Аудит и оповещение об опасности

Аудит безопасности представляет собой независимые ревизию и анализ системных записей и основных направлений деятельности^[1]. Служба аудита безопасности предоставляет аудиторскому центру возможность определять, отбирать и администрировать события, которые необходимо зарегистрировать в качестве данных для последующего проведения аудиторской проверки обеспечения (состояния) ИБ. Целями аудита являются: участие в процедуре идентификации и анализе неавторизованных действий (процедур) или атак; помощь в присвоении соответствующих атрибутов операциям, выполняемым в интересах объектов/субъектов; участие в совершенствовании процедур обнаружения возникающих нештатных ситуаций; подтверждение соответствия процедур существующей политике обеспечения безопасности; доведение (доклад) информации, указывающей на несоответствия в системных средствах управления; определение соответствующих изменений, которые необходимо внести в средства управления, политику безопасности и процедуры.

Аудит включает обнаружение, отбор и регистрацию событий, связанных с обеспечением (состоянием) безопасности, для аудиторской проверки обеспечения (состояния) безопасности и анализ таких событий.

Для выполнения аудита и идентифицируемости (accountability) необходимо, чтобы информация была зарегистрирована (зафиксирована). Аудит гарантирует, что вся необходимая информация о штатных и нештатных событиях зарегистрирована, причем так, что все последующие расследования могут установить, имели ли место нарушения безопасности, а если имели, то какая информация или другие ресурсы были скомпрометированы. Идентифицируемость гарантирует, что информация о действиях пользователей или процессах, действующих от их имени, зарегистрирована, причем так, что в дальнейшем последовательности таких действий могут быть однозначно приписаны пользователю, а пользователь, в свою очередь, может быть приписан к совершенным им действиям. Служба аудита безопасности может оказывать поддержку системе идентификации.

Служба оповещения об опасности (о нарушении безопасности) вырабатывает и передает персоналу или процессу сигнал опасности (СОП), указывающий па нештатную ситуацию, которая может повлечь за собой выполнение того или иного безотлагательного действия. Цель указанной службы — оповещение о попытках нарушения безопасности, о различных событиях безопасности, включая «штатные» события, и о событиях, обусловленных достижением некоторых предельных ограничений.

Таким образом, функциональным предназначением служб аудита и оповещения является обеспечение гарантий того, что события безопасности обрабатываются, анализируются и контролируются согласно принятой политике безопасности. Модель служб аудита и оповещения представлена на рис. 19.5 и включает несколько последовательных процессов (фаз). Указанные гарантии основаны на привлечении службы обеспечения целостности (в ряде случаев и обеспечения конфиденциальности), использующей, как правило, криптографические методы защиты, например присоединяемые к данным проверочную сумму или ЭГ1.

Рис. 19.5. Модель процессов аудита безопасности и оповещения об опасности.

• [1] ITU-T, Information technology — Open Systems Interconnection — Security frameworksfor open systems: Security audit and alarms framework X.816, 1995.