УПД.4 – Приказ ФСТЭК России № 117

Ограничение неуспешных и нерегламентированных попыток доступа в информационную систему

Усиления, обязательные по классам

К2

1) в информационной системе должна быть обеспечена реализация автоматического блокирования и (или) удаления временных и неиспользуемых учетных записей, а также оповещение о данном событии привилегированного пользователя (администратора), отвечающего за управление и контроль над учетными записями пользователей;
2) разблокирование доступа привилегированных субъектов доступа, превысивших число неуспешных попыток доступа в информационную систему, может выполняться только главным администратором.

К1

1) в информационной системе должна быть обеспечена реализация автоматического блокирования и (или) удаления временных и неиспользуемых учетных записей, а также оповещение о данном событии привилегированного пользователя (администратора), отвечающего за управление и контроль над учетными записями пользователей;
2) разблокирование доступа привилегированных субъектов доступа, превысивших число неуспешных попыток доступа в информационную систему, может выполняться только главным администратором.

Цель

Защита информационной системы посредством ограничений прав доступа субъектов доступа, превысивших число неуспешных попыток доступа в информационную систему либо осуществляющих попытки доступа в информационную систему в нерегламентированное (нештатное) время.

Требования к реализации

В информационной системе должно быть обеспечено ограничение права доступа субъектов доступа, превысивших число неуспешных попыток доступа в информационную систему за установленный в информационной системе период времени.

Ограничение прав доступа должно реализовываться в отношении:

субъектов доступа, являющихся пользователями и устройствами информационной системы;

субъектов доступа (нарушителей), осуществляющих попытки получения несанкционированного доступа к информационной системе с использованием взаимодействующих с информационной системой устройств и приложений.

Ограничение прав доступа в информационную систему должно выполняться посредством автоматического анализа событий попыток доступа в информационную систему в соответствии с мерами защиты информации ИАФ.1 – ИАФ.4.

Ограничение прав доступа должно выполняться посредством блокирования учетной записи пользователя, устройства или приложения в информационной системе, а также посредством блокирования доступа на основе совпадения технических признаков (например, IP-адрес, сигнатуры сведений о пользовательском агенте).

Требования к документированию

В эксплуатационной документации на информационную систему должны быть определены:

установленное в информационной системе значение допустимого числа неуспешных попыток входа;

период времени, в течение которого учитываются попытки входа;

типы объектов блокирования (учетные записи, устройства, характеризуемые техническими признаками приложения);

периоды времени существования различных типов временных учетных записей;

периоды допустимого времени неактивности различных типов учетных записей;

регламентированное (штатное) время входа и (или) конкретные типы доступа субъектов доступа к объектам доступа;

порядок блокирования субъектов доступа;

условия разблокирования учетной записи или устройства, например, интервалы времени автоматического разблокирования, разблокирование в результате подтверждения привилегированным пользователем (администратором).

Требования к усилению

1) в информационной системе должна быть обеспечена реализация автоматического блокирования и (или) удаления временных и неиспользуемых учетных записей, а также оповещение о данном событии привилегированного пользователя (администратора), отвечающего за управление и контроль над учетными записями пользователей;

2) разблокирование доступа привилегированных субъектов доступа, превысивших число неуспешных попыток доступа в информационную систему, может выполняться только главным администратором.

Приказ: Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
Группа мер: УПД — Управление доступом
Классы защищённости: К3, К2 (усиления: 1, 2), К1 (усиления: 1, 2)
Организационное закрытие: только технически – нужно техническое средство