Регистрация фактов выявления аномальной сетевой активности в рамках контроля, предусмотренного мерами ВСА.1 - ВСА.8 таблицы 16.
Уровень защиты информации 3-Н, 2-Т, 1-Т.
Пояснение
Мера требует, чтобы каждый факт обнаружения аномальной сетевой активности фиксировался как событие защиты информации, а не просто отображался на экране оператора и терялся. Это закрывает ситуацию, когда инцидент невозможно расследовать постфактум из-за отсутствия истории срабатываний, либо атака продолжает оставаться незамеченной, если предыдущее срабатывание не было зафиксировано и проанализировано.
Главная цель меры — превратить разрозненные срабатывания средств выявления аномалий (мер ВСА.1—ВСА.8) в единую, пригодную для анализа доказательную базу, поскольку ценность самого факта обнаружения аномалии резко снижается, если он не сохраняется и не может быть впоследствии сопоставлен с другими событиями при расследовании инцидента.
Все срабатывания средств обнаружения аномалий (мер ВСА.1—ВСА.8) настраиваются на обязательную генерацию события с указанием как минимум времени, источника и назначения, типа аномалии и сработавшего правила. События передаются в SIEM-систему с хранением на срок, достаточный для расследования и выполнения требований регулятора.
Класс используемых средств — системы управления событиями информационной безопасности (SIEM).
Примеры таких средств:
- Иностранные: Splunk, IBM QRadar и пр.
- Российские сертифицированные (ФСТЭК): MaxPatrol SIEM, Kaspersky KUMA и др.
- Открытый код: Wazuh, Elastic SIEM и др.
- Конфигурация логирования на средствах обнаружения аномалий (ВСА.1–ВСА.8) и правила пересылки в SIEM.
- Выгрузка зарегистрированных событий за проверяемый период.
- Итоги интервью с ответственным за мониторинг событий ИБ.
- Регистрируются не все типы аномалий из ВСА.1–ВСА.8, а только часть.
- Срок хранения событий не соответствует требуемому для расследования.
- События формируются, но не передаются в централизованную систему (остаются только в локальных логах средства без возможности достаточного анализа).
Не выявлены.
Не выявлены.