Регламент обнаружения вторжений

Антивирусная защита ищет уже известный вредоносный код на конкретном устройстве. Средства обнаружения вторжений смотрят шире — на аномальное поведение в сети или в самой системе: множественные неудачные попытки входа подряд, обращение к данным в нехарактерное время, попытку подключиться к системе с необычного адреса, резкий рост объёма исходящего трафика.

Это два разных, хотя и дополняющих друг друга рубежа защиты. Мера входит в состав, который регулятор относит к техническим мерам защиты ПДн, и её объём напрямую зависит от уровня защищённости ИСПДн, определённого по Постановлению Правительства РФ № 1119 от 01.11.2012: чем выше уровень, тем более развитые средства обнаружения требуются.

Для системы с высоким уровнем защищённости обычно применяются специализированные программные или программно-аппаратные комплексы, которые в реальном времени анализируют сетевой трафик и системные события. Для менее критичных систем достаточно более простых решений:

• встроенные средства операционной системы и сетевого оборудования, фиксирующие аномальные попытки подключения;
• оповещения от облачного провайдера, если ИСПДн размещена на его инфраструктуре;
• правила в средствах регистрации событий безопасности, которые автоматически выделяют подозрительные последовательности действий — например, несколько неудачных входов подряд с одного адреса.

Регламент должен назвать конкретное применяемое решение и то, кто отвечает за его настройку и поддержание в рабочем состоянии, а не ограничиваться общей формулировкой «используются средства обнаружения вторжений».

Даже там, где отдельного специализированного комплекса нет, полезно завести простое правило: не реже раза в неделю просматривать журнал неудачных попыток входа и подключений с необычных адресов. Это не заменяет автоматическое обнаружение, но снижает риск того, что подготовка к атаке останется полностью незамеченной.

Сигнал тревоги без заранее описанной реакции — это просто ещё одна запись, на которую никто не обращает внимания. Регламент должен закрывать типичный сценарий: кто первым видит срабатывание, в какой срок он обязан его оценить, кому эскалирует, если подозрение подтверждается, и какие действия предпринимаются немедленно — например, временная блокировка подозрительной учётной записи или адреса.

Разумно разделить срабатывания на уровни серьёзности:

Полноценный центр мониторинга безопасности с круглосуточным дежурством нужен не каждой компании — это оправдано для крупных систем с высоким уровнем защищённости. В небольшой организации ответственность за реагирование логично возложить на того же сотрудника, который администрирует систему или отвечает за информационную безопасность по совместительству, с понятным резервным контактом на случай его отсутствия.

Важно, чтобы у этого человека было реальное право принимать оперативные решения — заблокировать подозрительную учётную запись немедленно, не дожидаясь согласования у руководства. Промедление в момент реальной атаки часто стоит дороже, чем ошибочная блокировка добросовестного пользователя, которую легко исправить.

Состав мер по обнаружению вторжений, как и остальных групп технической защиты, зависит от уровня защищённости конкретной информационной системы. Небольшой компании, где ИСПДн размещена в облачном сервисе с базовой защитой на стороне провайдера, не нужно закупать специализированные комплексы обнаружения — достаточно понимать, какие оповещения даёт сам сервис, и настроить процесс реагирования на них.

Регламент стоит писать так, чтобы он описывал реальный, а не идеальный набор инструментов: если технических средств обнаружения пока немного, документ должен честно фиксировать это и план развития меры, а не создавать иллюзию защиты, которой фактически нет.

Такой честный подход выгоден и самой компании: если позже уровень защищённости системы изменится — вырастет объём данных или их категория — регламент, отражающий реальное состояние дел, легко дополнить новыми средствами, тогда как документ, описывающий несуществующую защиту, придётся переписывать заново, попутно объясняя проверяющему, почему написанное не соответствует действительности.