ЗКУ.4 – Приказ ФСТЭК России № 117
Мониторинг процессов и состояния устройства
Цель
Выявление несанкционированных действий пользователей и выполняемых процессов на конечных устройствах пользователей и серверов.
Требования к реализации
Должен обеспечиваться мониторинг процессов и состояния конечных устройств пользователей и серверов в соответствии с мерами защиты информации РСБ.1 – РСБ.5.
При мониторинге процессов и состояний рекомендуется отслеживать:
запуск (завершение) программ и процессов (заданий, задач), связанных с обработкой защищаемой информации;
выполнение процессов с высоким уровнем привилегий, скрытых процессов и системных служб;
выполнение процессов, инициированных средствами защиты информации конечных устройств;
выполнение команд в интерпретаторе командной строки;
попытки доступа к защищаемым объектам доступа (техническим средствам, узлам сети, линиям (каналам) связи, внешним устройствам, программам, томам, каталогам, файлам, записям, полям записей и иным объектам доступа);
попытки идентификации и аутентификации пользователей конечных устройств;
попытки удаленного доступа;
подключение внешних устройств с использованием интерфейсов ввода-вывода;
попытки осуществления беспроводного доступа;
изменение программной конфигурации конечного устройства.
Указанные меры защиты информации реализуются путем применения механизмов безопасности операционных систем, и (или) средств обнаружения и реагирования на уровне узла, и (или) иных средств защиты информации.
Требования к документированию
Не предъявляются.
Требования к усилению
1) при осуществлении мониторинга процессов и состояния конечных устройств должны выявляться аномалии в действиях пользователей и выполнении процессов конечных устройств;
2) должна обеспечиваться интеграция результатов мониторинга процессов и состояния конечных устройств, полученных по результатам отслеживания разных процессов, и их корреляция с целью выявления инцидентов безопасности и реагирования на них.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- ЗКУ — Защита конечных устройств
- Классы защищённости
- К3, К2, К1
- Организационное закрытие
- только технически – нужно техническое средство
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её. Подбор СрЗИ под требования приказа покажет, что можно применить.