Практический опыт мониторинга и анализа компьютерных атак
•Download as PPTX, PDF•
0 likes•720 views
На семинаре «Российские компании на страже информации» в Уфе 1 марта 2016 года Роман Кобцев рассказал, как работает наш Центр мониторинга и с какими угрозами он помогает бороться.
Recommended
Recommended
More Related Content
What's hot
What's hot (18)
Viewers also liked
Viewers also liked (20)
Similar to Практический опыт мониторинга и анализа компьютерных атак
Similar to Практический опыт мониторинга и анализа компьютерных атак (20)
Практический опыт мониторинга и анализа компьютерных атак
- 1. ПРАКТИЧЕСКИЙ ОПЫТ МОНИТОРИНГА И АНАЛИЗА КОМПЬЮТЕРНЫХ АТАК Роман Кобцев Директор по развитию бизнеса ЗАО «Перспективный мониторинг», ГК «ИнфоТеКС» Республика Башкортостан, Уфа, 1 марта 2016 г.
- 2. Из выступления В.В. Путина 26 февраля 2016 г. на коллегии ФСБ: «Под особым контролем должны оставаться вопросы защиты национальных информационных ресурсов. Количество кибератак на официальные сайты и информационные системы органов власти России не уменьшается, только в прошлом году их пресечено около 74 миллионов» Источник: http://kremlin.ru/events/president/news/49006
- 3. Нормативные и правовые основания: Указ Президента РФ от 15 января 2013 г. N 31с «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации» Концепция государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (утв. Президентом РФ 12 декабря 2014 г. N К 1274)
- 4. Нормативные и правовые основания: Приказ ФСТЭК России от 14 марта 2014 г. N 31 г. Москва «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды» Приказ ФСТЭК России от 18 февраля 2013 г. N 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» Приказ ФСТЭК России от 11 февраля 2013 г. N 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»
- 5. Нормативные и правовые основания: Приказ ФСБ РФ и Федеральной службы по техническому и экспортному контролю от 31 августа 2010 г. N 416/489 «Об утверждении Требований о защите информации, содержащейся в информационных системах общего пользования».
- 6. Структура ГосСОПКА Создаёт и эксплуатирует ФСБ Главный, региональный и территориальные центры Орган государственной власти или лицензиат Ведомственные центры Госкорпорация, оператор связи или лицензиат Корпоративные центры Источник: "Выписка из Концепции государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации" (утв. Президентом РФ 12.12.2014 N К 1274)
- 7. Подключение к центру мониторинга ЦМ ИС заказчика Комплекс средств мониторинга ViPNet TIAS ViPNet IDS / IDS ViPNet VPN Группа реагирования Оповещение
- 8. Пример схемы сбора данных
- 9. Обновление сигнатур IDS 100 новых правил в месяц Единственный разработчик Snort-правил вне США и Великобритании
- 11. Разработанные инструменты Аналитик уязвимостей Сигнатурный аналитик Аналитик IDS/СОА Аналитик инцидентов АС мониторинга уязвимостей АС мониторинга оборудования АС обработки уязвимостей
- 12. Разработанные инструменты Аналитик уязвимостей Сигнатурный аналитик Аналитик IDS/СОА Аналитик инцидентов АС поиска и анализа информации по типовым форматам в публичных (анонимных) источниках
- 13. Разработанные инструменты Аналитик уязвимостей Сигнатурный аналитик Аналитик IDS/СОА Аналитик инцидентов АС анализа событий ИБ (IDS) АС обработки инцидентов
- 14. Разработанные инструменты Аналитик уязвимостей Сигнатурный аналитик Аналитик IDS/СОА Аналитик инцидентов АС анализа вредоносного трафика, программного обеспечения и атак
- 15. Почему важна экспертная поддержка Источник: Building a World-Class Security Operations Center: A Roadmap © 2015 SANSTM Institute
- 16. Работа с данными 400 000 событий в сутки IDS, шлюзы, сканеры, антивирусы, syslog 500 Автоматическая сортировка в ЦМ 200 Ручной анализ 2-10 карточек инцидентов
- 18. Управление инцидентами Группареагирования Сообщения служб ИТ и ИБ ЦМ Служба ИБ Проверка оператором База инцидентов Детальный анализ Немедленное реагирование Контроль инцидента АВ Служба ИТ Улучшение СИБ Инцидент? IDS/IPS Да Мониторинг Автоматический анализ, идентификация Сканеры Syslog Шлюзы События Оповещение Нет
- 20. Отчёт
Editor's Notes
- Tier 1 Alert Analyst Continuously monitors the alert queue; triages security alerts; monitors health of security sensors and endpoints; collects data and context necessary to initiate Tier 2 work. Tier 2 Incident Responder Performs deep-dive incident analysis by correlating data from various sources; determines if a critical system or data set has been impacted; advises on remediation; provides support Tier 3 Subject Matter Expert/ Hunter Possesses in-depth knowledge on network, endpoint, threat intelligence, forensics and malware reverse engineering, as well as the functioning of specific applications or underlying IT infrastructure; acts as an incident “hunter,” not waiting for escalated incidents; closely involved in developing, tuning and implementing threat detection analytics for new analytic methods for detecting threats. SOC Manager Manages resources to include personnel, budget, shift scheduling and technology strategy to meet SLAs; communicates with management; serves as organizational point person for business-critical incidents; provides overall direction for the SOC and input to the overall security strategy
- Средства мониторинга собирают данные о событиях от различных источников в инфраструктуре заказчика. На первом этапе собранные события подвергаются автоматическому анализу, фильтрации и классификации. Оператор получает отфильтрованные данные и анализирует их с целью выявления подозрительных событий. По факту выявления потенциального инцидента ИБ он оповещает ответственных лиц и проводит ручной разбор инцидента по выявляющим признакам. Информация о подозрительных событиях поступает не только от сенсоров — в ЦМ с информацией о событии может обратиться непосредственно заказчик. Далее информация передаётся аналитику Центра мониторинга для более детального исследования. Если инцидент подтверждается, аналитик оповещает группу реагирования. Он подробно описывает параметры инцидента (время, классификатор, источник данных, источник атаки, признаки атаки, эксплуатируемую уязвимость и т.д.). Группа реагирования, которая обычно состоит из сотрудников служб ИБ и ИТ и дежурной смены Центра мониторинга , предпринимает меры по локализации атаки и защите атакуемых информационных активов. Каждый зафиксированный инцидент ИБ даёт информацию для модернизации средств и мер защиты.