Сотрудничество и оперативное реагирование как важнейшая основа обеспечения информационной безопасности

Реагирование на возникающие чрезвычайные ситуации (инциденты), связанные с нарушением информационной безопасности, является таким же важным направлением работы, как и построение системы защиты и предотвращения нарушений. Под инцидентом, как правило, понимается какое-либо отклонение от нормального процесса использования информационных ресурсов и функционирования информационных систем, повлекшее ущерб для определенных информационных активов предприятия или непосредственно создающее угрозу нанесения такого ущерба.
Реагирование на возникающие чрезвычайные ситуации (инциденты), связанные с нарушением информационной безопасности, является таким же важным направлением работы, как и построение системы защиты и предотвращения нарушений. Под инцидентом, как правило, понимается какое-либо отклонение от нормального процесса использования информационных ресурсов и функционирования информационных систем, повлекшее ущерб для определенных информационных активов предприятия или непосредственно создающее угрозу нанесения такого ущерба.
Чрезвычайная ситуация (инцидент), связанная с нарушением информационной безопасности, может быть обусловлена:
• разрушительным воздействием на весь имущественный комплекс предприятия при возникновении стихийных факторов (наводнение, пожар, землетрясение и т.п.) или целенаправленном нападении (подрыв, поджог, разрушение зданий и помещений и т.п.);
• негативным воздействием исключительно на информационные ресурсы предприятия (как правило, осуществляемым удаленно, с использованием телекоммуникационных каналов).
В общем случае организационные процедуры (регламенты) реагирования на чрезвычайные ситуации должны включать в себя:
• регламенты альтернативных процессов обработки информации (в том числе, возможно, и без использования средств автоматизации) на период выхода из строя основных информационных ресурсов;
• определение групп персонала, ответственных за выполнение тех или иных функций в случае возникновения чрезвычайной ситуации, а также определение процедур взаимодействия между группами и отдельных групп с руководством предприятия;
• техническую и организационную документацию, необходимую для восстановления информационных систем и данных после чрезвычайной ситуации;
• порядок хранения архивных (резервных) копий данных и программных приложений обработки данных в местах, защищенных от механических воздействий, краж, наводнений, пожаров и т.п. (в т.ч., возможно, в местах, территориально удаленных от основных мест хранения и обработки информации);
• соглашения с поставщиками программных и аппаратных средств, входящих в информационную инфраструктуру предприятия, о срочной поставке компонент, вышедших из строя и требующих замены в случае чрезвычайной ситуации.
Процесс реагирования на такого рода инциденты включает в себя четыре основных этапа:
1. обнаружение нападения;
2. локализация нападения;
3. идентификация нападающих;
4. оценка и последующий анализ процесса нападения и его обстоятельств.
Обнаружение атак и распознавание вторжений, как правило, является инженерно-технической задачей, решаемой при помощи специальных программных и иногда аппаратных средств. В частности, обнаружение может осуществляться на основе анализа сетевого трафика и журналов (лог-файлов), в которых фиксируются различные действия. Обнаружение может осуществляться на основе т.н. сигнатур – формализованных наборов признаков определенных вирусов, типов атак и т.п. Также, очевидно, источником информации о нарушениях являются сообщения пользователей об отклонениях в работе информационных систем и появление явных негативных последствий произошедших нарушений.
Для обеспечения своевременного обнаружения нарушений предприятие должно организовать постоянную (при необходимости – круглосуточную) работу специалистов, отвечающих за разрешение инцидентов. Для этого может быть выбран один из возможных подходов.
• Организация собственной дежурной службы, состоящей из компетентных специалистов, несущих посменное дежурство и оснащенных средствами мобильной связи.
• Привлечение сторонней организации, специализирующейся на оказании подобных услуг.
При этом сотрудники предприятия должны знать номера телефонов и иные способы связи, при помощи которых они могли бы оперативно сообщать дежурным специалистам обо всех происшествиях. Важность организации как можно более оперативного информирования специалистов по безопасности и, соответственно, как можно более оперативного реагирования обусловлена тем, что обнаружение нападения и начало противодействия в то время, как само нападение еще продолжается, в большинстве случаев может быть гораздо более эффективным, чем реагирование после окончания нападения.
Выявление нарушений может быть осуществлено не только по явным признакам, таким как сообщения пользователей о прекращении функционирования отдельных элементов информационных систем, одновременное использование одной учетной записи на нескольких рабочих станциях или явное обнаружение вирусов в данных, передаваемых по локальной сети, но и по некоторым косвенным признакам (аномальным явлениям), которые в отдельных случаях могут свидетельствовать (а могут и не свидетельствовать) о нарушениях. Примерами таких косвенных свидетельств могут быть:
• использование информационных систем и определенных учетных записей в нехарактерное время (рано утром, поздно вечером и т.п.);
• резкое нехарактерное повышение нагрузки на информационные системы или их отдельные элементы (сегменты сети, хранилища данных и т.п.);
• изменение характера поведения пользователей (например, последовательности определенных действий при использовании информационной системы)
• и другие.
Для более эффективного анализа таких косвенных признаков и интерпретации различных фактов специалистам по реагированию на инциденты может понадобиться анализ функциональности информационных систем и взаимодействие аналитиков департамента информационной безопасности с пользователями (изучение особенностей их работы). Также для автоматизации такого анализа могут быть использованы специальные программные средства, автоматически осуществляющие статистический анализ сетевого трафика и других элементов информационной инфраструктуры и сигнализирующие при обнаружении аномальной активности, для того чтобы администраторы могли провести дальнейший качественный анализ выявленных отклонений и при необходимости предпринять активные ответные действия. В целом, разработка и совершенствование таких средств анализа в составе комплексных систем обнаружения вторжений является одним из перспективных направлений развития средств защиты информации.
Таким образом, основной задачей на начальном этапе реагирования является определение характера нарушений и достоверное установление того, что выявленные аномальные события, действия и характеристики являются действительно нарушениями, а, например, не проявлением особенностей работы программного обеспечения.
Одним из важнейших организационных аспектов реагирования на инциденты (и, в частности, на отдельные сигналы о некоторых происшествиях) является то обстоятельство, что может происходить более или менее частое поступление ложных сигналов (ошибочных или специально спровоцированных) о некоторых происшествиях, и реакция персонала департамента информационной безопасности со временем может постепенно ослабевать (так же как, например, может притупиться внимание при частых ложных срабатываниях охранной сигнализации).
Также значимым вопросом организации работы с пользователями в ситуациях реагирования на инциденты является то, что взаимодействие между пользователями и группами реагирования, а также различных групп реагирования между собой по возможности необходимо осуществлять по специальным защищенным каналам связи.
Локализация и устранение последствий является основным этапом, в рамках которого, собственно, осуществляется реагирование на инцидент. На этом этапе происходит:
• определение конкретных параметров нарушения (нападения), его характера (конкретных сегментов сети, серверов, групп рабочих станций, приложений, затронутых нападением);
• предварительный анализ действий нарушителя и сценария произошедшего (происходящего) нападения, алгоритма работы появившегося вируса и т.п.;
• блокирование действий нарушителя (если нарушение является длящимся);
• блокирование (полное или частичное) работы информационной системы (сервера, базы данных, сегмента сети и т.п.) с целью недопущения дальнейших разрушительных действий, распространения вредоносных программ или утечки конфиденциальной информации.
Прекращение нападения и восстановление нормальной работы информационных систем может потребовать скоординированных действий не только самих сотрудников департамента информационной безопасности, но и:
• специалистов ИТ-подразделений, отвечающих за атакуемые информационные сервисы;
• пользователей атакованных информационных систем;
• предприятий-партнеров, имеющих отношение к атакованным информационным ресурсам;
• разработчиков и поставщиков атакованных информационных систем;
• поставщиков телекоммуникационных услуг, через которых осуществляется атака;
• сторонних консультантов, специализирующихся на соответствующих проблемах информационной безопасности.
Одним из наиболее важных обстоятельств работы на данном этапе является то, какими полномочиями обладает специалист (дежурный), отвечающий за реагирование на инциденты. В частности, необходимо заранее предусмотреть возможность оперативного самостоятельного отключения тех или иных информационных сервисов специалистами по реагированию на инциденты (самостоятельно, либо через соответствующее ИТ-подразделение). Особую важность имеет способность ответственных специалистов оперативно оценить ситуацию, провести ее анализ (в большинстве практических ситуаций это необходимо будет делать по неполным данным о нападающей стороне) и принять решение о приостановке работы тех или иных информационных сервисов, до выявления и устранения угроз и/или введения в действие дополнительных средств противодействия вторжениям. При принятии такого решения необходимо учитывать (как правило, на основе экспертных оценок) как возможный ущерб, который может быть вызван выявленным нарушением, так и возможный ущерб от остановки информационных сервисов, которая (остановка) может быть осуществлена с целью предотвращения ущерба от действий нападающей стороны. Характерным примером такой ситуации является нападение на систему электронной торговли, когда нападающая сторона может нанести серьезный ущерб (похитить конфиденциальную информацию участников торговых сделок, самостоятельно совершить незаконные сделки от имени участников торговой системы и т.п.), а остановка сервиса с целью предотвращения такого ущерба может привести к потерям, связанным с упущенной выгодой от несовершенных сделок и ущербом для деловой репутации. Другим примером такой ситуации является реагирование на распределенные атаки типа "отказ в обслуживании" (Distributed Deny of Service, DDoS), часто осуществляемые на серверы в сети Интернет, когда может быть необходимо на некоторое время полностью отключить сервер как в ущерб пользователям, так и в ущерб владельцам информационных ресурсов, расположенных на сервере.
Именно в данных возможных ситуациях особо остро встаёт вопрос о сотрудничестве в области реагирования расследования инцидентов информационной безопасности в отношении веб-ресурсов между провайдерами услуг сетей передачи данных и организациями осуществляющими деятельность по реагированию и расследованию инцидентов ИБ. В частности основными целями локальных актов или соглашений о сотрудничестве и кооперации могут быть:
–сбор, анализ и накопление данных о современных угрозах информационной безопасности, выработка рекомендаций и предложений по эффективному принятию организационных и программно-технических мер, обеспечивающих предотвращение неправомерного вмешательства в работу веб-сайтов и ИС;
–организация совместной работы с провайдерами по вопросам устранения последствий и причин выявленных инцидентов ИБ в отношении веб-сайтов и ИС;
–своевременное оповещение владельцев скомпрометированных веб-сайтов и ИС о выявленных инцидентах ИБ, оказание им консультационной и технической поддержки по вопросам расследования инцидентов и принятия мер по их дальнейшему предотвращению;
–повышение эффективности работ, связанных со своевременным анализом причин, способов и обстоятельств осуществления неправомерного вмешательства в работу веб-сайтов и ИС;
–развитие сотрудничества в целях организации практического взаимодействия в области реагирования, расследования и дальнейшего предотвращения инцидентов ИБ в отношении веб-сайтов и ИС;
–содействие в обеспечении информационной безопасности веб-сайтов и ИС.
Основой для принятия решений может быть заранее сформированный перечень (справочник) возможных основных инцидентов и признаков нарушений (проникновений), в котором может быть приведена оценка рисков суммарных потерь и рекомендованные действия для каждого типа нарушений (в том числе и перечень ситуаций, когда необходимо осуществить отключение сервисов во избежание утечки или нарушения целостности информации, являющейся наиболее критичной для всей деятельности предприятия).
Идентификация нападающего (или источника распространения вредоносных программ) является важным шагом в процессе реагирования, следующим непосредственно за локализацией нападения. В случае если нападение осуществлялось из локальной сети предприятия, при надлежащем соблюдении внутренних режимных правил эта задача может оказаться относительно легкой. В случае если нападение было совершено извне, задача идентификации нападающих принципиально усложняется и в некоторых ситуациях проблема становится практически неразрешимой.
Как правило, для обнаружения источника нападения необходимо:
• детально изучить все технические аспекты нападения;
• провести качественный анализ процесса нападения в контексте функционирования атакуемой системы защиты информации;
• организовать взаимодействие со сторонними организациями, которые могут содействовать в идентификации нападающего.
Одной из наиболее важных задач анализа процесса нападения является установление той информации, которая была известна нападающим до начала нападения и которой они воспользовались для осуществления этого нападения. В частности, в процессе такого анализа с определенной степенью уверенности можно установить, что до начала нападения злоумышленникам были известны:
• информация о структуре и составе атакуемой информационной системы (используемые программные и аппаратные средства, их архитектура и используемые настройки);
• сведения о режиме работы организации и функционирования отдельных элементов информационной системы. Сведения о регламенте некоторых бизнес-процессов предприятия;
• конкретные идентификационные данные (имена пользователей, пароли), необходимые для проникновения в информационную систему и/или правила (алгоритмы) их генерации.
Обобщение всех этих сведений может помочь установить, какие контакты были у нападающих с атакуемой компанией (а каких не было), и, сопоставляя факты, а также пользуясь методом исключения, постараться ограничить круг лиц, которые потенциально могли быть причастны к организации данного инцидента.