ГОСТ Р 59710—2022
3 Термины и определения
В настоящем стандарте применены термины по ГОСТ Р 59709 и ГОСТ Р 59547.
4 Общие положения
4.1 Общие принципы управления компьютерными инцидентами
Для обнаружения компьютерных инцидентов используют результаты проводимого в организации
мониторинга информационной безопасности, в рамках которого осуществляется сбор информации о
событиях безопасности и иных данных мониторинга, необходимых для поиска признаков возможного
возникновения компьютерных инцидентов. Такие признаки представляют собой совокупность зареги
стрированных событий безопасности и иных данных мониторинга, а также условий, при которых такая
совокупность зарегистрированных событий безопасности и иных данных мониторинга может свиде
тельствовать о возможном возникновении компьютерного инцидента. Для сбора событий безопасности и
иных данных мониторинга и последующего поиска признаков возможного возникновения компьютер ных
инцидентов, как правило, применяют средства управления событиями информационной безопас ности.
Такие средства позволяют осуществлять сбор, нормализацию, агрегацию событий безопасности и иных
данных мониторинга и на основании настроенных правил (далее — правила регистрации при знаков
возможного возникновения компьютерных инцидентов) проводить автоматизированный анализ и
корреляцию событий безопасности и иных данных мониторинга.
П р и м е ч а н и я
1 Понятие «признак возможного возникновения компьютерных инцидентов» применяют в связи с тем, что
средства управления событиями информационной безопасности фиксируют возникновение ситуации, которая мо
жет свидетельствовать о возникновении компьютерного инцидента, а не сам факт его возникновения.
2 Сбор информации о событиях безопасности и иных данных мониторинга, необходимых для обнаружения
компьютерных инцидентов, осуществляется в соответствии с ГОСТ Р 59547.
3 Некоторые данные мониторинга используют только как аналитические данные при формировании пра
вил регистрации признаков возможного возникновения компьютерных инцидентов. К таким данным мониторинга,
например, могут относиться данные об индикаторах компрометации. На основе данных об индикаторах компро
метации можно сформировать новое правило, которое предусматривает анализ событий безопасности, ранее не
использовавшихся в правилах регистрации признаков возможного возникновения компьютерных инцидентов. Дру
гие данные мониторинга, в первую очередь данные о зарегистрированных событиях безопасности, используют
непосредственно для обнаружения и регистрации компьютерных инцидентов как условия для правил регистрации
признаков возможного возникновения компьютерных инцидентов.
Для всех зарегистрированных признаков возможного возникновения компьютерных инцидентов
необходимо проводить проверку факта их возникновения. Если в ходе проверки подтверждается факт
возникновения компьютерного инцидента, то должна осуществляться его регистрация.
Если в ходе проверки не может быть однозначно подтверждено отсутствие факта возникновения
компьютерного инцидента, то в этом случае также осуществляется его регистрация. При этом в ходе
реагирования на компьютерный инцидент факт его возникновения может быть не подтвержден, что
может являться основанием для его закрытия.
Если в ходе проверки подтверждается отсутствие факта возникновения компьютерного инциден
та, то в этом случае он не регистрируется. При этом должна быть установлена причина регистрации
признака возможного возникновения компьютерного инцидента. Если причиной регистрации призна
ка возникновения компьютерного инцидента являлась компьютерная атака, организация, являющаяся
субъектом ГосСОПКА, должна подготовить информацию о компьютерной атаке и уязвимости, которую
злоумышленник пытался использовать при проведении этой компьютерной атаки и передать ее в орга
низацию, осуществляющую координацию деятельности в части управления компьютерными инциден
тами в виде карточки компьютерной атаки и карточки уязвимости.
П р и м е ч а н и е — В рамках функционирования ГосСОПКА организацией, осуществляющей координацию
деятельности в части управления компьютерными инцидентами, является Национальный координационный центр
по компьютерным инцидентам.
На рисунке 1 представлен общий подход к обнаружению и регистрации компьютерных инциден
тов, реагированию на них и информированию организации, осуществляющей координацию деятель
ности в части управления компьютерными инцидентами.
2