Разработка и реализация процесса управления инцидентами иб в соответствии с лучшими практиками обеспечивает следующее
Download 1.2 Mb.
|
текст лекции
- Bu sahifa navigatsiya:
- Метод и средства Действие
- Объект Результат
- Цели и задачи управления инцидентами ИБ
Рис. 2.2. Инцидент ИБ Однако не стоит ограничиваться приведенной схемой. Субъектами реализации инцидента ИБ могут быть не только люди, но и другие источники угроз ИБ - процессы, сбои ПО и оборудования и т. д. 11омимо этого инциденты ИБ могут происходить по вине нарушите- ией, которые, в отличие от злоумышленников, не имеют целей получения несанкционированных результатов, а становятся виновниками инцидентов ИБ, например вследствие недостатка знаний в области ИБ и принятым в организации неточным или противоречивым регламентам и инструкциям по ОИБ. I [риведем примеры некоторых распространенных инцидентов ИБ. Отказ в обслуживании (англ, denial of service, DoS) является доспиочно большой категорией инцидентов ИБ, приводящим к сбоям в системах, сервисах или сетях, которые не могут продолжать работу с прежней производительностью, чаще всего при полном отказе в доступе авторизованным пользователям. Существует два основных типа таких инцидентов ИБ: уничтожение ресурсов и истощение ресурсов. Одни технические инциденты «отказ в обслуживании» могут создаваться случайно, например в результате ошибки в конфигурации, допущенной оператором, или из-за несовместимости прикладного ПО, а другие - преднамеренно. Типичными примерами таких преднамеренных инцидентов являются следующие: зондирование сетевых широковещательных адресов с целью полного заполнения полосы пропускания сети трафиком ответных сообщений; передача данных в непредвиденном формате в систему, сервис или сеть в попытке разрушить или нарушить нормальную работу; одновременное открытие нескольких сеансов с конкретной системой, сервисом или сетью в попытке исчерпать ее ресурсы (то есть замедлить их работу, блокировать или разрушить). Цель намеренно инициируемых инцидентов «отказ в обслуживании» - разрушить систему или сервис, снизить производительность сети. Другие инциденты являются всего лишь побочными продуктами другой вредоносной деятельности. Например, некоторые наиболее распространенные методы скрытого сканирования и идентификации могут приводить к полному разрушению старых или ошибочно сконфигурированных систем или сервисов при их сканировании. Многие преднамеренные инциденты «отказ в обслуживании» часто выполняются анонимно (то есть источник атаки неизвестен), поскольку злоумышленник обычно не получает какую-либо информацию от атакуемой сети или системы. Инциденты «отказ в обслуживании», создаваемые нетехническими средствами, приводящие к потере информации, сервиса и/или устройств обработки могут, например, вызываться следующими факторами: нарушениями систем физической защиты, приводящими к хищениям, преднамеренному нанесению ущерба или разрушению оборудования; случайным нанесением ущерба аппаратуре и/или ее местоположению от огня или воды/наводнения; экстремальными условиями окружающей среды, например высокой температурой (выход из строя кондиционера); неправильным функционированием или перегрузкой системы; неконтролируемыми изменениями в системе; неправильным функционированием аппаратного обеспечения (АО) и ПО. Сбор информации включает действия, связанные с определением потенциальных целей атаки и получением представления о сервисах, запущенных на идентифицированных целях атаки. Инциденты такого типа предполагают проведение разведки с целью определения следующего: наличия цели, получения представления об окружающей ее сетевой топологии и о том, с кем обычно эта цель связана для обмена информацией; потенциальных уязвимостей цели или непосредственно окружающей ее сетевой среды, которые можно использовать для атаки. Типичными примерами атак, направленных на сбор информации техническими средствами являются следующие: сбрасывание записей DNS (системы доменных имен) для целевого домена Интернета (передача зоны DNS); отправка тестовых запросов по случайным сетевым адресам с целью найти работающие системы; зондирование системы с целью идентификации (например, по контрольной сумме файлов) операционной системы (ОС) хоста; сканирование доступных сетевых портов на протокол передачи файлов системе с целью идентификации соответствующих сервисов (например, электронная почта, FTP, Web и т. д.) и версий ПО этих сервисов; сканирование одного или нескольких сервисов с известными уязвимостями по диапазону сетевых адресов (горизонтальное сканирование). В некоторых случаях технический сбор информации расширяется до 11СД, если, например, злоумышленник, отыскивая уязвимости, пытается также получить НСД. Обычно это осуществляется автоматическими средствами взлома, которые не только ищут уязвимости, но и автоматически пытаются использовать уязвимые системы, сервисы и/или сети. Инциденты, направленные на сбор информации, создаваемые нетехническими средствами, приводящие к следующему: прямому или косвенному раскрытию или модификации информации; хищению интеллектуальной собственности, хранимой в электронной форме; нарушению учетное™, например, при регистрации учетаых записей; неправильному использованию ИС (например, с нарушением закона или политики организации). Инциденты могут вызываться, например, таким образом: нарушениями физической защиты, приводящими к НСД к информации и хищению устройств хранения данных, содержащих значимые данные, например, ключи шифрования; неудачно и/или неправильно сконфигурированными ОС по причине неконтролируемых системных изменений в системе или неправильным функционированием ПО или АО, приводящим к тому, что персонал организации или посторонний персонал получает доступ к информации, не имея на это разрешения. 3. НСД включает инциденты, которые не вошли в первые две категории. Главным образом этот тип инцидентов состоит из несанкционированных попыток доступа в систему или неправильного использования системы, сервиса или сети. Некоторые примеры НСД с помощью технических средств включают в себя: попытки извлечь файлы, содержащие пароли; атаки переполнения буфера с целью получения привилегированного (например, на уровне системного администратора) доступа к сети; использование уязвимостей протокола для перехвата соединения или ложного направления легитимных сетевых соединений; попытки повысить привилегии доступа к ресурсам или информации по сравнению с теми, которые пользователь или администратор уже имеют легитимно. Инциденты НСД, создаваемые нетехническими средствами, которые приводят к прямому или косвенному раскрытию или модификации информации, к нарушениям учетности или неправильному использованию ИС, могут вызываться следующими факторами: разрушением физической защиты с последующим НСД к информации; неудачно и/или неправильно сконфигурированной ОС вследствие неконтролируемых изменений в системе или неправильного функционирования ПО или АО, приводящих к результатам, подобным тем, которые описаны выше. Таким образом, можно сделать вывод, что инцидент ИБ - весьма гибкое и многогранное понятие. Четкое его понимание необходимо для проведения классификации инцидентов ИБ, на основе которой в организации проводится соответствующее реагирование на инциденты ИБ. Цели и задачи управления инцидентами ИБ Управление инцидентами ИБ - состоящий из ряда подпроцессов процесс, на вход которого поступают данные, полученные в результате сбора и протоколирования затрагивающих ИС событий ИБ, а на выходе - информация о причинах произошедшего инцидента ИБ, нанесенном организации ущербе и мерах, которые необходимо принять для того, чтобы инцидент ИБ не повторился вновь. Таким образом, управление инцидентами ИБ направлено на совершенствование СОИБ организации. Кроме того, получаемые на выходе данные являются, по сути, единственным объективным источником определения вероятности реализации угроз ИБ при анализе рисков ИБ. Важно правильно понимать термин «управление инцидентами ИБ». В данном контексте ни в коем случае не имеется в виду возможность регулирования инцидентов ИБ - чтобы они состоялись или нет. Речь идет об анализе возникших инцидентов ИБ, их причин, подготовке и собственно принятии решений по выявленным инцидентам ИБ и предотвращении новых. Поэтому типовые действия, выполняемые в рамках процесса управления инцидентами ИБ, включают следующее: идентификацию инцидента ИБ (получение информации о нем, его регистрацию, оценку критичности и классификацию инцидента); реагирование на инцидент ИБ (эскалация инцидента группе по обработке инцидентов ИБ, идентификация причин его возникновения, изоляция инцидента и подавление причин его возникновения); восстановление после инцидента ИБ (оперативное внесение изменений в конфигурации систем, восстановление данных и закрытие инцидента ИБ); последующие действия по инциденту ИБ (анализ первопричин возникшего инцидента ИБ, проведение служебного расследования и предоставление отчета об инциденте ИБ заинтересованным сторонам). Процесс управления инцидентами ИБ связан со многими другими процессами, например, управлением рисками ИБ, мониторингом/ауди- том, управлением изменениями, доступом и НБ. Следовательно, он является своеобразным «мотором» жизненного цикла СУИБ. Поэтому в качестве основы общей стратегии ОИБ организации необходимо использовать системный, структурированный, хорошо спланированный подход к управлению инцидентами ИБ. Целями такого подхода является обеспечение следующих условий [3-5, 7]: события ИБ обнаружены и эффективно обработаны, в частности определены как относящиеся или не относящиеся к категории инцидентов ИБ; идентифицированные инциденты ИБ оценены, и реагирование на них осуществлено наиболее целесообразным и результативным способом; негативные воздействия инцидентов ИБ на организацию и ее бизнес- операции минимизированы соответствующими защитными мерами, являющимися частью процесса реагирования на инцидент, иногда наряду с применением соответствующих элементов из плана(ов) ОНБ; из инцидентов ИБ и их управления быстро извлечены уроки. Это делается с целью повышения шансов предотвращения инцидентов ИБ в будущем, улучшения внедрения и использования защитных мер, улучшения общей системы управления инцидентами ИБ. Как показывают лучшие практики в области управления ИБ, эффективность процесса управления инцидентами ИБ зависит от следующих факторов: координации и согласованности действий всех вовлеченных в него лиц; имеющихся возможностей по получению и анализу информации, связанной с инцидентом ИБ; оперативности и корректности полученных результатов. Эффективность управления инцидентами ИБ обычно выражается в измеряющихся и оценивающихся показателях, например: тенденции в изменении общего количества инцидентов ИБ; среднее фактическое время, затраченное на разрешение инцидента ИБ; процент инцидентов ИБ, обработанных в рамках согласованного времени реакции; средние затраты на полную обработку инцидента ИБ; процент инцидентов ИБ, закрытых без обращения к специализированным группам поддержки; количество и процент инцидентов ИБ, разрешенных удаленно. Таким образом, эффективное управление инцидентами ИБ обеспечивает быстрое восстановление нормального функционирования систем, сервисов и сетей, минимизирует неблагоприятное воздействие на бизнес, снижает финансовые потери, а также поддерживает процессы управления рисками ИБ. Как для всякой деятельности, в первую очередь определяются цели организации по эффективному управлению инцидентами ИБ. Итоговый список, конечно, будет разным для разных организаций. Ниже приведен один из возможных вариантов такого списка: гарантировать целостность критически важных систем; сохранить и восстановить данные; сохранить и восстановить сервисы; выяснить, почему инцидент ИБ стал возможен; предотвратить развитие атак и будущие инциденты ИБ; избежать нежелательной огласки информации об инциденте ИБ; найти виновников инцидента ИБ; наказать нарушителей ПолИБ организации. Для достижения этих целей организация решает основные задачи управления инцидентами ИБ: координация сбора сведений об инцидентах ИБ, реагирования на них и дальнейшего анализа причин их возникновения; минимизация нарушения порядка работы и повреждения актива организации, восстановление в кратчайшие сроки работоспособности организации в результате инцидента ИБ; минимизация последствий нарушения ИБ (конфиденциальности, целостности и доступности) активов организации; обеспечение сохранности и целостности доказательств того, что инцидент ИБ имел место, накопление и хранение точной информации об имевших место инцидентах ИБ; защита прав организации, установленных законом; защита репутации организации и ее активов; быстрое обнаружение и/или предупреждение подобных инцидентов ИБ в будущем; обучение персонала организации действиям по обнаружению, устранению последствий и предотвращению инцидентов ИБ. В самом общем случае управление инцидентами ИБ включает следующую деятельность (рис. 2.3): Download 1.2 Mb. Do'stlaringiz bilan baham: 
| |||||||||||||||||||||||||||||||||||||||||||