Практический опыт построения системы централизованного мониторинга ИБ в банковской организации на базе решений Oracle Информационная безопасность для компаний финансового сектора Волков Константин Технический директор Компания ЛИНС-М 13 февраля 2008г.

Содержание: О компании ЛИНС-М Задачи мониторинга ИБ, архитектура решения Источники данных системы Роли системы Интерфейс пользователя системы Результаты внедрения системы Соответствие требованиям стандартов

3 О компании ЛИНС-М Партнеры:Клиенты: Центральный Банк Российской Федерации Банк ВТБ Внешэкономбанк Транстелеком Cisco Systems и другие

4 О компании ЛИНС-М ЛИНС-М: Соучредитель сообщества ABISS: Association for Banking Information Security Standards Разработчик Стандарта Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» СТО БР ИББС-1.0

5 Мониторинг ИБ: СТО БР ИББС-1.0 П.10.9 СТО БР ИББС-1.0: Основными целями мониторинга ИБ в организации являются оперативное и постоянное наблюдение, сбор, анализ и обработка данных под заданные руководством цели. Такими целями анализа могут быть: –контроль за реализацией положений нормативных актов по обеспечению ИБ в организации; –выявление нештатных (или злоумышленных) действий в АБС организации; –выявление инцидентов ИБ. Для целей оперативного и постоянного наблюдения объектов мониторинга могут использоваться как специализированные (например, программные) средства, так и штатные (входящие в коммерческие продукты и системы) средства регистрации действий пользователей, процессов и т.п.

6 Мониторинг ИБ Процесс мониторинга ИБ является неотъемлемой частью деятельности по управлению ИБ Мониторинг ИБ – информационная основа для принятия решений Мониторинг ИБ - свидетельство оценок состояния ИБ организации

7 Мониторинг ИБ Проблемы при мониторинге ИБ:

8 Решение SOC II предназначен: для анализа соответствия текущего уровня информационной безопасности принятым в организации требованиям для обеспечения целостности, защиты от подмены и уничтожения данных аудита ИБ ресурсов организации для обеспечения централизованной обработки данных аудита ИБ, агрегируемых при сборе от существующих систем мониторинга ИБ для генерации отчетности различных уровней детализации по результатам анализа данных аудита ИБ Центр координации деятельности по ИБ Security Operations Center Information Intelligence (SOC II)

9 Архитектура решения SOC II

10 Архитектура решения SOC II Интерфейсы: Oracle Warehouse Builder Средства репликации СУБД Oracle. Хранение данных и архивирование: СУБД Oracle 10g Enterprise Edition Oracle ILM Assistant Аналитика и предоставление отчетности: Собственные разработки ЛИНС-М Oracle Business Intelligence Suite Подсистема информационной безопасности: Oracle Database Vault

11 Источники данных SOC II

12 Поддерживаемые форматы данных аудита ИБ: базы данных таблицы баз данных cтруктурированные ascii файлы записи syslog любые форматы, поддерживаемые Oracle Warehouse Builder Источники данных SOC II

13 Роли системы SOC II предполагает наличие в структуре Банка следующих ролей: [Оператор]: отслеживание событий, информирование Офицера ИБ об отклонениях [Аналитик]: расследование инцидентов ИБ, анализ изменений и трендов [Офицер ИБ]: общее управление, отвечает за ИБ [Администратор БД SOC II]: обслуживание БД [Специалист по настройке]: внесение изменений в настройки SOC II

14 Логика работы системы

15 Интерфейс SOC II

16 Интерфейс

17 Интерфейс: угрозы Угрозы: представление информации по оборудованию

18 Интерфейс: угрозы Угрозы: представление информации по территориальному признаку

19 Интерфейс: детализация

20 Интерфейс: задачи ИБ

21 Интерфейс: требования ИБ

22 Интерфейс: требования ИБ

23 Оповещения и отчетность Механизмы отчетности: Генерация отчетности в формате pdf/doc/html на основании шаблонов, принятых в организации Автоматическая рассылка отчетов заданным адресатам Генерация отчетности по расписанию Механизмы оповещений: IM-сообщения Звуковые уведомления

24 Результаты внедрения

25 Соответствие стандартам Соответствие требованиям СТО БР ИББС-1.0: п – процессный подход, включающий мониторинг п реализация процесса обнаружения и реагирования на инциденты безопасности п мониторинг и контроль защитных мер п.9.7 – полномочия и действия службы информационной безопасности п – журналы регистрации инцидентов ИБ п обнаружение и регистрации отклонений функционирования защитных мер от требований ИБ

26 Соответствие стандартам Соответствие требованиям ISO 27001:2005 Раздел А Мониторинг: –Ведение журналов аудита –Мониторинг использования систем –Защита информации журналов регистрации –Журналы регистрации администратора и –оператора –Регистрация неисправностей Раздел А Менеджмент инцидентов ИБ: –Сообщение о событиях информационной безопасности –Изучение инцидентов информационной безопасности –Сбор свидетельств И т.д.

27 ЛИНС-М Волков Константин Технический директор Спасибо за внимание!