РСБ.2 – Приказ ФСТЭК России № 117
Анализ событий безопасности и реагирование на них
Цель
Своевременное выявление признаков компьютерных атак и инцидентов безопасности.
Требования к реализации
Анализ записей регистрации должен проводиться для всех событий, подлежащих регистрации в соответствии с мерой защиты информации РСБ.1, с периодичностью, установленной оператором и обеспечивающей своевременное выявление признаков компьютерных атак и инцидентов безопасности.
В случае выявления признаков компьютерных атак и инцидентов безопасности в информационной системе осуществляется проведение мероприятий по реагированию на выявленные компьютерные атаки и инциденты безопасности.
Требования к документированию
В эксплуатационной документации на информационную систему должны быть определены периодичность проведения анализа событий безопасности, а также порядок реагирования на выявленные признаки компьютерных атак и инциденты безопасности.
Требования к усилению
1) в информационной системе должны обеспечиваться сбор результатов анализа записей регистрации из разных источников (журналов, хранилищ информации о событиях безопасности) и их корреляция с целью выявления инцидентов безопасности и реагирования на них;
2) в информационной системе должна обеспечиваться интеграция процессов анализа результатов регистрации событий безопасности с результатами анализа уязвимостей и результатами обнаружения вторжений с целью усиления возможностей по выявлению признаков инцидентов безопасности;
3) в информационной системе должен обеспечиваться полнотекстовый анализ привилегированных команд;
4) оператором должен обеспечиваться анализ записанных сетевых потоков (дампов);
5) реагирование на компьютерные инциденты должно осуществляться с учетом ГОСТ Р 59712-2022 «Защита информации. Управление компьютерными инцидентами. Руководство по реагированию на компьютерные инциденты».
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- РСБ — Регистрация событий безопасности
- Классы защищённости
- К3, К2, К1
- Организационное закрытие
- сложно закрыть организационными мероприятиями
Похожие меры в других приказах
- РСБ.5 — Приказ ФСТЭК России № 17: Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них
- РСБ.5 — Приказ ФСТЭК России № 21: Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них
- АУД.7 — Приказ ФСТЭК России № 239: Мониторинг безопасности
Закрывают: Kaspersky Endpoint Detection and Response (KEDR), Kaspersky Industrial CyberSecurity for Networks, Kaspersky Unified Monitoring and Analysis Platform (KUMA), PT Network Attack Discovery (PT NAD).
Kaspersky Endpoint Detection and Response (KEDR): Компонент Threat Hunting — проактивный поиск угроз по запросам и правилам IOA, сопоставление обнаружений с базой MITRE ATT&CK.
Kaspersky Industrial CyberSecurity for Networks: Онлайн-мониторинг текущего состояния системы через виджеты, карты сетевых взаимодействий; передача статуса в Kaspersky Security Center.
Kaspersky Unified Monitoring and Analysis Platform (KUMA): Компонент Correlator анализирует нормализованные события в реальном времени по правилам корреляции и формирует алерты; дашборды и виджеты для мониторинга.
PT Network Attack Discovery (PT NAD): Ретроспективный анализ выявляет атаки прошлого и распределённые во времени угрозы; поддерживает загрузку внешних записей трафика для анализа. - АУД.7 — Приказ ФСТЭК России № 31: Мониторинг безопасности
Закрывают: Kaspersky Endpoint Detection and Response (KEDR), Kaspersky Industrial CyberSecurity for Networks, Kaspersky Unified Monitoring and Analysis Platform (KUMA), PT Network Attack Discovery (PT NAD).
Kaspersky Endpoint Detection and Response (KEDR): Компонент Threat Hunting — проактивный поиск угроз по запросам и правилам IOA, сопоставление обнаружений с базой MITRE ATT&CK.
Kaspersky Industrial CyberSecurity for Networks: Онлайн-мониторинг текущего состояния системы через виджеты, карты сетевых взаимодействий; передача статуса в Kaspersky Security Center.
Kaspersky Unified Monitoring and Analysis Platform (KUMA): Компонент Correlator анализирует нормализованные события в реальном времени по правилам корреляции и формирует алерты; дашборды и виджеты для мониторинга.
PT Network Attack Discovery (PT NAD): Ретроспективный анализ выявляет атаки прошлого и распределённые во времени угрозы; поддерживает загрузку внешних записей трафика для анализа.
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её, но по аналогичным мерам других приказов средства есть – см. «Похожие меры» выше. Подбор СрЗИ под требования приказа покажет, что можно применить.