Файл: Федеральное государственное бюджетное образовательное учреждение высшего образования санктпетербургский.pdf

– параметры передачи журналов ЦУС;
– расписание передачи журналов в БД;
– параметры очистки БД от устаревших записей журналов.
При настройке параметров локальных журналов КШ должен быть указан максимальный размер журналов и выполнен выбор регистрируемых IP- пакетов.
2. В программе управления ЦУС необходимо вызвать контекстное меню нужного КШ и активировать команду «Свойства», в появившемся диалоговом окне «Свойства криптошлюза» перейти на вкладку «Журналы».
3. В группе полей «Максимальные размеры журналов» для каждого журнала необходимо указать размер пространства на жестком диске КШ, которое отводится для хранения записей. Размер пространства указывается в килобайтах.
4. Размер системного журнала и журнала НСД необходимо установить в значение 10240 Кб, а размер журнала сетевого трафика установить в значение
12288 Кб. Таким образом, суммарный размер пространства, отводящегося для хранения журналов, не превышает границу в 32 Мб, которая введена в силу конструктивных ограничений [38].
5. При настройке расписания передачи журналов из буфера ЦУС в централизованную
БД, необходимо руководствоваться принципом минимизации потерь данных журналов вследствие превышения заданного размера. Рекомендуется настроить агента ЦУС и СД на получение журналов из буфера ЦУС на ежечасный интервал, что позволит снизить вероятность потерь из-за переполнения.
6. Для обеспечения высокой скорости доступа к централизованной БД рекомендуется хранить в БД записи за последние 7 дней. Таким образом, в параметрах для агента ЦУС рекомендуется установить срок устаревания записей для всех журналов 7 дней и время очистки записей в БД установить на понедельник 8 часов 55 минут утра.
7. Для обеспечения возможности чтения данных средствами системы, необходимо периодически выполнять экспорт событий из журналов в текстовые файлы. Исходя из приведенных выше настроек времени хранения событий, следует проводить сохранение записей журналов в файл еженедельно в понедельник в 9 часов утра, после момента времени, когда
ЦУС удалит из БД записи старее последних 7 дней.
4.3.7. Организационно-технические решения по настройке данных
журнала аудита комплекса антивирусной защитой Dr.Web Enterprise Suite
Server
Антивирус Dr.Web 10 Enterprise Suite Server (ESS) предназначен для организации и управления надежной комплексной антивирусной защитой компьютеров локальной сети организации [30]. Dr.Web ESS решает следующие задачи:
– централизованная (без необходимости непосредственного доступа персонала) установка антивирусных пакетов на защищаемые компьютеры;

– централизованная настройка параметров антивирусных пакетов;
– централизованное обновление вирусных баз и программного обеспечения на защищаемых компьютерах;
– мониторинг вирусных событий, а также состояния антивирусных пакетов и ОС на всех защищаемых компьютерах.
Программный комплекс Dr.Web ESS имеет архитектуру клиент-сервер.
Его компоненты устанавливаются на компьютеры пользователей, администраторов и на компьютер, выполняющий функции антивирусного сервера, и обмениваются информацией, используя сетевые протоколы
TCP/IP.
Dr.Web ESS позволяет сохранить за пользователем защищаемых компьютеров права на настройку и управление антивирусными пакетами данных компьютеров, а также гибко ограничить их, вплоть до полного запрета.
Требования к настройкам штатной подсистемы регистрации событий комплекса антивирусной защитой Dr.Web Enterprise Suite Server:
– выполнить интерактивный вход в центр управления антивирусной защитой комплекса Dr.Web ESS с использованием учетной записи, имеющей административные полномочия на сервере Dr.Web ESS;
– выбрать в верхней части экрана раздел «Администрирование», далее в левой части экрана выбрать пункт «Конфигурация Dr.Web Enterprise Server»;
– в правой части экрана необходимо открыть раздел конфигурирования
«Статистические данные» и выбрать опции «Инфекции в БД», «Ошибки сканирования в БД»;
– перейти на вкладку «Безопасность» и установить опции «Аудит операций», «Аудит внутренних операций», «Аудит операций Web API».
Сохранить настройки.
4.3.8. Организационно-технические решения по настройке данных
журнала аудита продуктов антивирусной защиты Лаборатории
Касперского
Основным назначением продуктов Лаборатории Касперского является антивирусная защита [40]. Продукты также обеспечивают защиту от спама, хакерских атак, программ-шпионов. Программные продукты Антивируса
Касперского для Windows поставляются в вариантах для серверов и рабочих станций. Антивирус может применяться как на автономных компьютерах пользователей, так и в корпоративной сети предприятия. Продукты имеют возможность для централизованного конфигурирования, управления, мониторинга ИБ через дополнительное ПО – Kaspersky Security Center.
В
функции Сервера администрирования входит:
– хранение структуры логической сети (сетевой конфигурации);
– хранение копии конфигурационной информации компьютеров логической сети;

– организация хранилищ дистрибутивов приложений «Лаборатории
Касперского»;
– удаленная установка и деинсталляция приложений на компьютеры;
– обновление антивирусных баз и программных модулей;
– управление политиками и задачами на компьютерах логической сети;
– хранение информации о событиях, происходивших на компьютерах логической сети;
– формирование отчетов о работе приложений в логической сети;
– распространение лицензионных ключей на компьютеры логической сети, хранении информации о лицензионных ключах;
– отправка событий от функционирующих на компьютерах логической сети задач. Такие события могут сообщать, например, об обнаружении на компьютере вирусов.
Подключение клиентского компьютера к Серверу администрирования осуществляет Агент администрирования, установленный на клиентском компьютере. При подключении клиентского компьютера к Серверу администрирования выполняются следующие операции:
– автоматическая синхронизация данных:
– синхронизация списка программ, установленных на клиентском компьютере;
– синхронизация политик, параметров программ, задач и параметров задач;
– получение Сервером администрирования текущей информации о состоянии программ, выполнении задач и статистики работы программ;
– доставка на Сервер информации о событиях, которые требуется обработать.
Автоматическая синхронизация данных производится периодически, в соответствии с параметрами Агента администрирования (например, один раз в 15 минут). Имеется возможность вручную задать интервал между соединениями. Информация о событии доставляется на Сервер администрирования сразу после того, как событие произошло.
Регистрация событий. В процессе работы Антивирус Касперского фиксирует различного рода события в свой журнал. Они могут быть информационного характера, а также нести важную информацию. Например, событие может уведомлять об успешно выполненном обновлении приложения, фиксировать ошибку в работе некоторого компонента, обнаружение вируса. В Антивирусе Касперского имеется возможность воспользоваться сервисом уведомлений для доставки информации до эксплуатирующего персонала различными способами.
Перед инсталляцией сервера администрирования инсталлируется СУБД.
По умолчанию при инсталляции Kaspersky Security Center выполняется установка Microsoft SQL Express 2005 или Microsoft SQL Express 2008 (в зависимости от версии устанавливаемого продукта).
В ходе последующей инсталляции сервера администрирования создается
БД Kaspersky antivirus (KAV) для накопления событий антивируса.

Имеется возможность включить генерацию событий антивирусом, работающим без централизованного администрирования, а также антивирусом, использующим централизованный сбор событий. При централизованной схеме сбора событий в Антивирусе Касперского имеется возможность записи событий в БД KAV и дублирования их в системный журнал ОС (Event Log) на сервере администрирования. Экспериментально установлено, что информация о произошедших событиях, фиксируемая в БД
KAV более полная, чем информация из журнала ОС.
При необходимости получения событий непосредственно на компьютере с установленным Антивирусом Касперского, нужно конфигурировать список событий для регистрации на каждом таком компьютере.
Требования к настройкам штатной подсистемы регистрации событий.
1.Если Антивирус Касперского работает без централизованного администрирования, имеется возможность включить генерацию событий антивирусом и указать способ регистрации событий. При невозможности воспользоваться централизованным сбором событий при помощи сервера администрирования Антивируса Касперского, необходимо настраивать локальный сбор событий на каждом компьютере. При этом необходимо сохранять регистрируемые события в журнале Event Log ОС Windows.
1.1. Для Kaspersky Endpoint Security 10 настройка выполняется следующим образом.
Необходимо открыть главное окно программы, выбрать вкладку
Настройка, выбрать группу параметров Интерфейс, в параметрах
Уведомления нажать кнопку Настройка….
1.2.В окне Уведомления для типов событий и отдельных событий антивируса указывается, каким образом уведомления будут доведены до пользователя (сохранять в локальном журнале, сохранять в журнале событий
Windows, уведомлять на экране, уведомлять по почте). Для целей ЕСМИБ ТУ для регистрируемых событий установить Сохранять в журнале событий
Windows.
2. Для настройки
Антивируса
Касперского, использующего централизованный сбор событий, необходимо создать политики централизованного управления клиентскими антивирусами, сервером администрирования, агентом администрирования.
Настройка централизованного управления с помощью Kaspersky Security Center
выполняется следующим образом.
2.1. Для сервера администрирования и клиентских компьютеров необходимо создать или настроить существующую политику защиты и общих параметров программ. Для запуска мастера создания/редактирования политики необходимо запустить оснастку централизованного администрирования Kaspersky Security Center, затем в левой панели в дереве выбрать узел Сервер администрирования <имя сервера> → Управляемые
компьютеры.
При необходимости выбрать группу управляемых компьютеров. Открыть вкладку Политики.

2.2. Для создания политику управления клиентскими компьютерами для группы администрирования выбрать ссылку Создать политику Kaspersky
Endpoint Security и следовать указаниям мастера создания политики. При выполнении шагов настройки политики руководствоваться документами, принятыми в эксплуатирующем подразделении.
2.3. На шаге Интерфейс в группе Уведомления нажать кнопку
Настройка…. В окне Уведомления для типов событий и отдельных событий антивируса указывается, каким образом уведомления будут доведены до пользователя (сохранять в локальном журнале, сохранять в журнале событий
Windows, уведомлять на экране, уведомлять по почте).
Созданная политика применится на всех компьютерах под управлением
ОС Windows, входящих в группу администрирования, для которой создавалась политика.
2.4. При создании политики для сервера администрирования на вкладке
Политики выбрать ссылку Создать политику, указать имя политики, выбрать программу для создания групповой политики
Сервер
администрирования Kaspersky Security Center и следовать указаниям мастера создания политики. В последующих диалогах мастера необходимо набрать имя политики и выбрать Kaspersky Security Center как ПО, для которого настраивается политика. Необходимо выбрать количество событий, хранящихся в БД KAV сервера администрирования, исходя из аппаратной конфигурации компьютера, используемого для сервера администрирования.
Рекомендуется указать значение 400000.
2.5. Для настройки уведомлений существующей политики необходимо выбрать политику для группы администрирования, в правой части окна выбрать ссылку Настроить уведомления. В окне Свойства <название
политики> выбрать группу параметров События, в правой части окна выбрать одно или несколько событий, нажать кнопку Свойства и открывшемся окне задать способ регистрации событий и способ уведомления о событиях.
Рекомендуется для всех событий установить опцию На Сервере
администрирования в течение (дней). Не рекомендуется устанавливать значение меньше 30 дней, так как это может привести к потере событий для анализа.
В заключение отметим, что применение рекомендованных штатных настроек оборудования и рекомендованных организационно-технических мер по защите информации только частично реализуют требования ПОЛИТИКА.
Для построения СИБ ИС требуемого класса защищенности следует также провести дополнительный анализ и выбор сертифицированных программно- аппаратных СЗИ.
Более того, несмотря на то, что создание СИБ сводит к минимуму ущерб
организации, надо всегда помнить, что основным фактором обеспечения
информационной безопасности в ИС остается «человеческий» фактор.
Поэтому в процессе эксплуатации СОИБ особое внимание надо уделять

постоянному обучению персонала с принципами политики информационной
безопасности и использованию средств защиты информации в ИС.
Контрольные вопросы по гл.4
1. Какие общие организационно-технические решения применяются для защиты компьютерных ресурсов серверов и АРМ?
2. Какие технические решения по защите от НСД компьютерных ресурсов применяются на уровне ОС HP-UX?
3. Какие технические решения по защите от НСД компьютерных ресурсов применяются на уровне сервера СУБД Oracle?
4. Какие организационно-технические решения по защите от НСД компьютерных ресурсов применяются на уровне сервера БД?
5. Какие технические решения по защите от НСД компьютерных ресурсов применяются на уровне АРМ пользователей ИС?
6. Какие общие технические решения по защите от НСД компьютерных ресурсов применяются на уровне корпоративной сети?
7. Какие технические решения для защиты корпоративной МСС на базе сканеров безопасности?
8. Какие технические решения для защиты корпоративной МСС на базе систем обнаружения вторжений?
9. Какие организационно-технические решения применяются для защиты сетевого оборудования?
10. Какие организационно-технические решения применяются для организации защиты межсетевого взаимодействия?
11. Какие протоколы формирования защищенного туннеля применяются на канальном уровне? Какие их основные функциональные достоинства и недостатки?
12. Какие протоколы образуют архитектуру защиты межсетевого уровня IPsec?
13. Какие работает протокол обмена ключевой информацией IKE?
14. Какие основные отличия работы протокола аутентифицирующего заголовка АН в транспортном и туннельном режиме?
15. Какие основные отличия работы протокола инкапсулирующей защиты содержимого ESP в транспортном и туннельном режиме?
16. Какие протоколы VPN применяются на сеансовом уровне модели
OSI?
17. Как осуществляется распределение криптографических ключей и согласование параметров защищенных туннелей?
18. Какие организационно-технические решения применяются для организации защиты межсетевого взаимодействия с применением межсетевых экранов?
19. Какие общие организационно-технические решения по настройке штатных журналов аудита применяются на объектах мониторинга ИС?
20. Какие организационно-технические решения по настройке и сбору данных журнала аудита применяются для ОС HP-UX?

21. Какие организационно-технические решения по настройке и сбору данных журнала аудита применяются для СУБД Oracle?
22. Какие организационно-технические решения по настройке и сбору данных журнала аудита применяются для ОС Windows?
23. Какие организационно-технические решения по настройке данных журнала аудита применяются для СЗИ от НСД «Аккорд»?
24. Какие организационно-технические решения по настройке данных журнала аудита применяются для СЗИ от НСД SecretNet?
25. Какие организационно-технические решения по настройке данных журнала аудита применяются для аппаратно-программного комплекса шифрования «Континент»?
26. Какие организационно-технические решения по настройке данных журнала аудита комплекса антивирусной защитой Dr.Web Enterprise Suite
Server?
27. Какие организационно-технические решения по настройке данных журнала аудита применяются для продуктов антивирусной защиты
Лаборатории Касперского?