Здравствуйте коллеги!
У кого какие есть мысли? По поводу периодичности анализа журналов регистрации событий информационной безопасности. В руководящих документах никакого намёка не нашёл.
Понятно, что периодичность должна обеспечивать своевременное реагирование на инциденты, их пресечение и локализацию.
В 172 Решении МВК есть одна рекомендация, но мне кажется, что хотя бы к классам стоит привязать периодичность: однопользовательский - одни сроки, многопользовательский - другие. Как часто? Чтобы и безопасность обеспечить, и администратора не отпугнуть частотой анализа, и требования документов не нарушить?
При обсуждении этого вопроса для конфиденциальных ГИС в ходе разработки методического документа к 17 приказу от конкретных сроков ушли сознательно.
Всем понятно, что ручной анализ - это профанация, просматривать логи для того, чтобы узнать, что нарушитель полгода назад получил все, что ему нужно - это даже не смешно. По'тому в РСБ.5 прописали уклончиво: "с периодичностью, установленной оператором, и обеспечивающей своевременное выявление признаков инцидентов безопасности в информационной системе".
При этом предполагалось следующее. Вы ставите перед собой норматив времени, в течение которого вы должны обнаружить произошедший инцидент. Решили, что инцидент не должен оставаться незамеченным дольше недели - извольте анализировать данные аудита как минимум еженедельно.
А вообще, и при написании раздела РСБ методического документа, и сейчас, в ходе разработки ГосСОПКА, подразумевается , что данные аудита должны анализироваться режиме реального времени с помощью SIEM. ФСТЭК явно этого прописывать не стала, а как поступит ФСБ - надеюсь, скоро увидим.
