47. Злоумышленные действия и указатели, связанные с несоответствующим использованием.

Инцидент, связанный с несоответствующим использованием, происходит тогда, когда пользователь выполняет действия, которые нарушают приемлемые политики использования вычислительных средств. Несанкционированное использование услуг. (например, Web-сервера, совместное использование файлов, совместное использование музыки): 1)Предупреждения об обнаружении вторжения в сеть.2)Необычный трафик по направлению к узлу и из узла.3)Новый процесс/программное обеспечение установлены и функционируют на узле.4)Новые файлы или каталоги с необычными именами (например, имена в стиле сервера «warez»).5)Увеличившееся использование ресурсов (например, CPU, хранение файлов, деятельность сети).6)Сообщения пользователей.7) Записи журналов регистрации приложений (например, модули(ей) доступа к Internet, серверы(ов) FTP, серверы(ов) e-mail) Доступ к несоответствующим материалам. (например, передача спама): 1)Предупреждения об обнаружении вторжения в сеть.2)Сообщения пользователей.3)Записи журналов регистрации приложений (например, модулей доступа к Internet, серверов FTP, серверов e-mail) 4)Несоответствующие файлы на рабочих станциях, серверах или съемных носителях. Атака в отношении внешней стороны:1)Предупреждения об обнаружении вторжения в сеть.2)Сообщения внешних сторон.3)Записи журналов регистрации сетей, узлов и приложений.

47. Процессы проверки иб ас. Мониторинг иб ас

К процессам проверки ИБ относятся: 1) Мониторинг ИБ АС.2) Проверка соответствия ИБ АС. 3)анализ ИБ АС со стороны руководства. Мониторинг ИБ АС. Это постоянное наблюдение за объектами, влияющими на ОИБ, сбор, анализ и обобщение результатов наблюдения. Для реализации необходимо создавать журналы мониторинга для записи событий связанных с ИБ. Хранить журналы следует в течении установленного времени с целью использования в расследованиях ИБ. Записи мониторинга должны фиксировать следующие события: 1)ид-р пользователя. 2) дата и время входа в систему. 3) ид-р терминала 4)успешные попытки доступа в систему.5) успешные попытки доступа к данным и ресурсам. 6) неуспешные попытки доступа к данным и ресурсам. При распределение ответственности за просмотр журналов нужно разделить роли между лицами, проводящими мониторинг и теми объектами , за которыми осуществляется мониторинг. Необходимо обеспечить безопасность средств регистрации т.к. в случае их преднамеренной модификации могут быть изменены записи мониторинга. Должны быть предусмотрены средства защиты от следующих атак: 1)отключение средств мониторинга 2) редактирование и удаление записей мониторинга. Способы реализации систем мониторинга: 1) Система мониторинга со сбором данных в сегментах; + обработка данных в защищенном домене; – увеличение трафика в сети; злоумышленник может влиять на некоторые компоненты СДМ в сегментах 2) Система мониторинга с первичным анализом данных в сегментах. +уменьшение трафика; некоторые решения по инцидентам не требуют анализа ЛПР; –злоумышленник может влиять на первичный анализ. 3)Система мониторинга с анализом данных в сегментах. +максимальное число решений принимается в доменах; - система мониторинга должна быть интеллектуальна ; злоумышленник в сегменте может влиять на большое число решений.