52
Также центр управления позволяет проводить управление рисками.
Это осуществляется с помощью постоянного и своевременного анализа
всех инцидентов. Все проверки проводятся единым центром управления,
который включает в себя аппаратные и программные средства.
3.2 Автоматизация управления информационной безопастностью
Центр управления информационной безопасностью представляет
собой совокупность методов поддержки целостности системы (рисунок
3.2) [25].
Рисунок 3.2 - Схема работы центра управления ИБ
Центр управления информационной безопасностью состоит из
комплекса структур. Это мониторинг состояния информационной
безопасности компании, управление инцидентами и контроль требований.
Также центр управления включает в себя поиск и уничтожение
уязвимостей, контроль над изменениями системы, проверка управления.
При должной настройке центр управления информационной
безопасностью способен проводить внешний и внутренний аудит и
проводить работу над найденными инцидентами[7].
53
В данный центр поступает информация, которая собирается со всех
источников и содержит данные о состоянии системы. Если возникает
необходимость в реагировании на инциденты, то это происходит тоже в
рамках центра.
Он позволяет содержать информационную систему компании под
контролем, вести управление безопасностью информации, обеспечивать
необходимый уровень защиты данных. Также система позволяет
эффективно следить за событиями в области информационной
безопасности, а именно: отслеживать входящую и исходящую
информацию, следить за выполнением предписанных правил по работе с
системой, своевременно определять уязвимости в элементах безопасности
и противодействовать им[31].
При выборе центра управления информационной безопасностью
учитывались всевозможные характеристики и признаки системы.
Сначала проводился анализ существующих центров управления
информационной безопасностью, проведен мониторинг средств,
используемых при оценке работы системы и определены требования
организации.
Требования, предъявляемые к центру управления информационной
безопасностью:
способность постоянного обслуживания клиентов компании;
разработка и внедрение методов защиты от внешних и
внутренних угроз безопасности;
обеспечение документации на все средства защиты.
Также системе необходимо проводить управление рисками. Это
осуществляется с помощью постоянного и своевременного анализа всех
инцидентов. Все проверки проводятся единым центром управления,
который включает в себя аппаратные и программные средства.
54
Всем вышеперечисленным требованиям соответствует центр
управления информационной безопасностью – Security Vision.
При работе центра управления информационной безопасностью
проводится сбор данных и проверка состояния системы постоянное время
(рисунок 3.3).
Рисунок 3.3 - Сбор данных
На основе собранных данных система выявляет возможные угрозы,
проводит их оценку, ранжирует по уровню опасности, анализирует
полученные группы и выносит вердикт. Далее происходит реагирование на
те инциденты, которые производят наибольшую угрозу для компании.
Выбираются самые опасные угрозы или самые важные данные, которые
требуется защитить. Каждый инцидент определяется к ответственному,
который впоследствии отвечает за проведение работы по этому случаю.
После этого все собранные данные формируются и отправляются на
хранение в архивы. Архивы создаются отдельными модулями, которые
отслеживают, как и сколько хранятся данные, а при необходимости
происходит их извлечение. Система может предоставлять отчеты для
55
руководства, отчеты о техническом состоянии системы, отчеты о
случившихся инцидентах. При необходимости с помощью мастера можно
создавать собственные отчеты[9].
Центр управления ИБ – Security Vision.
При проведении анализа требований для организации был выбран
центр управления информационной безопасностью Security Vision. Данный
центр отвечает всем требованиям и включает в себя все необходимые
модули для безопасной работы компании.
Данный центр управления имеет трехуровневую архитектуру и
включает в себя:
уровень сбора;
уровень ядра;
уровень управления.
Уровень сбора является посредником для сбора, хранения и
перенаправления полученных от систем данных на уровень ядра.
Уровень ядра используется для сбора и анализа возможных и
случившихся инцидентов. При анализе проводится проверка инцидентов и
внесение их в базу данных.
Уровень управления служит для выполнения автоматизации
управления и является своеобразным поставщиком отчетов о событиях
системы. Данный уровень позволяет анализировать риски и управлять
инцидентами.
Преимуществами центра являются [35]:
высокий уровень управления безопасностью компании;
значительное уменьшение рисков;
экономическая обоснованность.
56
Security Vision осуществляет сбор и хранение инцидентов, которые
так или иначе появляются при функционировании информационной
системы компании.
Принятые системы обеспечения защиты информации [9]:
Система межсетевого экранирования;
Система обнаружения/предотвращения вторжений;
Система криптографической защиты информации;
Система защиты от несанкционированного доступа;
Система защиты от вредоносного программного обеспечения;
Система предотвращения утечки информации;
Система фильтрации вебконтента и контроля доступа в
интернет;
Система защиты от спама;
Система защиты виртуальной инфраструктуры;
Система обеспечения безопасности баз данных;
Система управления доступом;
Другие IP-ориентированные системы.
После проведения анализа ЛВС организации и рассмотрения
принципов и видов центров управления информационной безопасностью
осуществляется внедрение системы.
3.3 Внедрение и разработка внедрения центра управления
информационной безопасностью
Процедура внедрения центра управления информационной
безопасностью является долгосрочным и трудным процессом. Обычно он
57
состоит из нескольких этапов, таких как: аудит, анализ, регулировка,
исправление.
Сначала необходимо провести аудит существующих систем и
выявить уязвимости и определить состояние системы в целом. При этом
ведется строгое документирование всех выявленных нарушений. После
проведения аудита делается вывод и рекомендации по проведению
дальнейших работ для обеспечения безопасности компании [11].
После проведения аудита и получения отчета по его итогам
проводится оценка рисков существующей системы. Все обнаруженные
риски ранжируются в зависимости от опасности и вероятности
воплощения. После этого всем рискам в соответствие ставится метод
борьбы с ним и средство локализации в случае не обнаружения.
Затем на следующем этапе проверяется соответствие полученного
анализа и методов работы. Для этого используется контроль состояния и
контроль средств обеспечения безопасности в каждом конкретном случае.
Если случается расхождение, то снова проводится анализ.
Все последующие этапы направлены на внедрение дополнительных
элементов проверки и обработки безопасности системы. Внедрение
включает в себя следующие задачи: подготовка работников компании, их
обучение, подготовка документооборота, выполнение политики
безопасности, обеспечение отчетности, регламентации и планирования
работ.
Основные мероприятия по внедрению центра управления
информационной безопасностью компании показаны на рисунке 3.4.
Прежде чем начинать мероприятия по внедрению, необходимо
провести аудит и анализ системы.
В организации проведенный аудит показал, что в системе
существует множество элементов для обеспечения безопасности, но они
58
практически не взаимодействуют между собой. Поэтому существуют
риски, связанные с несогласованностью системы[10].
Рисунок 3.4 - Мероприятия внедрения
При выполнении внедрения системы были выполнены следующие
задачи: оценка рисков, установка централизованного управления,
внедрение политики безопасности, осведомление сотрудников,
осуществление контроля системы (рисунок 3.5).
59
Рисунок 3.5 - Внедрение центра управления в организации
Построение центра управления информационной безопасностью —
крайне затратное и трудоемкое начинание, и с самого начала надо
понимать, что оно потребует колоссальных усилий от всех
задействованных в нем подразделений[2].
Мы рассмотрим модель построения подобного центра и технологию
его работы. В таком центре должны присутствовать следующие основные
компоненты.
Система мониторинга и корреляции — ядро центра ИБ и основной
инструмент специалистов. Ее основная функция — нормализовать и
60
категорировать события ИБ. Как известно, разные устройства защиты
генерируют события в разных форматах, что вносит определенные
трудности в процесс анализа и корреляции. Для решения этой проблемы
проводится нормализация всех событий и приведение их к единому
формату, используемому в системе мониторинга и корреляции. После
нормализации все события категорируются по различным критериям. Это
удобно для последующей генерации отчетной документации по тем или
иным срезам.
Следующий этап — агрегация, которая представляет собой замену
нескольких сходных событий ИБ одним. Иными словами, если в
определенный промежуток времени было зафиксировано десять
однотипных событий, то генерируется одно событие с числовым
значением 10. Основная цель агрегации — уменьшить количество
регистрируемой и анализируемой впоследствии информации без снижения
ее качества. С той же целью используется механизм фильтрации [32]: из
рассмотрения исключаются определенные события, соответствующие
заданным критериям. После того как все события прошли необходимую
обработку, из них выделяются инциденты, т. е. те события, которые
действительно способны нанести ущерб и требуют реакции. О сообщениях
такого рода генерируются оповещения, или заявки (ticket), которые
попадают непосредственно в систему управления заявками об инцидентах,
и с ними начинают работу ответственные за это сотрудники[25].
База данных предназначена в первую очередь для того, чтобы
хранить в архивированном и защищенном виде все данные, полученные с
подконтрольных устройств. Ко всем сохраненным данным всегда можно
обратиться, например, при проведении расследований инцидентов.
Система управления заявками об инцидентах обеспечивает
возможность документировать инциденты и расследования, которые
61
идентифицированы аналитиками в процессе мониторинга. В ходе процесса
управления инцидентами проводится их регистрация и классификация.
Кроме того, выполняется поиск решения проблемы и его последующее
применение.
Платформа управления средствами обеспечения ИБ должна
включать устройства, которые предназначены для управления
мультивендорным оборудованием и отвечают за реализацию изменения
политик, настроек, переконфигурирование подконтрольных средств
защиты, а также получение обновлений и их реализацию на устройствах.
Так, для управления устройствами ISS используется SiteProtector, а для
управления устройствами CheckPoint может использоваться Provider 1 [33].
Технология работы центра управления безопасностью в общих
чертах представлена на рисунке 3.6.