Например, ИБ-специалисты из финансового сектора считают наиболее опасными угрозы утечки платежных данных и злоупотребления доступом. В промышленном и транспортном секторе больше всего опасаются утечек ноу-хау и нелояльного поведения работников. Схожие опасения в ИТ-сфере и телекоммуникационном бизнесе, где наиболее критичны угрозы утечки собственных разработок, коммерческой тайны и платежной информации.

В КАЧЕСТВЕ НАИБОЛЕЕ ВЕРОЯТНЫХ «ТИПОВЫХ» НАРУШИТЕЛЕЙ АНАЛИТИКИ ВЫДЕЛЯЮТ:

• Топ-менеджмент: выбор очевиден – максимально широкие полномочия, доступ к наиболее ценной информации. При этом ответственные за безопасность часто закрывают глаза на нарушения правил ИБ такими фигурами.
• Нелояльные сотрудники: для определения степени лояльности, ИБ-специалистам компании следует проводить аналитику действий отдельного сотрудника.
• Администраторы: специалисты с привилегированным доступом и расширенными полномочиями, обладающие глубокими знаниями в ИТ-сфере, подвержены соблазну получить несанкционированный доступ к важной информации;
• Сотрудники подрядных организаций / аутсорсинг: как и администраторы, эксперты «извне», обладая широкими знаниями, могут реализовать различные угрозы находясь «внутри» информационной системы заказчика.

Определение наиболее значимой информации и наиболее вероятных злоумышленников помогает выстроить систему не тотального, а выборочного контроля пользователей. Это «разгружает» информационную систему и избавляет ИБ-специалистов от избыточной работы.

Помимо выборочного мониторинга значительную роль в ускорении работы системы, повышении качества анализа и снижении нагрузки на инфраструктуру играет архитектура систем аудита. Современные системы аудита действий пользователей имеют распределенную структуру. На конечных рабочих станциях и серверах устанавливаются агенты-сенсоры, которые анализируют события определенного типа и передают данные в центры консолидации и хранения. Системы анализа зафиксированной информации по заложенным в систему параметрам находят в журналах аудита факты подозрительной либо аномальной активности, которую нельзя сразу отнести к попытке реализации угрозы. Эти факты передаются в систему реагирования, которая оповещает администратора безопасности о нарушении.

Если система аудита способна самостоятельно справиться с нарушением (обычно в подобных комплексах ИБ предусмотрен сигнатурный метод реагирования на угрозу), то нарушение пресекается в автоматическом режиме, а все нужные сведения о нарушителе, его действиях и объекте угрозы попадают в специальную базу данных. Консоль администратора безопасности в таком случае уведомляет об обезвреживании угрозы.

Если в системе не заложены способы автоматического реагирования на подозрительную активность, то вся информация для нейтрализации угрозы либо для анализа ее последствий передается на консоль администратора ИБ для выполнения операций в ручном режиме.

В СИСТЕМЕ МОНИТОРИНГА ЛЮБОЙ ОРГАНИЗАЦИИ СЛЕДУЕТ НАСТРОИТЬ ОПЕРАЦИИ:

Аудита использования рабочих станций, серверов, а также времени (по часам и дням недели) активности на них пользователя. Таким способом устанавливается целесообразность использования информационных ресурсов.

Аудита использования рабочих станций, серверов, а также времени (по часам и дням недели) активности на них пользователя. Таким способом устанавливается целесообразность использования информационных ресурсов.

Выявления попыток или фактов установки несанкционированных программ и аппаратных средств. Такие действия позволяют реализовать угрозу утечки, уничтожения данных либо угрожают самой информационной системе.

Мониторинга и реагирования на набор фраз или отдельных слов (работа сенсора аудита в качестве модуля контроля клавиатуры (кейлогера)) выявляет, какой пользователь работает с документами с критичной информацией, определяет его цели и предотвращает утечку данных.

Аудита и фиксации попыток несанкционированного доступа к информации ограниченного использования с отражением в журналах безопасности данных формирует полную картину: кто, откуда, в какое время и какой именно информацией пытался воспользоваться.

Исчерпывающий перечень операций зависит от нескольких параметров: выбранного программного комплекса мониторинга; активации возможностей операционных систем на рабочих станциях и серверах; грамотной и неизбыточной настройки прав доступа и систем логгирования в бизнес-приложениях. Здесь важны компетентность ИБ-специалистов, понимание важности ИБ-обеспечения руководством организации и осознание того, что вложение средств в инфраструктуру мониторинга и защиты информации – не бессмысленные затраты, а фундамент устойчивости и развития бизнеса.