Презентация - Чем пристальнее смотришь, тем меньше видишь мониторинг информационной безопасности промышленная

Чем пристальнее смотришь, тем меньше видишь Мониторинг информационной безопасности Промышленная кибербезопасность
30.09.2020 Код ИБ Онлайн - Безопасная среда
Алексей Комаров https://ZLONOV.ru

Содержание О чём будем говорить
Термины Новый ГОСТ по мониторингу ИБ Влияние 187-ФЗ Типовые ошибки А может SOC? Не забудьте про ГосСОПКА
@zlonov

Мониторинг В широком смысле слова
Мониторинг — система постоянного наблюдения за явлениями и процессами, проходящими в окружающей среде и обществе, результаты которого служат для обоснования управленческих решений по обеспечению безопасности людей и объектов экономики. В рамках системы наблюдения происходит оценка, контроль объекта, управление состоянием объекта в зависимости от воздействия определённых факторов.
@zlonov

Мониторинг ИБ Проект национального стандарта
мониторинг информационной безопасности: Процесс постоянного наблюдения и анализа результатов регистрации событий безопасности с целью выявления нарушений безопасности информации, угроз безопасности информации и уязвимостей в информационных (автоматизированных) системах. Проект ГОСТ Р «Защита информации. Мониторинг информационной безопасности. Общие положения»
@zlonov

Связь между процессами и технической архитектурой
Развитие •• Анализ результатов функционирования СОИБ •• Разработка корректирующих мероприятий
Планирование •• Разработка плана мероприятий по обеспечению безопасности
СОИБ
Реализация •• Анализ угроз •• Управление СрЗИ •• Управление конфигурацией •• Реагирование на инциденты ИБ •• Действия в нештатных ситуациях •• Информирование и обучение персонала
Мониторинг и контроль •• Контроль выполнения мероприятий по обеспечению защиты информации •• Аудит безопасности
Ликвидация последствий КИ
Внедрение мер
Управление СрЗИ
Инвентаризация
Контроль защищенности
Инциденты
Система анализа и мониторинга состояния ИБ
Средства управления СрЗИ
Наложенные и встроенные средства защиты информации Объекты защиты
@zlonov

Традиционная модель зрелости процессов обеспечения ИБ
Уровень 0 Для руководства ИБ не существует Бюджета нет
Уровень 1 ИБ есть! (внешние требования) Денег – нет (минимум) Минимизация CapEx
Уровень 2 Понимание роли и места ИБ в организации Комплексный подход Оптимизация TCO
Уровень 3 Диалог ИБ и бизнеса Риск- ориентированный подход
Уровень зрелости
@zlonov

Традиционная модель зрелости процессов обеспечения ИБ
Уровень 3 Диалог ИБ и бизнеса Риск- ориентированный подход
Уровень 0 Для руководства ИБ не существует Бюджета нет
Уровень зрелости
Выход 187-ФЗ
@zlonov

Референсная модель системы мониторинга ИБ
@zlonov

Ожидание vs Реальность Из реального доклада Заказчика
>80 тыс. инцидентов для разбора >140 сценариев выявления инцидентов >30 типов источников событий >2700 объектов, охваченных мониторингом 1 аналитик и 2,4 FTE (Full-Time Equivalent) для сопровождения
@zlonov

Чем пристальнее смотришь…
«Чем больше событий будем собирать, тем больше инцидентов будем выявлять» Потребуются значительные вычислительные ресурсы Замусоривание ложными срабатываниями Трудность актуализации эталонных состояний активов
@zlonov

Чем пристальнее смотришь…
…тем меньше видишь Корректное отнесение событий к инцидентам Корректные «белые списки» для процессов, ПО и подключенных устройств для объектов защиты Агрегация и корреляция событий («схлопывание» событий в один реальный инцидент )
@zlonov

Большое видится…
«Оценка активов на регулярной основе не требуется» Излишний анализ событий со всех объектов, а не только действительно критичных Отсутствие актуальной информации для обогащения инцидентов Инфраструктура АСУТП в действительности довольно часто меняется
@zlonov

Большое видится… …на расстоянии
Своевременная оценка и переоценка активов на всех этапах их жизненного цикла Грамотный консалтинг на этапе проектирования и внедрения Максимальное задействование типов источников событий (но не объектов мониторинга!)
@zlonov

Глаза страшатся…
«Единожды внедрённая система мониторинга не требует непрерывного сопровождения и развития» Рост системных требований у новых версий ПО средств мониторинга Нужны специфичные знания у персонала Без сопровождения система быстро деградирует
@zlonov

Глаза страшатся… …а руки делают
Выбор многоуровневой иерархической системы Аутсорсинг процесса мониторинга (полный либо частичный) Аренда отдельных ключевых компонентов системы мониторинга (Software-as-a-Service)
@zlonov

Мониторинг - не предел!!! GRC, SOAR, SOC… ГосСОПКА
Процедуры реагирования на инциденты Процессы отработки выявленных уязвимостей Расследование инцидентов Совершенствование системы обеспечения информационной безопасности Взаимодействие с НКЦКИ
@zlonov

Спасибо! https://ZLONOV.com
@zlonov