Требования ГОСТ 57580

Подпроцесс «Управление учетными записями и правами субъектов логического доступа»
Примеры технических решений: Active Directory, Jira, OpenIDM
Организация и контроль использования учетных записей субъектов логического доступа

• для пользователей и администраторов создавать уникальные учетные записи;
• контролировать своевременную блокировку учетных записей уволенных и не пользующихся предоставленными правами сотрудников;
• системные учетные записи закрепить за конкретными лицами

Организация и контроль предоставления (отзыва) и блокирования логического доступа

• Написать ОРД, регламентирующий предоставление доступа
• Приказом назначить для каждого ресурса доступа распорядителя
• Хранить исходную информацию о доступах в системе ЭДО, Service Desk, AD/LDAP. Периодически контролировать соответствие
• Установить пароль на отключение пользователем антивируса и других СЗИ
• Периодически производить инвентаризацию и корректировку предоставленных прав доступа
• Запрет на совмещение технических и бизнес-ролей

Регистрация событий защиты информации и контролю использования предоставленных прав логического доступа

• Логировать действия администраторов по предоставлению доступа, изменению настроек СЗИ, привязке криптоключей и токенов
• Логировать действия пользователей в ИС

Подпроцесс «ИАА (разграничение доступа) при осуществлении логического доступа»
Примеры технических решений: ПАК Соболь, РУТОКЕН, Active Directory, встроенные функции прикладных систем
Идентификация и аутентификация субъектов логического доступа

• Однофакторная аутентификация пользователей, многофакторная аутентификация администраторов
• Ограничение работы администраторов с АРМ по MAC-адресам
• Запрет использования учетных записей по умолчанию, групповых, гостевых
• Блокировка учетной записи при ряде неудачных попыток ввода пароля или по неактивности
• Пароли на BIOS

Организация управления и организации защиты идентификационных и аутентификационных данных

• Запрет небезопасных протоколов и технологий
• Регулярная смена паролей пользователей и администраторов
• Установка сложности паролей
• Хранение резервных копий паролей администраторов
• Ведение журнала выдачи криптоключей, токенов и иных средств 2FA

Авторизация (разграничение доступа) при осуществлении логического доступа

• Применение методов разграничения доступа
• Запрет совмещения ролей

Регистрация событий при ИАА

• Логирование попыток входа в ИС, запуска сервисов, смены паролей

Подпроцесс «Защита информации при осуществлении физического доступа»
Примеры технических решений: система хранения данных (ФД.15)
Организация и контроль физического доступа в помещения

• Написать ОРД, определяющие правила физического доступа
• Контроль лиц, получающих физический доступ
• Предоставление доступа распорядителем
• Оборудование дверей надежными замками. Применение СКУД, видеонаблюдения, сигнализации для уровня 2 не обязательно
• Защита серверного оборудования, контроль доступа к нему
• Хранение архивов видеонаблюдения

Организация и контроль физического доступа к общедоступным объектам

• Видеонаблюдение за банкоматами и терминалами
• Хранение архивов видеонаблюдения за банкоматами и терминалами
• Контроль состояния банкоматов и терминалов, блокировка при необходимости

Регистрация событий, связанных с физическим доступом для уровня 2 не требуется

Подпроцесс «Идентификация и учет ресурсов и объектов доступа»
Примеры технических решений: Jira, Confluence, IT-invent, Open AudIT, Commvault
Учет и контроль состава ресурсов и объектов

• Учет ресурсов и объектов доступа
• Контроль состава ресурсов, операций по их созданию и изменению
• Контроль состава объектов доступа

Регистрация событий, связанных с операциями по изменению состава ресурсов и объектов доступа

• Логирование создания, изменения, удаления ресурсов доступа

Подпроцесс «Сегментация и межсетевое экранирование вычислительных сетей»
Примеры технических решений: сетевое оборудование Cisco, FortiGate, NG Firewall, Sqiud/Tinyproxy, FortiMail
Сегментация и межсетевое экранирование ЛВС

• Описать контуры безопасности, какие сегменты сети они включают
• Организовать межсетевое экранирование контура ГОСТ от остальной ЛВС
• Фильтрация данных в сегментах контура на L3 и L7
• Установить и описать правила фильтрации
• Выделение сегментов разработки и тестирования, пользовательского и административного сегментов, сегмента размещения ресурсов и СХД, размещения Б и ПТ
• Выделение АРМ для переноса информации из/в контур безопасности, контроль содержимого съемных носителей

Защита ЛВС при взаимодействии с сетью Интернет

• Организация VLAN на пограничном устройстве
• Использование МЭ/NGFW на границе с сетью Интернет
  
• Фильтрация данных при взаимодействии с сетью Интернет на L3 и L7
• Использование прокси-серверов, NAT
• Использование внешнего и внутреннего почтовых серверов
• Логирование изменений конфигурации сетевого оборудования

Подпроцесс «Выявление вторжений и сетевых атак»
Примеры технических решений: FortiAnalyzer, FortiGate, Snort, Suricata, FortiMail, SpamAssassin, Mitigator
Мониторинг и контроль содержимого сетевого трафика

• Использование средств обнаружения вторжений (NGFW, IDS/IPS) на границе с сетью Интернет, границе сегмента Б и ПТ, DMZ, сервере удаленного доступа, внутри контура
• Использование средств защиты от DDoS-атак - on-premise или услуга интернет-провайдера
• Использование антиспама on-premise или услуга интернет-провайдера
• Логирование СОВ (NGFW, IDS/IPS), средств защиты от DDoS-атак

Подпроцесс «Защита информации, передаваемой по вычислительным сетям»
Примеры технических решений: SSL VPN FortiGate, FortiClient, OpenVPN, криптошлюзы Sterra

• Использование двухстороннего TLS, VPN
• Использование VPN между подразделениями

Подпроцесс «Защита беспроводных сетей»
Примеры технических решений: FortiGate, Cisco NAC, Mojo AirTight WIPS

Защита информации от раскрытия и модификации при использовании беспроводных сетей

• WPA2-Enterprise, NAC, сервер аутентификации
• Шифрование AES при использовании WPA2-Enterprise
  

Защита внутренних вычислительных сетей при использовании беспроводных сетей

• Выделение сегмента для подключения беспроводных устройств, организация VLAN на уровне L2
• Использование МЭ/NGFW между сегментом беспроводных устройств и остальной сетью
• Описать в ОРД правила взаимодействия
• Использовать WIPS (IPS для Wi-FI)

Регистрация событий, связанных с использованием беспроводных сетей

• Использовать логирование корпоративной точки доступа + NAC
• Сохранять в логах сетевого оборудования информацию об изменении конфигурации.
• Передача логов для анализа в SIEM, logcollector и т.п.

Примеры технических решений: Maxpatrol, Nessus, Nikto, Kaspersky Security Center, SCCM
Контроль отсутствия известных (описанных) уязвимостей ЗИ объектов информатизации

• Использование сканеров уязвимостей
• Тестирование на проникновение
• Устранение выявленных по результатам сканирования уязвимостей
• Использование NGFW, EDR
  
• Установить в ОРД запрет использования ПО разработки и отладки на критичных АРМ

Организация и контроль размещения, хранения и обновления ПО

• Установить в ОРД необходимость своевременного обновления ОС, прикладного ПО, СЗИ на серверах, сетевом оборудовании, АРМ пользователей и администраторов.
• Установить в ОРД необходимость предварительного тестирования обновлений, проверки наличия остаточных уязвимостей
• Хранить эталонные копии ОС, прикладного ПО, СЗИ.
• Описать в ОРД порядок конфигурирования, хранить эталонные настройки АС, сетевого оборудования
• Описать в ОРД порядок обновления из доверенных источников

Контроль состава и целостности ПО информационной инфраструктуры

• Контроль состава разрешенного ПО на АРМ и серверах (EDR, современный антивирус, DLP), контроль состава автозагрузки
• Запрет установки/запуска неразрешенного ПО (настройки средствами ОС, EDR, современного антивируса, DLP - черные/белые списки ПО)
• Выявление использования мобильного кода (EDR - перечень разрешенных приложений, использующих мобильный код)

Регистрация событий, связанных с результатами контроля целостности и защищенности информационной инфраструктуры

• Логирование с использованием штатной функциональности сканеров уязвимостей, ОС северов и сетевого оборудования, средствами прикладного ПО, АС, СЗИ (EDR, DLP и др.)

Примеры технических решений: Kaspersky Endpoint Security, ESET NOD32, ClamAV, FortiGuard, FortiMail, MailScanner
Организация эшелонированной защиты от ВК на разных уровнях информационной инфраструктуры

• Антивирусы на АРМ пользователей и администраторов, на серверах
• Специализированный антивирус на уровне виртуальной инфраструктуры
• Тестирование на проникновение
• NGFW с функциями антивирусного контроля трафика
  
• Решения по защите электронной почты с антивирусной проверкой почтовых сообщений
• Защита антивируса от отключения пользователем (пароль)
• Специализированный антивирус для Б и ПТ, компенсирующая мера - контроль целостности среды

Организация и контроль применения СЗИ от ВК

• Регулярное обновление баз антивирусов, автозагрузка антивируса при запуске ОС, еженедельная полная проверка
• Самостоятельный контроль целостности компонентов антивируса
• Централизованное управление антивирусом
• Антивирусы различных производителей на АРМ, серверах и NGFW
• Потоковый антивирус на UTM/NGFW между сегментами сети, между ЛВС и Интернет
• Проверка антивирусом на автономном АРМ отчуждаемых носителей
• Описать в ОРД требования к антивирусным проверкам

Регистрация событий, связанных с защитой от ВК

• Логирование антивирусных проверок, фактов выявления ВК, мобильного кода, сбоев в работе, отключения антивируса, нарушения целостности компонентов

Примеры технических решений: DLP Searchinform, OpenDLP, FortiMail, FortiGate, Kaspersky Endpoint Security, Secret Net Studio
Блокирование неразрешенных и контроль разрешенных потенциальных каналов утечки

• DLP-система с контентным анализом информации
• NGFW или прокси-сервер с запретами/ограничениями на подключение к внешним ресурсам
• Принтеры с авторизацией печати по карточке/логину-паролю
• Контроль съемных носителей EDR или DLP

Контроль (анализ) информации, передаваемой по разрешенным потенциальным каналам утечки

• DLP-система с контентным анализом информации
• Единый архив электронных сообщений пользователей, возможность оперативного доступа к нему
• Запреты и ограничения на протоколы e-mail на NGFW или прокси-сервере
• Запреты и ограничения на форматы и объемы вложений на EDR, DLP или mail-сервере
• Классификация ресурсов Интернет на NGFW, DLP, EDR, блокировка доступа к запрещенным
• Подключение к Интернет через прокси-серверы, шлюзы
• DLP или EDR для теневого копирования копируемой на внешние носители информации
• Блокировка/отключение неиспользуемых портов
• Белые списки подключаемых устройств полная блокировка на EDR, СЗИ от НСД, DLP

Защита машинных носителей информации

• Журнал учета МНИ, акты проверок, бирки для маркировки МНИ
• ОРД с описанием деятельности по порядку обращения с МНИ
• Утилиты гарантированного стирания МНИ
• Решения по шифрованию съемных МНИ (для 2 уровня не обязательно)

Регистрация событий, связанных с защитой от утечек информации

• Встроенные механизмы логирования EDR, СЗИ от НСД, DLP, прокси-сервера, NGFW, ПО принтера
• Ведение журнала учета МНИ

Примеры технических решений: ELK, OSSIM, RuSIEM, SIEMonster, Check MK
Подпроцесс «Мониторинг и анализ событий защиты информации»
Мониторинг данных регистрации о событиях ЗИ, формируемых объектами информатизации:

• Сбор и передача в локальный SIEM или во внешний SOC событий с СЗИ, сетевых устройств, сетевых приложений и сервисов, ОС, СУБД, системного ПО, автоматизированных систем и приложений, контроллеров домена
• Сбор и передача в локальный SIEM или во внешний SOC событий со СКУД обязателен только для усиленного уровня ЗИ

Сбор, защита и хранение данных регистрации о событиях:

• Централизованный сбор событий
• Использовать службы синхронизации времени
• Передача данных в SIEM/SOC по защищенным протоколам, использовать протоколы гарантированной доставки информации
• Выделение дискового массива для хранения данных, автоматическое уведомление администраторов об исчерпании дискового пространства
• Защита доступа к хранилищу данных SIEM‑системы, обеспечение целостности данных средствами СУБД
• Резервирование базы данных SIEM‑системы

Анализ данных регистрации о событиях защиты информации:

• Использовать SIEM‑систему с функциональностью по нормализации событий, фильтрации, поиска по субъекту или ресурсу доступа

Регистрация событий, связанных с операциями по обработке данных регистрации о событиях:

• Использовать SIEM‑систему с функциональностью по нормализации событий, фильтрации, поиска по субъекту или ресурсу доступа

Примеры технических решений: Jira, CRM, СХД (РИ.17)
Подпроцесс «Обнаружение инцидентов защиты информации и реагирование на них» (РИ)
Регистрация событий, связанных с операциями по обработке данных регистрации о событиях:

• Создание в SIEM‑системе событий на основании информации, собранной от антивируса, СЗИ от НСД, МЭ/NGFW, DLP, сетевого оборудования
• Использовать Help Desk, систему ЭДО, БД или электронный журнал для регистрации информации о потенциальных инцидентах
• В ОРД, например, положении по управлению инцидентами ИБ классифицировать инциденты ИБ, установить правила получения информации об инцидентах от субъектов
• Применять установленные правила регистрации и классификации инцидентов в системе регистрации инцидентов

Реагирование на инциденты ЗИ:

• В ОРД установить правила реагирования на инциденты, создать группу реагирования на инциденты ЗИ (ГРИЗИ), описать распределение ролей в группе, способы оповещения группы об инцидентах ЗИ (почта, мессенджер), права членов группы на доступ к информации
• Назначить сотрудников в ГРИЗИ приказом
• Установить в ОРД правила реагирования на обнаруженные инциденты, фиксации результаты реагирования, закрытия инцидентов

Хранение и защита информации об инцидентах:

• Хранение базы данных об инцидентах (Help Desk, ЭДО, БД, электронный журнал). Защита встроенными средствами АС, СУБД
• Разграничить в системе учета инцидентов права членов группы на доступ к информации об инцидентах
• Хранить информацию об инцидентах в течение 3-х лет, обеспечить её доступность, производить резервное копирование

Регистрация событий, связанных с обнаружением инцидентов и реагированием на них:

• Логирование доступа к базе данных об инцидентах (Help Desk, ЭДО, БД, электронный журнал) встроенными средствами АС или СУБД.

Примеры технических решений: СХД (ЗСВ.3 и др.), IT-bastion, Wallix, ПАК Соболь, Secret Net Studio, vGate
ИАА при осуществлении доступа к ВМ и серверным компонентам виртуализации

• Запрет на одновременный доступ с одного АРМ к виртуальным машинам в разных контурах безопасности
• Запрет сетевого взаимодействия между контурами на уровне виртуальных машин
• Отдельные разделы СХД для контуров безопасности
• Идентификация и аутентификация пользователей средствами гипервизора или доменная аутентификация
• Запрет на параллельные сеансы RDP
• Возможность принудительного разрыва сессии ВМ средствами гипервизора
• АПМДЗ на АРМ администраторов ВМ + токены, доменная аутентификация + 2FA
• Запрет одновременного выполнения ролей
• Запрет размещения серверных и пользовательских компонентов АС на одной ВМ

Сегментация и межсетевое экранирование вычислительных сетей для размещения ВМ и серверных компонент виртуализации

• Различные сегменты сети для ВМ из разных контуров безопасности
• Физический МЭ/NGFW для взаимодействия ВМ из разных контуров, установить правила взаимодействия
• Использование тонких клиентов с отключенными USB-портами для работы с ВМ в контурах безопасности
• Сегмент для размещения АРМ администраторов ВМ (VLAN)

Защита образов виртуальных машин

• ОРД с требованиями к обращению с образами ВМ, к наличию СЗИ в базовых образах, к отнесению АРМ к одному из контуров безопасности
• ОРД с запретом копирования ВМ с загруженными СКЗИ и запущенными бизнес-процессами

Регистрация событий, связанных с доступом к виртуальным машинам и серверным компонентам виртуализации

• Логирование действий с ВМ (запуска, остановка, изменение настроек, создание и т.п.) встроенными средствами гипервизора
• Логирование действий администраторов средствами ОС сервера, контроллера домена, специализированных СЗИ
• Логирование действий в ВМ (ИАА пользователей, изменение настроек СЗИ) встроенными средствами гипервизора и средствами СЗИ

Примеры технических решений: сетевое оборудование Cisco, Check Point, MDM MobileIron, FortiEMS, FortiClient, FortiGate, Прибой-3У (ЗУД.12)
ЗИ от раскрытия и модификации при осуществлении удаленного доступа

• ОРД c перечнем ресурсов и правил предоставления удаленного доступа
• Для аутентификации использовать VPN или двухсторонний TLS, NAC, клиент MDM
• Использовать MDM, например, MobileIron
  
• Запрет сетевого взаимодействия между контурами на уровне виртуальных машин
• VPN или двухсторонний TLS для шифрования передаваемой информации

Защита внутренних вычислительных сетей при осуществлении удаленного доступа

• Использование MDM, аутентификация в клиенте MDM.
• Отдельный сегмент сети для подключения устройств удаленного доступа, взаимодействие с ресурсами доступа через промежуточные шлюзы: VPN, NAC
• Ограничение взаимодействия удаленного устройства с сетью Интернет (функциональность MDM)
• NGFW или DLP для анализа передаваемой через Интернет информации
• Установление правил на МЭ/NGFW, контроль соединений

ЗИ от раскрытия и модификации при ее обработке и хранении на мобильных устройствах

• MDM с централизованным управлением, например, MobileIron
• MDM со встроенным антивирусом или отдельные антивирусы для мобильных устройств
• MDM с возможностью удаленного стирания информации с устройств, например, MobileIron

• Определить перечень защищаемой информации (платежная информация, криптоключи, аутентификационная информация и др.) для каждой АС, например, в Инструкции к АС, паспорте и т.п. При определении типов защищаемых активов учесть требования актуальных нормативных актов ЦБ.
• Определить состав мер защиты для АС в соответствии с ГОСТ 57580, например, в Положении о применимости.
• Документарно определить в проектной и эксплуатационной документации на АС состав и порядок применения организационных и технических мер ЗИ в АС, параметры настроек. Например, в техническом проекте.
• Документарно отразить, что управление версиями, изменениями версий и тестированием ПО осуществляется с целями 1) контроля реализации функций ЗИ в новой версии 2) принятия мер, препятствующих несанкционированному внесению изменений в версии прикладного ПО. Тестировать функции ЗИ АС при обновлениях.
• Использовать отдельные сегменты для разработки и тестирования ПО, контролировать правильность разделения сегментов.
• Использовать прикладное ПО автоматизированных систем, для которого проведен анализ уязвимостей по уровню ОУД4 или сертифицированное во ФСТЭК России.
• Проводить приемо-сдаточные испытания для контроля полноты реализации мер системы ЗИ в АС.
• Документарно отразить необходимость модернизации АС при изменении требований к составу и содержанию мер системы защиты информации АС. Модернизировать АС в необходимых случаях. В документации на систему ЗИ АС отразить состав и порядок применения клиентских компонентов, параметры их настройки, меры по использованию клиентом только доверенных сборок ПО.