Об утверждении Требований к средствам, предназначенным для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты

технические, программные, программно-аппаратные и иные средства для обнаружения компьютерных атак (далее - средства обнаружения);#❝

технические, программные, программно-аппаратные и иные средства для предупреждения компьютерных атак (далее - средства предупреждения);#❝

технические, программные, программно-аппаратные и иные средства для ликвидации последствий компьютерных атак (далее - средства ликвидации последствий);#❝

технические, программные, программно-аппаратные и иные средства поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры (далее - средства ППКА);#❝

технические, программные, программно-аппаратные и иные средства обмена информацией, необходимой субъектам критической информационной инфраструктуры при обнаружении, предупреждении и (или) ликвидации последствий компьютерных атак (далее - средства обмена);#❝

криптографические средства защиты информации, необходимой субъектам критической информационной инфраструктуры при обнаружении, предупреждении и (или) ликвидации последствий компьютерных атак.#❝

Средства ГосСОПКА реализуются одним или несколькими техническими, программными и программно-аппаратными средствами.#❝

сбор и первичная обработка событий, связанных с нарушением информационной безопасности (далее - события ИБ), поступающих от операционных систем, средств обнаружения вторжений, межсетевых экранов, средств предотвращения утечек данных, антивирусного программного обеспечения, телекоммуникационного оборудования, прикладных сервисов, средств контроля (анализа) защищенности, средств управления телекоммуникационным оборудованием и сетями связи, систем мониторинга состояния телекоммуникационного оборудования, систем мониторинга качества обслуживания, а также иных средств и систем защиты информации и систем мониторинга, эксплуатируемых субъектом критической информационной инфраструктуры (далее - источники событий ИБ);#❝

автоматический анализ событий ИБ и выявление компьютерных инцидентов;#❝

повторный анализ ранее зарегистрированных событий ИБ и выявление на основе такого анализа не обнаруженных ранее компьютерных инцидентов.#❝

удаленный и (или) локальный сбор событий ИБ;#❝

сбор событий ИБ в непрерывном режиме функционирования либо по расписанию, в случае потери связи с источниками событий ИБ - сразу после ее восстановления;#❝

обработку поступающих событий ИБ и сохранение результатов их обработки;#❝

сохранение информации о событиях ИБ, в том числе в исходном виде;#❝

сбор информации непосредственно от источников событий ИБ, из файлов либо посредством агентов, размещенных на отдельных источниках событий ИБ;#❝

встроенную поддержку различных источников событий ИБ и возможность разработки дополнительных модулей, обеспечивающих получение информации от новых источников событий ИБ.#❝

отбор и фильтрацию событий ИБ;#❝

выявление последовательностей разнородных событий ИБ, имеющих логическую связь, которые могут быть значимы для выявления возможных нарушений безопасности информации (корреляция) и объединение однородных данных о событиях ИБ (агрегация);#❝

выявление компьютерных инцидентов, регистрацию методов (способов) их обнаружения;#❝

возможность корреляции для распределенных по времени и (или) месту возникновения событий ИБ;#❝

возможность корреляции для последовательности событий ИБ; #❝

возможность просмотра и редактирования правил корреляции, а также обновления и загрузки новых правил;#❝

автоматическое назначение приоритетов событиям ИБ на основании задаваемых пользователем показателей.#❝

выявление связей и зависимостей между событиями ИБ,#❝

зарегистрированными в установленном интервале времени, и вновь появившейся любой дополнительной информацией, позволяющей идентифицировать контролируемые информационные ресурсы (далее - справочная информация);#❝

выявление связей и зависимостей между событиями ИБ, зарегистрированными в установленном интервале времени, и новыми или измененными методами (способами) выявления компьютерных инцидентов;#❝

выявление связей и зависимостей между событиями ИБ и полученными ранее сведениями о контролируемых информационных ресурсах и (или) о состоянии защищенности;#❝

возможность настройки параметров проводимого анализа;#❝

проведение поиска не обнаруженных ранее компьютерных инцидентов с использованием новых методов (способов) выявления компьютерных инцидентов;#❝

хранение агрегированных событий ИБ не менее шести месяцев.#❝

сбор и обработка сведений об инфраструктуре контролируемых информационных ресурсов и справочной информации;#❝

сбор и обработка сведений об уязвимостях и недостатках в настройке программного обеспечения (далее - ПО), используемого в контролируемых информационных ресурсах;#❝

формирование рекомендаций по минимизации угроз безопасности информации;#❝

учет угроз безопасности информации.#❝

об архитектуре и объектах контролируемых информационных ресурсов (сетевые адреса и имена, наименования и версии используемого ПО);#❝

о выполняющихся на объектах контролируемых информационных ресурсов сетевых службах;#❝

об источниках событий ИБ.#❝

о показателе доверия (репутации) сетевых адресов, доменных имен, серверов электронной почты, серверов доменных имен;#❝

о владельцах сетевых адресов, доменных имен, серверов электронной почты, серверов доменных имен;#❝

о местоположении и географической принадлежности сетевых адресов;#❝

об известных уязвимостях используемого ПО;#❝

о компьютерных сетях, состоящих из управляемых с использованием вредоносного ПО средств вычислительной техники, включая сведения об их управляющих серверах.#❝

сбор данных о дате и времени проведения исследования контролируемых информационных ресурсов;#❝

формирование перечня выявленных уязвимостей и недостатков в настройке используемого ПО (для каждого объекта контролируемого информационного ресурса);#❝

возможность статистической и аналитической обработки полученной информации.#❝

создание и изменение записи, содержащей уведомление об угрозе безопасности информации в форматах, обрабатываемых технической инфраструктурой Национального координационного центра по компьютерным инцидентам¹ (далее - НКЦКИ), предназначенной для отправки, получения, обработки и хранения уведомлений и запросов в рамках информационного взаимодействия с субъектами критической информационной инфраструктуры, а также с иными не являющимися субъектами критической информационной инфраструктуры органами и организациями, в том числе иностранными и международными;#❝

создание и изменение инструкций по реагированию на компьютерные инциденты, связанные с угрозами безопасности информации, включающих порядок принятия решений, очередность выполняемых действий и способы организации совместных действий участвующих в мероприятиях по реагированию на компьютерные инциденты и ликвидации последствий компьютерных атак работников субъекта критической информационной инфраструктуры и (или) работников привлекаемой в соответствии с законодательством Российской Федерации субъектом критической информационной инфраструктуры организации, осуществляющей лицензируемую деятельность в области защиты информации;#❝

создание и изменение инструкций по обработке запросов и уведомлений, поступающих из НКЦКИ.#❝

_______________ 

¹ Подпункт 4.9 пункта 4 Положения о Национальном координационном центре по компьютерным инцидентам, утвержденного приказом ФСБ России от 24 июля 2018 г. № 366 "О Национальном координационном центре по компьютерным инцидентам" (зарегистрирован Минюстом России 6 сентября 2018 г., регистрационный № 52109).

учет и обработка компьютерных инцидентов;#❝

управление процессами реагирования на компьютерные инциденты и ликвидации последствий компьютерных атак;#❝

взаимодействие с НКЦКИ посредством использования технической инфраструктуры НКЦКИ, предназначенной для отправки, получения, обработки и хранения уведомлений и запросов в рамках информационного взаимодействия с субъектами критической информационной инфраструктуры, а также с иными не являющимися субъектами критической информационной инфраструктуры органами и организациями, в том числе иностранными и международными;#❝

информационно-аналитическое сопровождение пользователей.#❝

создание и изменение формализованных описаний (далее - карточка) компьютерных инцидентов, определение типов компьютерных инцидентов, определение состава полей карточек и требований к их заполнению в соответствии с типом компьютерного инцидента;#❝

автоматическое создание карточки компьютерного инцидента на основе уведомления об угрозе безопасности информации либо при выявлении события ИБ, в котором содержатся признаки компьютерных атак для контролируемых информационных ресурсов;#❝

запись о текущей стадии процесса реагирования на компьютерные инциденты (стадия приема сообщения о компьютерном инциденте, стадия сбора первичных сведений о компьютерном инциденте, стадия локализации компьютерного инцидента, стадия сбора сведений для расследования компьютерного инцидента) в зависимости от типа компьютерного инцидента;#❝

запись о присвоении категорий опасности и (или) определение приоритетов компьютерных инцидентов на основе критериев, задаваемых по значениям полей карточек компьютерных инцидентов;#❝

регистрацию и учет карточек компьютерных инцидентов;#❝

фильтрацию, сортировку и поиск карточек компьютерных инцидентов по значениям полей карточек;#❝

объединение карточек компьютерных инцидентов на основе критериев, применяемых к значениям полей карточек.#❝

возможность включения в карточку компьютерного инцидента дополнительных сведений, связанных с компьютерным инцидентом и зарегистрированных в процессе реагирования на компьютерный инцидент и ликвидации последствий компьютерной атаки, в том числе сообщений пользователей контролируемых информационных ресурсов, сведений о предпринятых действиях, технических данных, необходимых для расследования обстоятельств компьютерного инцидента;#❝

возможность назначения для карточки компьютерного инцидента инструкций по реагированию на компьютерный инцидент, а также задания правил их применимости на основании сведений о компьютерном инциденте;#❝

формирование электронных сообщений для организации взаимодействия и координации действий работников субъекта критической информационной инфраструктуры и (или) работников привлекаемой в соответствии с законодательством Российской Федерации субъектом критической информационной инфраструктуры организации, осуществляющей лицензируемую деятельность в области защиты информации, участвующих в реагировании на компьютерный инцидент и ликвидации последствий компьютерной атаки.#❝

автоматизированный обмен информацией, представляемой в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, указанной в пункте 5 Перечня информации, представляемой в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, утвержденного приказом ФСБ России от 24 июля 2018 г. № 367¹;#❝

учет карточек компьютерных инцидентов в соответствии с идентификацией НКЦКИ.#❝

обнаружение признаков компьютерных атак в сети электросвязи по значениям служебных полей протоколов сетевого взаимодействия, а также осуществление сбора, накопления и статистической обработки результатов такого обнаружения;#❝

обнаружение в сети электросвязи признаков управления телекоммуникационным оборудованием;#❝

обнаружение изменений параметров настроек телекоммуникационного оборудования сети электросвязи;#❝

обнаружение изменений параметров настроек систем управления телекоммуникационным оборудованием и сетями электросвязи;#❝

хранение копий сетевого трафика, в котором были обнаружены признаки компьютерных атак в сети электросвязи и (или) признаки управления телекоммуникационным оборудованием, не менее шести месяцев;#❝

анализ и экспорт фрагментов копий сетевого трафика, в котором были обнаружены признаки компьютерных атак в сети электросвязи и (или) признаки управления телекоммуникационным оборудованием;#❝

уведомление о фактах обнаружения признаков компьютерных атак в сети электросвязи и (или) признаков управления телекоммуникационным оборудованием;#❝

уведомление о фактах нарушения режимов функционирования средств ППКА;#❝

наличие интерфейса(ов) передачи фрагментов копий сетевого трафика, в котором обнаружены признаки компьютерных атак в сети электросвязи и (или) признаки управления телекоммуникационным оборудованием, а также результатов сбора, накопления и статистической обработки такой информации;#❝

возможность формирования информации, предусмотренной пунктом 5 Перечня, указанного в пункте 16 настоящих Требований.#❝

VII. Требования к средствам обмена и криптографическим средствам защиты информации, необходимой субъектам критической информационной инфраструктуры при обнаружении, предупреждении и (или) ликвидации последствий компьютерных атак#❝

идентификацию и аутентификацию пользователей;#❝

разграничение прав доступа к информации и функциям;#❝

регистрацию событий ИБ;#❝

обновление программных компонентов и служебных баз данных;#❝

резервирование и восстановление своей работоспособности;#❝

синхронизацию системного времени и корректировку временных значений (корректировку настроек часовых поясов);#❝

контроль целостности ПО.#❝

аутентификацию пользователей с использованием паролей (в том числе временного действия) и (или) аппаратных средств аутентификации; #❝

хранение паролей в зашифрованном виде;#❝

автоматическое информирование о необходимости смены паролей.#❝

поддержку функций создания, редактирования и удаления пользовательских ролей и возможность настройки прав доступа для каждой роли;#❝

возможность блокирования и повторной активации учетных записей;#❝

блокирование сессии доступа при превышении задаваемого значения временного периода отсутствия активности;#❝

уведомление о неудачных попытках доступа к управлению средствами ГосСОПКА;#❝

запись всех действий пользователей с момента авторизации в электронный журнал.#❝

возможность определения перечня событий ИБ, подлежащих регистрации, и хранения соответствующих записей в электронных журналах с возможностью корректировки сроков;#❝

возможность регистрации следующих связанных с функционированием средств ГосСОПКА сведений: идентификатора пользователя, времени авторизации, запуска (завершения) программ и процессов, связанных с реализацией функций безопасности средств ГосСОПКА, команды управления, неудачных попыток аутентификации, данных о сбоях и неисправностях в работе средств ГосСОПКА;#❝

ведение электронных журналов учета технического состояния, содержащих следующие поля: информация о состоянии интерфейсов (портов), информация об ошибках в работе средств ГосСОПКА с их классификацией, информация о загрузке и инициализации средств ГосСОПКА и их остановке (только для средств ППКА);#❝

защиту электронных журналов от редактирования и удаления содержащейся в них информации (только для средств ППКА);#❝

автоматическое уведомление о заполнении электронного журнала и возможность его сохранения на внешнем носителе информации (только для средств ППКА).#❝

обновление без потери информации, необходимой для функционирования средств, а также информации о компьютерных инцидентах и событиях ИБ;#❝

обновление только пользователями, ответственными за управление (администрирование) средств ГосСОПКА;#❝

восстановление работоспособности в случае сбоя процесса обновления (в том числе осуществление предварительного резервного копирования и последующее восстановление).#❝

возможность создания резервной копии конфигурационных данных на внешнем носителе;#❝

возможность создания резервной копии ПО на внешнем носителе;#❝

возможность самовосстановления работоспособности при обнаружении критических ошибок в процессе функционирования (только для средств ППКА).#❝

проверку целостности ПО и конфигурационных файлов при загрузке, во время функционирования и по команде пользователя, ответственного за управление (администрирование) средством ГосСОПКА;#❝

возможность штатного самотестирования ПО в процессе функционирования;#❝

регистрацию в электронном журнале результатов проведения контроля целостности ПО.#❝

Средства обнаружения, средства предупреждения и средства ликвидации последствий должны обеспечивать:#❝

о событиях ИБ;#❝

об обнаруженных компьютерных инцидентах;#❝

об уязвимостях и недостатках в настройке ПО, используемого в контролируемых информационных ресурсах;#❝

об инфраструктуре контролируемых информационных ресурсов;#❝

хранящихся в базе данных;#❝

содержащих справочную и другую необходимую информацию.#❝

создание таблиц (списков, схем, графиков, диаграмм), а также их визуализация на основе полученных данных;#❝

выбор параметров, по которым строятся таблицы (списки, схемы, графики, диаграммы) в отчетах;#❝

экспорт отчетов;#❝

автоматическое формирование отчетов по расписанию, а также их автоматическое направление назначаемым адресатам.#❝