Мониторинг средств защиты информации: что входит в работу и кто этим занят

Компания может приобрести межсетевой экран, антивирус, систему защиты почты и другие средства защиты информации. Но сами по себе они не гарантируют безопасность. Средства нужно правильно настроить, обновлять, следить за их работой и реагировать на то, что они обнаруживают. Именно это и называется администрированием и мониторингом средств защиты информации — СЗИ.

Какие средства защиты бывают

• Межсетевые экраны — контроль сетевого трафика на границе сети и между сегментами
• Антивирусы и системы класса EDR — защита компьютеров и серверов
• Защита почты — фильтрация спама, фишинга и вредоносных вложений
• VPN — защищённый удалённый доступ
• Системы обнаружения и предотвращения вторжений — выявление атак в сетевом трафике
• Системы управления доступом — учётные записи, права, многофакторная аутентификация
• Системы предотвращения утечек — контроль передачи конфиденциальных данных
• SIEM — сбор и анализ событий безопасности из всех источников
• Средства резервного копирования — защита от потери данных

Администрирование

Администрирование — поддержание средств защиты в рабочем и правильно настроенном состоянии:

1. Настройка правил и политик под инфраструктуру и требования компании
2. Обновления — программного обеспечения средств защиты и баз сигнатур угроз
3. Управление правилами — добавление, изменение, удаление правил межсетевых экранов и политик с документированием
4. Управление доступом — учётные записи администраторов, права, журнал действий
5. Проверка работоспособности — все ли агенты установлены и активны, не отключена ли защита на части компьютеров
6. Резервное копирование конфигураций

Типичная проблема без регулярного администрирования — накопление устаревших правил межсетевого экрана, которые открывают доступ, давно не нужный, и компьютеры, на которых антивирус давно не обновлялся.

Мониторинг

Мониторинг — постоянное наблюдение за событиями, которые фиксируют средства защиты:

• срабатывания антивируса и EDR
• заблокированные и подозрительные сетевые соединения
• неудачные попытки входа, особенно серийные
• вход в нестандартное время или из необычных мест
• изменения прав и групп администраторов
• отключение средств защиты
• признаки утечки данных

Событий очень много, и большинство из них — штатные. Задача мониторинга — выделить из потока те, которые требуют внимания. Для этого используются SIEM-системы с правилами корреляции: например, несколько неудачных входов, а затем успешный вход и запуск необычной программы — это подозрительная цепочка.

Реагирование

Обнаружение без реагирования бесполезно. Нужен порядок действий:

• оценка события: ложное срабатывание или реальный инцидент
• сдерживание: изоляция заражённого компьютера, блокировка учётной записи
• устранение: удаление вредоносной программы, закрытие уязвимости
• восстановление работы
• разбор и улучшение защиты

Отчётность

Руководство должно понимать состояние защиты. Регулярные отчёты включают:

• состояние средств защиты: покрытие, обновления
• значимые события и инциденты за период
• выявленные уязвимости и статус их устранения
• рекомендации по улучшению

Отчёт должен быть понятен руководителю, а не только техническому специалисту.

Кто этим занимается

Собственный специалист или отдел — для крупных компаний с большим количеством систем. Требует квалифицированных кадров, которых не хватает на рынке.

Аутсорсинг — внешняя компания или центр мониторинга безопасности, SOC, берёт на себя мониторинг и реагирование. Особенно оправдан для круглосуточного мониторинга, который своими силами обеспечить сложно.

Смешанная модель — внутренний специалист отвечает за администрирование и взаимодействие, внешний SOC — за мониторинг.

Требования регуляторов

Для отдельных отраслей и организаций — финансовых, государственных, критической инфраструктуры — законодательство Узбекистана и отраслевые регуляторы устанавливают требования к защите информации. Уточните, какие требования распространяются на вашу компанию.

Типичные проблемы

• Средства защиты куплены, но настроены по умолчанию
• Никто не смотрит журналы и оповещения
• Нет порядка реагирования на инциденты
• Отключённая защита на части компьютеров, о которой никто не знает

Если хотите понять, насколько эффективно работают ваши средства защиты, или передать мониторинг на аутсорсинг, напишите — проведём оценку.