Программный комплекс "Инсайдер"

Объективная реальность

Когда мы задумываемся о безопасности информационной инфраструктуры организации, то в первую очередь думаем о внешних угрозах, совсем забывая о том, что опасность может подстерегать нас изнутри. К сожалению, наш собственный персонал зачастую способен нанести вред в сотни раз больший, чем злоумышленники, действующие извне. И большинству руководителей или администраторов сетей даже в голову не может прийти, что многие проблемы вызваны внутренними "болезнями". Многие работники являются людьми, добросовестно выполняющими свои обязанности, но все же и они способны неумышленно совершать ошибки, которые могут нанести ущерб. И это особенно опасно потому, что такие работники не чувствуют своей вины и даже считают, что их действия абсолютно правильны. Поэтому необходимо знать, какие проблемы возникают в процессе работы и иметь возможность предотвращения нарушений или получения информации о происходящем.

Назначение

Программный комплекс Инсайдер предназначен для контроля соблюдения политики безопасности информационной системы (ИС) путем выявления несанкционированных действий легитимных пользователей (намеренных или ошибочных), способных нанести ущерб организации. В процессе функционирования программного комплекса Инсайдер решаются задачи не только выявления нарушений политики безопасности, но и контроля производительности ПК, эффективности использования пользователями технических ресурсов компьютеров, на которых они работают. В связи с тем, что большинство задач обрабатывается на ПК, существенным требованием является контроль за неизменностью конфигураций вычислительных систем.

Функции

Программный комплекс «Инсайдер» предназначен для контроля соблюдения политики безопасности информационной системы путем выявления несанкционированных действий легитимных пользователей (намеренных или ошибочных), способных нанести ущерб организации. В процессе функционирования программного комплекса «Инсайдер» решаются задачи не только выявления нарушений политики безопасности, но и контроля производительности и эффективности использования пользователями технических ресурсов рабочих мест. В связи с тем, что большинство задач обрабатывается на ПЭВМ, существенным требованием является осуществление контроля неизменности конфигураций вычислительных систем. С использованием информации, предоставляемой программным комплексом «Инсайдер», у руководства организации появляются неоспоримые доказательства несанкционированной деятельности, что позволяет привлекать пользователей к ответственности за совершённые действия.

• сбор данных о действиях пользователей информационной системы;
• сбор данных о сетевой активности;
• анализ собранных данных;
• оповещение администратора безопасности,   формирование управляющих воздействий на внутреннего нарушителя в случае обнаружения подозрительных,  несанкционированных действий пользователя или его аномальном поведении.

Архитектура

Архитектура программного комплекса Инсайдер включает различные модули, выполняющие функции сбора, анализа и хранения информации, а также управления:

• Сенсоры: Осуществляют сбор информации о состоянии ресурсов информационной системы и являются инструментарием удаленного мониторинга.
• Служба управления сенсорами: Контролирует сенсоры, выполняет функции контроля целостности сенсоров, концентрирует и направляет сигналы сенсоров в подсистему принятия решений, является центром распределения управляющих воздействий.
• Подсистема принятия решений: Предназначена для анализа событий, которые контролируются сенсорами. Эта подсистема состоит из нескольких модулей, производящих анализ событий с использованием различных методов для выявления угроз или обнаружения несанкционированных действий со стороны легитимных пользователей ИС.
• Технологическое хранилище данных: Выполнят функции хранения данных, разделяемых между модулями программного комплекса.
• Консоль администратора: Служит для централизованной настройки модулей программного комплекса, а так же для генерации отчетной информации.

Интеллект

В идеальном случае, правильно организованная работа в рамках должностных прав и обязанностей легитимного пользователя предусматривает определенность и предсказуемость его действий, регламентируемых политикой безопасности организации. В реальных условиях, в рамках предоставленных прав, пользователь может совершать умышленные или случайные нарушения, которые могут причинить ущерб. В данном случае недостаточно придерживаться принципа: "все, что не разрешено, то запрещено". Модель внутреннего нарушителя должна строится с учетом присущих человеку склонностей к игровому поведению. Поэтому для обнаружения ВН необходимо применять специальные методы анализа событий.

Программный комплекс Инсайдер объединяет в себе различные по "интеллектуальности" и сложности методы обработки и анализа информации, служащие для обнаружения несанкционированных действий со стороны легитимных пользователей ИС. Базовый метод - регламентный - отвечает за принятие решения о том, является ли обнаруженное сенсором событие нарушением или нет. В случае нарушения инициируется соответствующий сигнал или реакция. Основой для принятия решений являются правила, с которыми работает анализатор, и которые задаются администратором ИС. Более "интеллектуальный" метод направлен на обнаружение аномальной активности и основывается на выявлении событий, несвойственных шаблонам "нормального" поведения объектов (в частности пользователей) ИС. Механизм выявления аномальной активности статистическими методами основывается на сравнении краткосрочного шаблона поведения субъекта с долгосрочным. При этом поведение объектов (пользователей, приложений, аппаратуры) характеризуется измеряемыми значениями некоторых параметров их функционирования. Значения параметров накапливаются и преобразуются в профили описания работы субъектов. Долгосрочные профили содержат в себе информацию об активности субъектов за последние несколько недель или месяцев, краткосрочные профили содержат информацию об их активности, которая наблюдалась в течении последних часов или даже минут.

Противостояние угрозам

После выявления серьезных нарушений в контролируемой ИС должны приниматься решения о форме адекватной реакции. Для этого в сенсорах программного комплекса Инсайдер интегрированы специальные модули, которые служат для нейтрализации последствий нарушений по отношению к субъектам-нарушителям в виде корректирующих воздействий. Возможность инициирования реакции является опциональной. Рекомендуется использовать этот механизм только после серьезного анализа возможных нарушений политики безопасности организации и построения модели нарушителя.

Управление

Так как Инсайдер представляет собой многокомпонентную систему, в ее состав входит инструмент централизованной настройки и управления всеми компонентами - консоль управления. Консоль управления включает редактор топологии, панель настройки сенсоров, интерфейсы настройки анализаторов и интерфейс подсистемы отчетов, позволяющий создавать графические и текстовые представления событий.

Минимальные требования

Для функционирования программного комплекса «Инсайдер» выдвигаются минимальные требования к наличию следующих технических средств для компонентов комплекса:

• сенсор для ОС Microsoft Windows 2000/XP/2003/Vista:
  • сетевая плата;
  • процессор с тактовой частотой 300 МГц;
  • объем оперативной памяти 128 Мб;
  • объем свободного пространства на жестком диске не менее 12 Мб;
• служба управления сенсорами: 
  • сетевая плата; 
  • процессор с тактовой частотой 2000 МГц; 
  • объем оперативной памяти 512 Мб;
  • объем свободного пространства на жестком диске не менее 200 Мб;
• консоль администратора: 
  • сетевая плата; 
  • процессор с тактовой частотой 2400 МГц; 
  • объем оперативной памяти 512 Мб; 
  • объем свободного пространства на жестком диске не менее 100 Мб;
• технологическая база данных: 
  • сетевая плата; 
  • процессор с тактовой частотой 2000 МГц; 
  • объем оперативной памяти 512 Мб;объем свободного пространства на жестком диске не менее 20 Гб. 

Заключение

Программный комплекс Инсайдер представляет собой эффективное средство контроля соблюдения политики безопасности, позволяющее администраторам и руководству получать исчерпывающие данные о происходящих в ИС организации событиях и своевременно реагировать на различные нарушения.