Задача регистрации событий, имеющих отношение к безопасности. Оперативное оповещение о зарегистрированных попытках несанкционированного доступа
Встроенные средства регистрации событий, связанных с безопасностью, имеются в составе ОС Windows NT/2000/XP/2003 Server/Vista/2008 Server. Кроме того, наличие средств регистрации событий безопасности является одним из требований РД ФСТЭК России для сертификации СВТ, поэтому все дополнительные СЗИ НСД содержат в той или иной форме реализацию данного защитного механизма. Следует отметить, что в АС под управлением ОС Windows 95/98 для реализации этого защитного механизма необходимо применять дополнительные СЗИ НСД - встроенной подсистемы регистрации событий там просто нет. Если же применяется СЗИ НСД для ОС Windows NT/2000/XP/2003 Server/Vista/2008 Server, то реализованная в СЗИ регистрация событий дополняет защитные механизмы уже встроенные в саму ОС. При этом, программы просмотра встроенных в СЗИ НСД журналов регистрации обычно позволяют просматривать и журналы Windows, а имеющаяся в Windows (начиная с Windows 2000) возможность добавлять приложениям свои журналы формата EVT, дает возможность встроить дополнительную регистрацию событий в СЗИ НСД более естественным образом (что, впрочем, реализовано не везде и не всегда). Кроме того, журналы регистрации могут быть просмотрены штатными средствами Windows. Впрочем, разработчики СЗИ НСД не отказываются от разработки собственных программ просмотра журналов, насыщая их дополнительными сервисными возможностями, облегчающими администратору безопасности анализ журналов.
Общая проблема применительно к любым журналам регистрации (как штатным, так и дополнительным) заключается в том, что данные этих журналов по умолчанию сохраняются на том компьютере, где регистрируются события. Это дает возможность злоумышленнику скрыть следы своих действий, если он, имея физический доступ к компьютеру, загрузит ОС со сменного носителя и подменит файлы журналов. К тому же, анализ журналов всегда происходит уже после инцидента, после того, как события зарегистрированы.
Решение этих двух проблем состоит во внедрении системы сбора журналов регистрации в некоторое централизованное хранилище. При этом целесообразно требовать от такого рода систем максимальной оперативности передачи в это хранилище данных о регистрации событий сразу же по мере их регистрации и оповещения оператора о регистрации событий НСД.
Ниже представлены некоторые продукты, решающие данную задачу.
Microsoft Operations Manager 2005, System Center Operations Manager
Сервер работает на платформе Windows Server 2003 или 2008, в качестве хранилища данных используется MS SQL Server 200x (в отладочных целях может использоваться MSDE/ExpressEdition, для промышленной эксплуатации такой вариант не годится в силу программных ограничений на размер базы, впрочем в состав лицензии на Operations Manager входит и лицензия на SQL Server). Агентское ПО существует для всех ОС Windows NT/2000/XP/Vista/2003/2008. Сбор данных из всех журналов формата EVT происходит в реальном времени (при этом можно корректировать набор отслеживаемых событий). На сервере осуществляется некоторый анализ событий, так что на консоль оператора поступает уже проинтерпретированная информация. Профили настройки регистрации событий и анализа (пакеты управления (management packs)) могут устанавливаться дополнительно, в неограниченном количестве. Существующие пакеты управления ориентированы на анализ работоспособности серверной ОС и серверного ПО (любого производителя), функционирующего на платформе Windows. Вся необходимая для создания пакетов управления информация имеется в общем доступе на сайте Microsoft. Готовых пакетов управления для сбора и анализа событий безопасности пока не существует, но можно вручную настроить и сбор информации, и оповещения о событиях на консоль оператора MOM - в Интернете легко отыскать соответствующие рекомендации и описание порядка действий. Также имеются возможности активного воздействия на управляемые через MOM компьютеры (реализовано через запуск сценариев, которые можно добавлять). Все эти возможности ограничиваются только квалификацией имеющихся в распоряжении администратора разработчиков.
Главный недостаток Operations Manager- это его цена. Поскольку продукт изначально ориентирован на отслеживание/обеспечение работоспособности серверов (требуются лицензии на подключение к MOM каждого компьютера, установленная цена на каждую лицензию приближается по порядку величин к стоимости серверного ПО), поэтому его использование для сбора с рабочих станций сотрудников событий НСД является дорогим удовольствием.
Дата добавления: 2018-02-28; просмотров: 494; Мы поможем в написании вашей работы! |
Мы поможем в написании ваших работ!