Божокоев Аскар Муратович › uploads › files › presentations › Бальный › … · Блокирование УЗ Инцидент №1. Кто зашёл

Создание эффективного IRP

Божокоев Аскар Муратович

Консультант по информационной безопасности

Что это за объект, на котором возник инцидент ИБ?

Как организовать привлечение к работе смежных подразделений?

Как сократить время реагирования?

Что делать с обнаруженными уязвимостями?

Типовые вопросы, возникающие у сотрудников Центра кибербезопасности

Трудности:

Сеть предприятия распределенная и включает в себя большое количество ИТ-объектов;

ИТ-объекты постоянно модернизируются и обновляются;

Зачастую у сотрудников отсутствует полная информация об используемых ИТ-объектах

Решение:

Создание CMDB, автоматизированное поддержание её в актуальном состоянии путём интеграции с несколькими средствами инвентаризации для обогащения данных по активу

Что это за объект?

Организация работыКак работать со смежными подразделениями?

Трудности: Подчинение подразделений разным руководителям

Сильная бюрократизация процесса привлечения смежных подразделений

Отсутствие заранее согласованного совместного плана действий

Контроль сроков усложняется при увеличении количества задействованных сотрудников

Решение:

Создание единой платформы управления инцидентами ИБ, обеспечивающей совместную работу над инцидентами, интеграция с системами управления ИТ

Как сократить время реагирования?

Время реакции

Трудности:

Зачастую необходимо максимально быстро выполнить типовые действия по реагированию на инцидент ИБ

У сотрудников Центра мониторинга зачастую отсутствуют административные права к средствам управления ИТ и средствам защиты

Размывание ответственности за администрирование из-за передачи административных учетных данных в ИБ

Решение:

Использование внешней системы оркестрации и создание типовых автоматизированных сценариев реагирования на инциденты ИБ

Что делать с обнаруженными уязвимостями?

Трудности:

Не всегда есть полная информация об объекте, на котором обнаружена

уязвимость (критичность объекта, его расположение и владелец)

Большое количество уязвимостей в целом по предприятию, в том

числе, однотипных

Необходимость привлечения к работе специализированных служб

(например, служба АСУ ТП)

Решение:

Внесение уязвимостей ИБ в единую платформу управления, привязка к ИТ-активам, контроль за устранением уязвимостей.

Уязвимости

Основные задачи Центра кибербезопасности

Инвентаризация ИТ- активов (построение

CMDB)

Управление инцидентами ИБ

(расследование и реагирование)

Управление деятельностью по работе с

уязвимостями

Ключевые задачи

Интеграция с внешними системами инвентаризации,

например:

MF uCMDB

MS SCCM

Kaspersky KSC

PT MaxPatrol

и другие

Дополнение информации вручную, которую

невозможно собрать автоматически

Построение CMDB

Реагирование и расследование

Интеграция с автоматизированной системой сбора и корреляции событий ИБ

Автоматизация работы с инцидентами ИБ с возможностью гибкой настройки сценариев реагирования

Реагирования на инциденты ИБ с помощью внешней системы оркестрации. Реализация сервисно-изолированной модели


Управление деятельностью по работе с уязвимостями

Интеграция с системой анализа защищенности для выявления уязвимостей

Автоматизация процесса работы с уязвимостями:

регистрация выявленных уязвимостей

назначение задачи по закрытию

контроль выполнения задач

формирование отчетных документов

Уязвимости

Архитектура КСУИБ

Информация об ИТ-активах

Информация об обнаруженных

уязвимостях в ИТ-активах


Информация о планах

мероприятий

Информация о выявленных

инцидентах ИБ

ИКТ-инфраструктура Предприятия

Серверы (AD, БД, приложений, веб и др.)

Сетевое оборудование(МЭ, IPS/IDS, роуутеры, коммутаторы и др.

АРМ (рабочие станции)

Средства инвентаризации, мониторинга и анализа

Информационно-аналитическая панельдля руководства

Анализ инцидентов ИБ и формирование

планов реагирования на

инциденты

ВЫСШЕЕ РУКОВОДСТВО И РУКОВОДСТВО ИБ

Анализ и принятие управленческих решений на основании статистической и аналитической информации

РУКОВОДСТВО ИБ И СПЕЦИАЛИСТЫ ИБ И ИТ

Идентификация объектов защиты и учет их взаимосвязей с бизнес-процессами организации

Оценка критичности активов Управление инцидентами ИБ Формирование модели угроз ИБ Управление рисками ИБ Контроль соответствия текущего состояния ИБ

требуемому уровню

СПЕЦИАЛИСТЫ ИБ И ИТ

Сбор информации о СрЗИ и ИТ-инфраструктуре

Сбор и анализ событий ИБ Контроль предоставления прав доступа и

построение текущей матрицы доступа Мониторинг состояния ИТ-инфраструктуры Поиск уязвимостей ИБ Предоставление информации в подсистемы

КСУИБ

Обмен данными о конфигурационных

единицах, инцидентах ИБ, запуск сценариев

реагирования на инциденты ИБ

Комплексная система управления ИБ (КСУИБ)

Подсистема управления

инцидентами ИБ

Ядро КСУИБ

Подсистема управления уязвимостями

Подсистема информационного обмена с центром

ГосСОПКА

ВНЕШНИЕ СЕРВИСЫ ИБ:

- киберразведка (Threat Intelligence)

- другие сервисы

Обмен данными об инцидентах и

компьютерных атаках

ГосСОПКА(ФСБ России)

Рекомендации, требования, помощь в

расследовании инцидентов

ФинЦЕРТ(ЦБ РФ)

Системаинвентаризации

Информация о событиях ИБ


Информация об уязвимостях в ИТ-активах

Система сбора, анализа и корреляции

событий ИБ

Система анализа защищённости и

контроля требований

Информация об инцидентах ИБ

Средства защиты информации(АВЗ, защита от НСД и др.)

Сервисы ИТ-блока

Система поддержки пользователей MF Service

Manager

Запуск сценариев реагирования на инциденты ИБ

Система управления сложными компьютерными системами и

службамиMF Operations Orchestration

Система управления конфигурационными

единицами MF uCMDB

Обмен данными об инцидентах и

компьютерных атаках

Подсистема управления

активами

Инвентаризация ИТ-активов

Активы отсутствуют


Активы, имеющиеся в KSC


Активы загружены в

КСУИБ из KSC


Данные,

полученные из KSC

в карточке актива


Инциденты ИБ

отсутствуют


SIEM система выявила

инцидент!


Скрин КСУИБ – появились инциденты

Загруженные инциденты

ИБ

Управление инцидентами ИБ. Блокирование УЗ

Инцидент №1. Кто зашёл под УЗ

сотрудника, которого нет в

офисе


План реагирования на инцидент


Перечень задач по инциденту


Выясняем был ли зафиксирован проход работника на территорию. Анализируем

СКУД. Проход зафиксирован не был


Запускаем скрипт

блокировки УЗ в AD


Сценарий блокировки УЗ в

Оркестраторе


УЗ заблокирована в AD


Скрин КСУИБ – появились инциденты

Рассмотрим инцидент №2.

Появление вредоносного

объекта

Управление инцидентами ИБ. Блокирование вируса

План реагирования на инцидент

Hash файла с подозрением на

вредонос. Получен из SIEM


Направляем запрос из

КСУИБ в MISP. Hash есть в

базе. Файл действительно

вредоносный


Видим, что потенциальный вредоносный объект может

быть запущен на АРМ сотрудника


Запускаем скрипт на

блокирование hash в KSC

Запускаем скрипт на

блокирование hash в KSC


KSC получил из Оркестатора

команду на блокировку hash


Вредоносный файл заблокирован, запустить его сотрудник

уже не может

Управление уязвимостями

Данные об

уязвимостях

отсутствуют


Проводим сканирование

уязвимостей


Данные об

уязвимостях

загружены


Карточка уязвимости с полученными из сканера

описанием уязвимости и данными об объекте

воздействия


Формируем задачу на устранение

уязвимости, назначаем

исполнителя


Уязвимость закрыта, приняты

корректирующие меры

Казань 420029

Сибирский тракт, 34

тел: (843) 272-81-61

факс: (843) 279-49-05

web: www.icl.ru

СПАСИБО ЗА ВАШЕ ВНИМАНИЕ!

Documents

Божокоев Аскар Муратович › uploads › files › presentations › Бальный › … · Блокирование УЗ Инцидент №1. Кто зашёл