АУД.4

Регистрация событий безопасности

№ 239 — АУД.4, № 117 — РСБ.4, № 31 — АУД.4. В № 21 такой меры нет.

О чём эта мера

Пояснение составлено нами, это не текст приказа — в приказе формулировка меры исчерпывается её названием. Дословные формулировки по каждому приказу — ниже на этой странице.

Мера требует определить перечень регистрируемых событий безопасности и состав каждой записи, а не просто включить журналирование. Перечень выводится из угроз: регистрируется то, по чему потом можно будет восстановить ход событий.

На практике в перечень входят вход и выход, неуспешные попытки доступа, изменение прав и состава учётных записей, действия администраторов, запуск и остановка средств защиты, обращение к защищаемым объектам. В записи — дата и время, субъект, объект, результат. Отдельно задаётся срок хранения. Без единого времени события с разных узлов в одну картину не складываются — синхронизация вынесена в АУД.3 (РСБ.6 в № 21, РСБ.3 в № 117). Защита журналов — тоже отдельная мера АУД.6 (РСБ.7 в № 21); № 117 объединяет её со сбором и хранением в РСБ.4, а перечень событий и состав записи выносит в РСБ.1.

Где обычно спотыкаются: включают регистрацию всего подряд, журнал переполняется и перезаписывается за сутки — событие зарегистрировано, но к моменту разбора его уже нет, и это уже отказ по АУД.8. Кроме того, журналы нередко остаются на том же узле, который и компрометируют, и первым действием нарушителя становится их очистка.

Текст меры по приказам

Одинаковый код в разных приказах не означает одинаковую меру. Например, ЗСВ.1 в № 117 — это «Доверенная загрузка», а в № 21 — «Идентификация и аутентификация». Поэтому текст меры приводится отдельно по каждому приказу.

№ 239 АУД.4 Требования по обеспечению безопасности значимых объектов КИИ

Регистрация событий безопасности

Входит в базовый набор: 123

№ 117 РСБ.4 Требования о защите информации в государственных информационных системах

Требования к сбору, хранению и защите данных о событиях безопасности

Входит в базовый набор: 123

№ 21 Меры по обеспечению безопасности персональных данных в ИСПДн

Меры с таким смыслом в этом приказе нет. Если угроза, которую она закрывает, для системы актуальна, меру берут из другого источника. Это шаг 4 методики — дополнение базового набора.

№ 31 АУД.4 Требования к обеспечению защиты информации в АСУ ТП

Регистрация событий безопасности

Входит в базовый набор: 123

Чем эту меру закрывают

Классы средств защиты, которыми мера реализуется на практике.

Это подсказка, а не требование приказа: класс средств защиты в тексте меры не назван, связь определена экспертным путём. Как читать эту привязку и почему здесь нет названий продуктов.

DCAP / DAG Находит чувствительные файлы на общих ресурсах, показывает, у кого к ним есть доступ, и протоколирует обращения.
DAM / DBF Разбирает обращения к СУБД, ведёт их журнал и блокирует запросы, выходящие за рамки разрешённых.
СЗИ от НСД Наложенное средство на рабочей станции и сервере: разграничивает доступ к ресурсам, замыкает программную среду, контролирует носители и ведёт собственный журнал событий.
ОС в защищённом исполнении Операционная система, в которой разграничение доступа, замкнутая программная среда, изоляция процессов и журналирование встроены в ядро, а не добавлены наложенным средством.
SIEM Собирает журналы со всех источников, хранит их и выявляет инциденты правилами корреляции.
Шлюз доступа к ИИ-сервисам Заводит обращения сотрудников и приложений к моделям через одну точку с учётом, квотами и журналом.

Какие угрозы закрывает

41 угроза БДУ, для которых эта мера входит в сопоставление. Обратный перечень считается из того же отображения «угроза → меры», по которому строится отчёт: второго перечня не существует.

Нужна не отдельная угроза, а модель угроз целиком?

Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.

Зарегистрироваться Как это работает