер
ных инцидентов информация о данном зарегистрированном признаке передается из средства управле
ния событиями информационной безопасности в средство управления инцидентами, где на основании
поступившей информации автоматически формируется карточка признака возможного возникновения
компьютерного инцидента.
5.2.2 Регистрация признаков возможного возникновения компьютерных инцидентов неав
томатизированным способом
Регистрация признаков возможного возникновения компьютерных инцидентов неавтоматизиро
ванным способом осуществляется специалистами подразделения, ответственного за управление ком
пьютерными инцидентами, при самостоятельном анализе событий безопасности в ходе мониторинга
или при получении соответствующей информации от работников организации. Неавтоматизированная
регистрация признаков возможного возникновения компьютерных инцидентов осуществляется в сред
стве управления инцидентами путем внесения в карточку признака возможного возникновения компью
терного инцидента необходимой информации.
3