Приказ ФСТЭК России №117: какую роль Security Capsule SIEM играет в выполнении требований
Разбираем требования приказа №117, связанные с мониторингом информационной безопасности, регистрацией событий, выявлением угроз и расследованием инцидентов, и показываем, какие задачи в этих процессах решает Security Capsule SIEM.
Приказ включает как технические, так и организационные меры защиты. Поэтому корректно оценивать SIEM не как средство, которое самостоятельно закрывает весь комплекс требований, а как один из ключевых инструментов мониторинга, анализа и контроля событий безопасности.
Где SC SIEM наиболее полно помогает выполнять требования приказа №117
Наиболее сильная область Security Capsule SIEM — задачи мониторинга информационной безопасности, централизованного сбора и анализа событий, выявления признаков реализации угроз, регистрации и расследования инцидентов.
К этому добавляются контроль действий пользователей и привилегированных учётных записей, работа с уязвимостями, ретроспективный анализ и формирование отчётности.
Такой набор возможностей соответствует назначению SC SIEM как системы регистрации, учёта, анализа и корреляции событий информационной безопасности для выявления инцидентов и поддержки процессов мониторинга.
SIEM не заменяет комплексную систему защиты информации
Приказ №117 включает не только требования к мониторингу и регистрации событий, но и организационные, режимные и инфраструктурные меры.
SC SIEM не заменяет организационные документы оператора, аттестацию информационной системы, физическую защиту, защиту каналов связи, анти-DDoS, антивирусную защиту, межсетевые экраны, PAM, MDM, WAF/API Security и другие специализированные средства.
В этих областях SIEM выступает как средство мониторинга, контроля, корреляции и формирования доказательной базы.
Как интерпретировать статусы соответствия
В исходном сопоставлении используются три статуса. Они показывают не общую «оценку приказа», а роль SC SIEM в выполнении конкретного требования.
Закрывает
Требование напрямую связано с функциональностью SIEM и может выполняться средствами SC SIEM в соответствующей части.
Частично
SC SIEM обеспечивает существенную часть технической функции, но для полного выполнения нужны дополнительные меры или средства защиты.
Поддерживает
SC SIEM предоставляет данные, контроль или мониторинг, которые используются в более широком процессе выполнения требования.
Требования, напрямую связанные с функциями мониторинга и SIEM
Сбор и анализ событий безопасности
SC SIEM обеспечивает централизованный сбор, хранение, анализ и корреляцию событий ИБ.
Мониторинг и выявление угроз
Мониторинг, корреляция событий, выявление инцидентов и работа с уязвимостями.
Поиск признаков угроз
Выявление инцидентов, приоритизация и уведомление ответственных специалистов.
События на конечных устройствах
Контроль процессов, файловых операций и сетевой активности при наличии соответствующих источников.
Мониторинг ИБ
Централизованный мониторинг и анализ событий безопасности — основное назначение SC SIEM.
Формирование отчётности
Отчёты, дашборды, статистика и аналитические представления по данным мониторинга.
Регистрация событий и мониторинг
Ролевой доступ, регистрация событий безопасности и централизованный мониторинг.
Наложенные средства защиты
SC SIEM используется как средство мониторинга и корреляции событий безопасности.
Сертифицированные средства защиты
Security Capsule SIEM сертифицирована ФСТЭК России.
Где SC SIEM является частью более широкого процесса защиты
Здесь возможностей SIEM недостаточно для выполнения требования в полном объёме: необходимы организационные меры, специализированные средства или дополнительные процессы.
Регламенты мониторинга и уязвимостей
SC SIEM предоставляет техническую основу для мониторинга и анализа, а сами регламенты формируются организацией.
Изменения конфигураций
Контроль событий изменений в Active Directory, Group Policy и подключённых системах.
Управление уязвимостями
Отображение данных об уязвимостях, их критичности и затронутых активах.
Регистрация фактов доступа
Сбор событий доступа от ОС, СУБД, средств защиты и инфраструктурных систем.
Привилегированные пользователи
Сбор и анализ событий, связанных с действиями привилегированных учётных записей.
ИИ при анализе событий
ИИ-ассистент помогает специалисту анализировать события и инциденты и формировать рекомендации.
Отказоустойчивость и восстановление
Поддерживаются масштабирование и контроль работоспособности компонентов, но требования шире функций SIEM.
Выявление атак и ГосСОПКА
SC SIEM выявляет инциденты и поддерживает процессы реагирования и взаимодействия.
Контроль применения ИИ
Используются локальные и встроенные ИИ-механизмы поддержки аналитика, но требование шире функций SIEM.
Контроль защищённости
SC SIEM предоставляет данные мониторинга, информацию об инцидентах и отчётность для дальнейшего анализа.
Требования, где SIEM предоставляет контроль и данные
Контроль обновлений
Мониторинг событий обновления и связанных с ними событий или инцидентов.
Действия подрядчиков
Мониторинг действий учётных записей и подключений при наличии соответствующих источников событий.
Аттестация информационной системы
SC SIEM может использоваться как один из элементов системы защиты информации.
Что получает команда информационной безопасности
- централизованный сбор событий безопасности из подключённых источников;
- корреляцию событий и выявление инцидентов;
- хронологию расследования и сохранение контекста;
- контроль событий Active Directory и Group Policy;
- работу с данными об уязвимостях и затронутых активах;
- анализ действий пользователей и привилегированных учётных записей;
- ретроспективный поиск по ранее зарегистрированным событиям;
- отчётность, статистику и данные для доказательной базы.
SC SIEM — один из элементов комплексной системы защиты
Наиболее сильная сторона Security Capsule SIEM в контексте приказа №117 — требования, связанные с мониторингом информационной безопасности, регистрацией событий, выявлением угроз, расследованием инцидентов и аналитической поддержкой специалистов.
При этом выполнение приказа должно рассматриваться комплексно: вместе с организационными мерами, специализированными средствами защиты и процессами управления безопасностью.
Хотите разобрать требования приказа №117 применительно к вашей инфраструктуре?
Покажем возможности SC SIEM на реальном интерфейсе, обсудим состав источников и определим, какие задачи мониторинга, выявления и расследования система может решать в вашем контуре.
Скачать презентацию