СОВ.1 – Приказ ФСТЭК России № 117
Обнаружение и предотвращение вторжений на периметре
Усиления, обязательные по классам
К2
- 1) в информационной системе должны разрабатываться (модернизироваться) решающие правила с целью предотвращения компьютерных атак, специфичных для информационной системы, а также новых компьютерных атак, информация о которых была получена из открытых или иных источников;
К1
- 1) в информационной системе должны разрабатываться (модернизироваться) решающие правила с целью предотвращения компьютерных атак, специфичных для информационной системы, а также новых компьютерных атак, информация о которых была получена из открытых или иных источников;
Цель
Обнаружение и предотвращение вторжений (компьютерных атак) со стороны внешних нарушителей на периметре информационных систем.
Требования к реализации
При обнаружении и предотвращении вторжений на периметре должны обеспечиваться:
получение сетевого трафика (копии сетевого трафика) для анализа;
обнаружение (предотвращение) вторжений (компьютерных атак) на периметре информационной системы;
реагирование на компьютерные атаки (например, уведомление администратора безопасности, блокирование трафика) в соответствии с эксплуатационной документацией;
автоматизированное получение и обновление баз решающих правил и индикаторов атак средств защиты информации с ресурсов разработчика средства и (или) с настраиваемых локальных ресурсов по расписанию и (или) по требованию.
Указанные меры защиты информации реализуются за счет применения систем обнаружения вторжений уровня сети, и (или) многофункциональных межсетевых экранов уровня сети, и (или) иных средств защиты информации.
Требования к документированию
В эксплуатационной документации на информационную систему должен быть определен порядок обнаружения и предотвращения вторжений на периметре.
Требования к усилению
1) в информационной системе должны разрабатываться (модернизироваться) решающие правила с целью предотвращения компьютерных атак, специфичных для информационной системы, а также новых компьютерных атак, информация о которых была получена из открытых или иных источников;
2) должно осуществляться обнаружение вторжений на прикладном уровне;
3) должна обеспечиваться возможность анализа извлекаемых из сетевых пакетов данных, инкапсулированных в преобразованном (кодированном) виде, на предмет обнаружения вторжений (компьютерных атак);
3) должна обеспечиваться возможность хранения фрагментов собранного сетевого трафика;
5) должна обеспечиваться возможность ретроспективного анализа сетевого трафика;
6) должна обеспечиваться возможность выявления аномалий сетевого трафика;
7) должна обеспечиваться возможность анализа вложений и объектов, извлекаемых из сетевого трафика (исполняемых файлов, ссылок, архивов и других объектов), с возможностью их передачи в замкнутую программную среду исполнения («песочницу») для динамического анализа в автоматическом режиме;
8) должны применяться средства защиты информации, обладающие комплексными функциональными возможностями по обнаружению вторжений, анализу сетевого трафика на предмет наличия вредоносного программного обеспечения, в том числе с использованием замкнутой программной среды исполнения («песочницы»);
9) должно обеспечиваться использование репутационной базы угроз для проверки сетевых и прикладных артефактов (IP-адресов, доменов, URL) в масштабе, близком к реальному времени;
10) должны применяться пассивные (энергонезависимые) технические средства однонаправленного ответвления сетевого трафика для получения копии сетевого трафика системами обнаружения вторжений уровня сети для анализа.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- СОВ — Обнаружение и предотвращение вторжений на сетевом уровне
- Классы защищённости
- К3, К2 (усиления: 1), К1 (усиления: 1)
- Организационное закрытие
- только технически – нужно техническое средство
Похожие меры в других приказах
- СОВ.1 — Приказ ФСТЭК России № 17: Обнаружение вторжений
Закрывают: DATAPK, Kaspersky Industrial CyberSecurity for Networks, PT Industrial Security Incident Manager (PT ISIM), PT Network Attack Discovery (PT NAD), UserGate NGFW, Континент 4.
DATAPK: Обнаруживает компьютерные атаки и сетевые аномалии в технологической сети.
Kaspersky Industrial CyberSecurity for Networks: Анализ трафика промышленной сети выявляет признаки сетевых атак и отклонения технологических параметров.
PT Industrial Security Incident Manager (PT ISIM): Выявляет последовательность действий злоумышленника на каждом этапе атаки в технологической сети, а не только отдельные срабатывания, как классические СОВ.
PT Network Attack Discovery (PT NAD): Выявляет аномальную сетевую активность, скомпрометированные узлы и целенаправленные атаки, в т.ч. в зашифрованном трафике.
UserGate NGFW: Встроенная система обнаружения вторжений работает совместно с межсетевым экраном в одном устройстве.
Континент 4: Встроенная система обнаружения и предотвращения вторжений уровня сети. - СОВ.1 — Приказ ФСТЭК России № 21: Обнаружение вторжений
Закрывают: DATAPK, Kaspersky Industrial CyberSecurity for Networks, PT Industrial Security Incident Manager (PT ISIM), PT Network Attack Discovery (PT NAD), UserGate NGFW, Континент 4.
DATAPK: Обнаруживает компьютерные атаки и сетевые аномалии в технологической сети.
Kaspersky Industrial CyberSecurity for Networks: Анализ трафика промышленной сети выявляет признаки сетевых атак и отклонения технологических параметров.
PT Industrial Security Incident Manager (PT ISIM): Выявляет последовательность действий злоумышленника на каждом этапе атаки в технологической сети, а не только отдельные срабатывания, как классические СОВ.
PT Network Attack Discovery (PT NAD): Выявляет аномальную сетевую активность, скомпрометированные узлы и целенаправленные атаки, в т.ч. в зашифрованном трафике.
UserGate NGFW: Встроенная система обнаружения вторжений работает совместно с межсетевым экраном в одном устройстве.
Континент 4: Встроенная система обнаружения и предотвращения вторжений уровня сети. - СОВ.1 — Приказ ФСТЭК России № 239: Обнаружение и предотвращение компьютерных атак
Закрывают: DATAPK, Kaspersky Industrial CyberSecurity for Networks, PT Industrial Security Incident Manager (PT ISIM), PT Network Attack Discovery (PT NAD), UserGate NGFW, Континент 4.
DATAPK: Обнаруживает компьютерные атаки и сетевые аномалии в технологической сети.
Kaspersky Industrial CyberSecurity for Networks: Анализ трафика промышленной сети выявляет признаки сетевых атак и отклонения технологических параметров.
PT Industrial Security Incident Manager (PT ISIM): Выявляет последовательность действий злоумышленника на каждом этапе атаки в технологической сети, а не только отдельные срабатывания, как классические СОВ.
PT Network Attack Discovery (PT NAD): Выявляет аномальную сетевую активность, скомпрометированные узлы и целенаправленные атаки, в т.ч. в зашифрованном трафике.
UserGate NGFW: Встроенная система обнаружения вторжений работает совместно с межсетевым экраном в одном устройстве.
Континент 4: Встроенная система обнаружения и предотвращения вторжений уровня сети. - СОВ.1 — Приказ ФСТЭК России № 31: Обнаружение и предотвращение компьютерных атак
Закрывают: DATAPK, Kaspersky Industrial CyberSecurity for Networks, PT Industrial Security Incident Manager (PT ISIM), PT Network Attack Discovery (PT NAD), UserGate NGFW, Континент 4.
DATAPK: Обнаруживает компьютерные атаки и сетевые аномалии в технологической сети.
Kaspersky Industrial CyberSecurity for Networks: Анализ трафика промышленной сети выявляет признаки сетевых атак и отклонения технологических параметров.
PT Industrial Security Incident Manager (PT ISIM): Выявляет последовательность действий злоумышленника на каждом этапе атаки в технологической сети, а не только отдельные срабатывания, как классические СОВ.
PT Network Attack Discovery (PT NAD): Выявляет аномальную сетевую активность, скомпрометированные узлы и целенаправленные атаки, в т.ч. в зашифрованном трафике.
UserGate NGFW: Встроенная система обнаружения вторжений работает совместно с межсетевым экраном в одном устройстве.
Континент 4: Встроенная система обнаружения и предотвращения вторжений уровня сети.
Средства защиты, предназначенные для этой меры
- DATAPK (CyberLympha, Средства обнаружения вторжений): Обнаруживает компьютерные атаки и сетевые аномалии в технологической сети. (сформировано автоматически, проверяется)
- Kaspersky Industrial CyberSecurity for Networks (Kaspersky, Средства защиты АСУ ТП): Анализ трафика промышленной сети выявляет признаки сетевых атак и отклонения технологических параметров. (сформировано автоматически, проверяется)
- PT Industrial Security Incident Manager (PT ISIM) (Positive Technologies, Средства защиты АСУ ТП): Выявляет последовательность действий злоумышленника на каждом этапе атаки в технологической сети, а не только отдельные срабатывания, как классические СОВ. (сформировано автоматически, проверяется)
- PT Network Attack Discovery (PT NAD) (Positive Technologies, Средства обнаружения вторжений): Выявляет аномальную сетевую активность, скомпрометированные узлы и целенаправленные атаки, в т.ч. в зашифрованном трафике. (сформировано автоматически, проверяется)
- UserGate NGFW (UserGate, Средства обеспечения сетевой безопасности): Встроенная система обнаружения вторжений работает совместно с межсетевым экраном в одном устройстве. (сформировано автоматически, проверяется)
- Континент 4 (Код Безопасности, Средства обеспечения сетевой безопасности): Встроенная система обнаружения и предотвращения вторжений уровня сети. (сформировано автоматически, проверяется)