Реагирование на инциденты информационной безопасности

[bga68comp]

Реагирование на инциденты информационной безопасности

July 25, 2014 Vladimir Bezmaly IT-Security

https://www.it-community.in.ua/2014/07/reagirovanie-na-intsidenty-informatsionnoj-bezopasnosti.html/

Сегодня большой популярностью пользуется тема реагирования на инциденты информационной безопасности (ИБ). С одной стороны – тема весьма популярна, с другой – она покрыта завесой тайны, ведь именно во время расследования проявляются конкретные уязвимости системы, обнаруживаются следы атак, проверяется квалификация сотрудников ИБ, качество построения системы ИБ.

Вместе с тем нельзя не отметить, что об инцидентах информационной безопасности компании стараются молчать, ведь никто не хочет признавать свои ошибки и давать тем самым дополнительные аргументы конкурентам. В результате – количество инцидентов непрерывно растет, а сведения о них, тем не менее, как правило, держатся в секрете, ведь мы узнаем лишь о тех немногочисленных инцидентах, информация о которых «просочилась» в прессу. Обратной стороной такой «прозрачности» является трудность при поиске специалистов по расследованию компьютерных инцидентов или по созданию в компании процесса реагирования на инциденты. По вполне понятным причинам исполнитель не может представить отзывы своих клиентов о выполненной работе. Вместе с тем стоит подчеркнуть, что выполнение таких работ требует высочайшего доверия между исполнителем и заказчиком.

Попробуем кратко перечислить, что же требуется от специалиста подобного рода:

1. понимание принципов безопасности;
   
2. знания о слабостях и уязвимостях информационных объектов;
   
3. представление об устройстве Интернет;
   
4. навыки анализа информационных рисков;
   
5. знание сетевых протоколов;
   
6. знание сетевых приложений и сервисов;
   
7. владение вопросами сетевой безопасности;
   
8. владение вопросами безопасности узла или системы; 
   
9. знание о вредоносных программах (вирусы, черви, трояны); 
   
10. навыки программирования.

На Украине существует целый ряд серьезнейших проблем в этой области:

1. нет единого центра регистрации инцидентов;
   
2. отсутствует статистика инцидентов;
   
3. отстает законодательство;
   
4. нет открытых методик и стандартов организации процесса реагирования и расследования инцидентов ИБ;
   
5. неясно, как можно подготовиться к такого рода событиям;
   
6. не определено, какие превентивные меры стоит предпринять;
7. отстает подготовка сотрудников правоохранительных органов.

За рубежом, в свою очередь, существуют стандарты, которые описывают процесс реагирования на компьютерные инциденты. В первую очередь это стандарт NIST Special Publication 800-61 “Computer security incident handling guide”. К слову, новая версия ISO 17799:2005 требует наличия процесса реагирования на инциденты (раздел 13 – “Information security incident management”).

Попробуем коротко рассмотреть основные составляющие процесса реагирования на инцидент.

Что такое инцидент ИБ?

Инцидент, согласно требований IT Infrastructure Library (ITIL), – любое событие, не являющееся частью нормальной работы услуги и ведущее или способное привести к остановке или потере уровня качества этой услуги.

Согласно ISO/IEC TR 18044:2004 инцидент информационной безопасности (information security incident): одно или серия нежелательных или неожиданных событий информационной безопасности, которые имеют значительную вероятность компрометации бизнес-операции и угрожают информационной безопасности.

Основной целью процесса управления инцидентами (Incident Management) является восстановление нормальной работы ИТ-услуги как можно быстрее и минимизация неблагоприятного воздействия сбоя на работу отделов предприятия, что обеспечит согласованный уровень качества услуги.

Организация процесса реагирования на инцидент преследует следующие цели:

1. Подтвердить или опровергнуть факт инцидента;
   
2. Предупредить нескоординированные действия служб при устранении последствий инцидента;
   
3. При возникновении инцидента восстановить работоспособность компании в кратчайшие сроки;
   
4. Представить детализированный отчет о произошедшем инциденте;
   
5. Представить полезные рекомендации по недопущению подобных инцидентов в дальнейшем;
   
6. Создать условия для накопления в базе данных точной информации об инцидентах и путях устранения последствий;
   
7. Обеспечить быстрейшее обнаружение (предупреждение) инцидентов в дальнейшем путем совершенствования политики ИБ, модернизации системы ИБ и т.д.);
   
8. Обеспечить целостность доказательств произошедшего инцидента;
   
9. Создать условия для возбуждения уголовного дела против злоумышленников;
   
10. Минимизировать последствия инцидента;
    
11. Защитить репутацию компании;
    
12. Провести обучение сотрудников компании процессу реагирования на инцидент.

Примеры инцидентов

Возможные нарушения требований конфиденциальности:

1. Инциденты, из-за которых получен несанкционированный доступ к информации;
   
2. Утеря носителей информации за пределами помещения;
   
3. Утеря или кража ноутбука;
   
4. Попытки персонала организации получить доступ выше имеющегося уровня;      
   
5. Попытки изнутри или снаружи получить доступ к системам (взлом).

Возможные нарушения требований целостности:

1. Потеря данных или незавершенные транзакции;
   
2. Вирусы, «троянские кони» (вредоносное программное обеспечение);      
   
3. Поврежденные сектора на жестких дисках, ошибки четности и памяти;      
   
4. Неверные контрольные суммы или значения хеш-функций.

Возможные нарушения требований доступности:

1. Простои в работе в течение неприемлемого периода времени. Если простой длится дольше, чем оговорено в Соглашении об Уровне Услуг и не может быть устранен в течении определенного времени, вступает в силу чрезвычайный план;      
   
2. Вирусы, «Троянские кони»;
   
3. Кража ноутбуков, комплектующих или носителей информации.

Обзор общепризнанных практик по управлению инцидентами

На сегодняшний день разработано достаточное количество организационных документов, в которых описаны вопросы управления инцидентами ИБ.

Так, подобные вопросы описаны в:

1. ISO/IEC 27001:2005 Information security management system. Requirements. В данном документе выдвигаются общие требования к построению системы управления информационной безопасности, относящиеся в том числе и к процессам управления инцидентами.
   
2. ISO/IEC TR 18044 Information security incident management. Данный документ описывает инфраструктуру управления инцидентами в рамках циклической модели PDCA. Даются подробные спецификации для стадий планирования, эксплуатации, анализа и улучшения процесса. Рассматриваются вопросы обеспечения нормативно-распорядительной документацией, ресурсами, даются подробные рекомендации по необходимым процедурам.
   
3. CMU/SEI-2004-TR-015 Defining incident management processes for CISRT. Этот документ описывает методологию планирования, внедрения, оценки и улучшения процессов управления инцидентами. Основной упор делается на организации работы CISRT (Critical Incident Stress Response Team) — группы или подразделения, обеспечивающего сервис и поддержку предотвращения, обработки и реагирования на инциденты информационной безопасности. Вводится ряд критериев, на основании которых можно оценивать эффективность данных сервисов, приводятся подробные процессные карты.
   
4. NIST SP 800-61 Computer security incident handling guide. Здесь представлен сборник “лучших практик” по построению процессов управления инцидентами и реагирования на них. Подробно разбираются вопросы реагирования на разные типы угроз, такие как распространение вредоносного программного обеспечения, несанкционированный доступ и другие.

В рамках данного обзора невозможно рассмотреть все имеющиеся рекомендации по управлению инцидентами, и вполне вероятно, что наиболее эффективным для конкретной организации будет использование какой-либо другой методологии, в том числе и разработанной самостоятельно. Но на наш взгляд любая используемая методология должна быть совместима с основными современными стандартами систем управления, такими как ISO/IEC 27001 и ISO 20000.

Реагирование на инциденты ИБ – весьма сложный процесс, который требует участия сотрудников многих подразделений компании таких как:

1. Служба ИТ;
   
2. Служба ИБ;
   
3. Отдел кадров;
   
4. Юридическая служба;
   
5. Служба безопасности;
   
6. Бизнес-менеджеры;
   
7. Служба по связям с общественностью и т.д.

Многие компании сейчас создают комиссию по расследованию инцидентов ИБ (Computer Security Incident Response Team – CSIRT), в которую включаются специалисты по решению юридических и технических вопросов.

Далее: Основные этапы процесса реагирования на инцидент