Основи інформаційної безпеки / пос_бник_О_Б_МОН

Основні поняття

Протоколювання – це процес збирання і накопичення інформації про події, що відбуваються в інформаційній системі.

У кожного сервісу свій набір можливих подій, але у будь-якому випадку їх можна розділити на:

зовнішні (викликані діями інших сервісів);
внутрішні (викликані діями самого сервісу);
клієнтські (викликані діями користувачів і адміністраторів).

Аудит– це аналіз накопиченої інформації, що здійснюється оперативно, у реальному часі або періодично.

Оперативний аудит з автоматичним реагуванням на виявлені нештатні ситуації називається активним.

Протоколювання й аудит дозволяють розв’язати такі задачі:

забезпечення підзвітності користувачів і адміністраторів. Якщо користувачі і адміністратори знають, що все їх дії фіксуються, вони, можливо, утримаються від незаконних операцій. Очевидно, якщо є підстави підозрювати якого-небудь користувача в нечесності, можна реєструвати всі його дії, аж до кожного натиснення клавіші. При цьому забезпечується не тільки можливість розслідування випадків порушення режиму безпеки, але і відміна некоректних змін (якщо в протоколі присутні дані до і після модифікації). Тим самим захищається цілісність інформації;
забезпечення можливості реконструкції послідовності подій,що дозволяє виявити слабкості в захисті сервісів, знайти винуватця вторгнення, оцінити масштаби заподіяного збитку і повернутися до нормальної роботи;
виявлення спроб порушень інформаційної безпеки– функція активного аудиту. Звичайний аудит дозволяє виявити подібні спроби із запізненням, але і це виявляється корисним;
надання інформації для виявлення та аналізу проблемможе допомогти поліпшити такий параметр безпеки, як доступність. Виявивши вузькі місця, можна спробувати переконфігурувати або перенастроїти систему.

Дуже докладне протоколювання не тільки знижує продуктивність сервісів (що негативно позначається на доступності), але й ускладнює аудит, тобто не збільшує, а зменшує ІБ.

У “Помаранчевій книзі” рекомендується протоколювати такі події:

вхід в систему (успішний чи ні);
вихід з системи;
звернення до віддаленої системи;
операції з файлами (відкрити, закрити, перейменувати, видалити);
зміна привілеїв або інших атрибутів безпеки (режиму доступу, рівня благонадійності користувача і т.п.).

При протоколюванні події рекомендується записувати, таку інформацію:

дата і час події;
унікальний ідентифікатор користувача, що є ініціатором дії;
тип події;
результат дії (успіх або невдача);
джерело запиту (наприклад, ім’я терміналу);
імена об'єктів, які використовували (наприклад, відкритих файлів);
опис змін, внесених до баз даних захисту (наприклад, нова мітка безпеки об’єкту).

Ще одне важливе поняття, що фігурує в “Помаранчевій книзі”, – вибіркове протоколювання, як відносно користувачів (уважно стежити тільки за підозрілими), так і відносно подій.

Содержание