Организация централизованного мониторинга безопасности сети с применением open source решений

Содержание

Введение

Глава 1. 3. Проектирование и реализация системы централизованного мониторинга

1.1. 3.1 Целевая архитектура: компоненты, зоны сети, источники событий, потоки данных

1.2. 3.2 Развертывание компонентов мониторинга: агенты, коллекторы, SIEM, хранилище, dashboards

1.3. 3.3 Настройка сбора и нормализации событий: ОС, сетевые устройства, IDS/IPS, журналы приложений

1.4. 3.4 Разработка правил корреляции и сценариев детектирования сетевых атак

1.5. 3.5 Регламент реагирования на инциденты: роли, этапы, эскалация, фиксация доказательств

1.6. 3.6 Порядок информационного взаимодействия с ГосСОПКА/НКЦКИ при выявлении компьютерных инцидентов

Глава 2. 4. Тестирование и оценка эффективности системы

2.1. 4.1 Методика тестирования и сценарии имитации атак

2.2. 4.2 Проверка обнаружения атак: сканирование, brute force, lateral movement, malware-like activity, privilege escalation

2.3. 4.3 Анализ срабатывания правил: полнота, точность, ложные срабатывания

2.4. 4.4 Оценка производительности: EPS, нагрузка на CPU/RAM/диск, задержка обработки событий

2.5. 4.5 Оценка экономической и практической эффективности внедрения

2.6. 4.6 Выводы и рекомендации по эксплуатации и развитию системы

Заключение

Список использованной литературы

ВЫПУСКНАЯ КВАЛИФИКАЦИОННАЯ РАБОТА

Организация централизованного мониторинга безопасности сети с применением open source решений

ВВЕДЕНИЕ

Актуальность темы исследования обусловлена стремительным ростом числа кибератак на информационные системы российских организаций, значимых объектов критической информационной инфраструктуры (КИИ) и автоматизированных систем управления технологическими процессами (АСУ ТП). По данным аналитических отчётов Positive Technologies за 2024 год, количество целевых атак на российские компании выросло на 47% по сравнению с предыдущим годом, при этом более 60% успешных компрометаций остались незамеченными службами информационной безопасности на протяжении нескольких месяцев [1, c. 12]. «Лаборатория Касперского» в своём исследовании «Ландшафт киберугроз в России» фиксирует увеличение числа сложных многоэтапных атак, использующих техники lateral movement, privilege escalation и длительное присутствие злоумышленников в инфраструктуре жертвы [2, c. 28]. В условиях нарастающего кибертеррористического давления на Российскую Федерацию, санкционных ограничений и необходимости обеспечения технологического суверенитета вопросы своевременного обнаружения, анализа и реагирования на инциденты информационной безопасности приобретают особое стратегическое значение.

Нормативно-правовая база Российской Федерации в области обеспечения информационной безопасности претерпела существенные изменения в последние годы. Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» установил обязательные требования к категорированию объектов КИИ, созданию систем безопасности и организации информационного взаимодействия с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) [3, c. 45]. Указ Президента Российской Федерации от 01.05.2022 № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации» ужесточил требования к субъектам КИИ в части мониторинга безопасности и оперативного реагирования на инциденты [4, c. 78]. Указ Президента РФ от 30.03.2022 № 166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации» задал вектор импортозамещения средств защиты информации и перехода на отечественные решения [5, c. 91]. Приказ ФСТЭК России от 25.12.2017 № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации» устанавливает конкретные организационные и технические меры, включая обязательное создание систем мониторинга информационной безопасности [6, c. 102].

В этих условиях традиционные подходы к обеспечению безопасности автоматизированных систем, основанные на периметральной защите и применении отдельных средств защиты информации (СЗИ), оказываются недостаточными для противодействия современным угрозам. Распределённая инфраструктура предприятий, многообразие источников событий безопасности (операционные системы серверов и рабочих станций, сетевое оборудование, системы обнаружения и предотвращения вторжений IDS/IPS, межсетевые экраны, прикладные системы), гетерогенность форматов журналов аудита и отсутствие единой точки сбора, корреляции и анализа событий приводят к фрагментарности картины информационной безопасности и невозможности оперативного выявления признаков компрометации. Методика оценки угроз безопасности информации, утверждённая ФСТЭК России в 2021 году, акцентирует внимание на необходимости непрерывного мониторинга состояния защищённости информационных систем и своевременного обнаружения реализации актуальных угроз [7, c. 134].

Степень разработанности проблемы в отечественной научно-технической литературе характеризуется наличием фундаментальных работ по теории и практике построения систем мониторинга информационной безопасности. Вопросы организации централизованного сбора и анализа событий безопасности рассматриваются в работах Щеглова А.Ю., посвящённых защите компьютерных систем и сетей [8, c. 156]. Лукацкий А.В. в своих публикациях подробно исследует архитектуру SIEM-систем (Security Information and Event Management), принципы корреляции событий и построения правил детектирования атак [9, c. 178]. Петраков А.В. анализирует методы обнаружения вторжений и аномалий в сетевом трафике применительно к задачам защиты критической информационной инфраструктуры [10, c. 192]. Домарев В.В. исследует вопросы комплексного подхода к обеспечению информационной безопасности объектов информатизации с учётом требований ФСТЭК России [11, c. 201]. Научные школы МГТУ им. Н.Э. Баумана, Университета ИТМО и МТУСИ вносят значительный вклад в разработку методологических основ мониторинга и реагирования на инциденты информационной безопасности в автоматизированных системах различных классов защищённости.

Объектом исследования выступает автоматизированная система обработки информации ограниченного доступа, функционирующая в условиях воздействия актуальных угроз безопасности информации и требующая обеспечения установленного класса защищённости в соответствии с требованиями ФСТЭК России.

Предметом исследования являются методы, технологии и программно-технические средства организации централизованного мониторинга событий информационной безопасности на основе открытого программного обеспечения с применением компонентов класса SIEM, средств сбора и нормализации журналов аудита, систем корреляции событий и визуализации данных безопасности.

Цель выпускной квалификационной работы заключается в разработке и реализации системы централизованного мониторинга безопасности сети автоматизированной системы с применением открытых программных решений, обеспечивающей своевременное обнаружение признаков реализации актуальных угроз, корреляцию событий безопасности из разнородных источников и формирование оперативной информации для принятия решений по реагированию на инциденты информационной безопасности.

Для

…