Средства мониторинга информационной безопасности ФСТЭК
Средства мониторинга информационной безопасности ФСТЭК: контроль над событиями и состоянием инфраструктуры
Средства мониторинга информационной безопасности ФСТЭК применяются в системах, для которых необходимо учитывать нормативные требования к защите данных. Постоянное наблюдение помогает фиксировать значимые события и выявлять отклонения, своевременно получая сведения об изменениях, способных повлиять на безопасность. При этом, важен не сам факт накопления журналов, а возможность использовать эти сведения для обнаружения потенциальных нарушений и оценки состояния защищаемого контура.
Какие данные необходимо держать в поле зрения?
Современная инфраструктура состоит из множества взаимосвязанных компонентов. Пользователи входят в систему, обращаются к ресурсам, запускают приложения, изменяют файлы или выполняют другие операции. Одновременно серверы, сетевые устройства и защитные продукты регистрируют собственные события. Без централизованного наблюдения часть значимой информации может остаться незамеченной. Для формирования полной картины используются сведения из разных источников:
- Журналов ОС с информацией о пользовательских и административных действиях.
- Записей средств защиты, содержащих сведения о выявленных нарушениях установленных правил.
- Данных сетевых компонентов о соединениях между узлами инфраструктуры.
- Событий прикладных систем, связанных с обращением к корпоративным информационным ресурсам.
- Сведений о действиях учетных записей с расширенными пользовательскими полномочиями.
Полученные записи необходимо не только хранить, но и сопоставлять между собой. Например, изменение прав доступа приобретает совершенно другое значение, если вскоре после него фиксируется нетипичное обращение к критичному ресурсу. Анализ подобных связей дает больше информации для принятия решения.
Требования переводятся в настройки
Организацию мониторинга мы начинаем с определения того, какие события действительно важны для конкретной ИС. Учитываем ее тип, состав защищаемых ресурсов, действующую модель угроз и нормативные требования. Затем определяем источники, правила регистрации, параметры хранения и сценарии выявления потенциально опасной активности.
При необходимости применяем сертифицированные средства защиты, если их наличие предусмотрено требованиями для конкретного объекта и выбранных мер безопасности. Подбор программных и аппаратных компонентов нельзя сводить к поиску продукта с формальным упоминанием ФСТЭК. Необходимо учитывать назначение средства, область применения сертификата, функции и условия эксплуатации.
Мониторинг без информационного шума
Средства мониторинга информационной безопасности ФСТЭК станут эффективными тогда, когда технические возможности связаны с реальными характеристиками защищаемого объекта и нормативными требованиями. Большое количество зарегистрированных событий не свидетельствует о высоком качестве контроля. Если система создает чрезмерный поток уведомлений, специалисты тратят время на разбор малозначимых срабатываний, а действительно опасные признаки сложнее обнаружить своевременно. Правила анализа должны учитывать специфику инфраструктуры и выделять события, требующие внимания.
Для качественного мониторинга в портфеле Кросстех предусмотрена RUMA. Она позволяет отслеживать активность и обнаруживать аномалии. Ее применение может дополнять другие механизмы безопасности, расширяя контекст при исследовании подозрительных действий.
