Программный комплекс "Инсайдер"

Объективная реальность

Когда мы задумываемся о безопасности информационной инфраструктуры организации, то в первую очередь думаем о внешних угрозах, совсем забывая о том, что опасность может подстерегать нас изнутри. К сожалению, наш собственный персонал зачастую способен нанести вред в сотни раз больший, чем злоумышленники, действующие извне. И большинству руководителей или администраторов сетей даже в голову не может прийти, что многие проблемы вызваны внутренними "болезнями". Многие работники являются людьми, добросовестно выполняющими свои обязанности, но все же и они способны неумышленно совершать ошибки, которые могут нанести ущерб. И это особенно опасно потому, что такие работники не чувствуют своей вины и даже считают, что их действия абсолютно правильны. Поэтому необходимо знать, какие проблемы возникают в процессе работы и иметь возможность предотвращения нарушений или получения информации о происходящем.

Назначение

Программный комплекс Инсайдер предназначен для контроля соблюдения политики безопасности информационной системы (ИС) путем выявления несанкционированных действий легитимных пользователей (намеренных или ошибочных), способных нанести ущерб организации. В процессе функционирования программного комплекса Инсайдер решаются задачи не только выявления нарушений политики безопасности, но и контроля производительности ПК, эффективности использования пользователями технических ресурсов компьютеров, на которых они работают. В связи с тем, что большинство задач обрабатывается на ПК, существенным требованием является контроль за неизменностью конфигураций вычислительных систем.

Функции

Основными функциями программного комплекса Инсайдер являются:

• сбор данных об активности пользователей ИС;
• анализ собранных данных;
• формирование управляющих воздействий на внутреннего нарушителя (ВН), включая оповещение администратора безопасности о несанкционированных действиях пользователя или его аномальном поведении.

В идеальном случае, правильно организованная работа в рамках должностных прав и обязанностей легитимного пользователя предусматривает определенность и предсказуемость его действий, регламентируемых политикой безопасности организации. В реальных условиях, в рамках предоставленных прав, пользователь может совершать умышленные или случайные нарушения, которые могут причинить ущерб. В данном случае недостаточно придерживаться принципа: "все, что не разрешено, то запрещено". Модель внутреннего нарушителя должна строится с учетом присущих человеку склонностей к игровому поведению. Поэтому для обнаружения ВН необходимо применять специальные методы анализа событий.

Архитектура

Архитектура программного комплекса Инсайдер включает различные модули, выполняющие функции сбора, анализа и хранения информации, а также управления:

• Сенсоры: Осуществляют сбор информации о состоянии ресурсов информационной системы и являются инструментарием удаленного мониторинга.
• Служба управления сенсорами: Контролирует сенсоры, выполняет функции контроля целостности сенсоров, концентрирует и направляет сигналы сенсоров в подсистему принятия решений, является центром распределения управляющих воздействий.
• Подсистема принятия решений: Предназначена для анализа событий, которые контролируются сенсорами. Эта подсистема состоит из нескольких модулей, производящих анализ событий с использованием различных методов для выявления угроз или обнаружения несанкционированных действий со стороны легитимных пользователей ИС.
• Технологическое хранилище данных: Выполнят функции хранения данных, разделяемых между модулями программного комплекса.
• Консоль администратора: Служит для централизованной настройки модулей программного комплекса, а так же для генерации отчетной информации.

Интеллект

Программный комплекс Инсайдер объединяет в себе различные по "интеллектуальности" и сложности методы обработки и анализа информации, служащие для обнаружения несанкционированных действий со стороны легитимных пользователей ИС. Базовый метод - регламентный - отвечает за принятие решения о том, является ли обнаруженное сенсором событие нарушением или нет. В случае нарушения инициируется соответствующий сигнал или реакция. Основой для принятия решений являются правила, с которыми работает анализатор, и которые задаются администратором ИС. Более "интеллектуальный" метод направлен на обнаружение аномальной активности и основывается на выявлении событий, несвойственных шаблонам "нормального" поведения объектов (в частности пользователей) ИС. Механизм выявления аномальной активности статистическими методами основывается на сравнении краткосрочного шаблона поведения субъекта с долгосрочным. При этом поведение объектов (пользователей, приложений, аппаратуры) характеризуется измеряемыми значениями некоторых параметров их функционирования. Значения параметров накапливаются и преобразуются в профили описания работы субъектов. Долгосрочные профили содержат в себе информацию об активности субъектов за последние несколько недель или месяцев, краткосрочные профили содержат информацию об их активности, которая наблюдалась в течении последних часов или даже минут.

Противостояние угрозам

После выявления серьезных нарушений в контролируемой ИС должны приниматься решения о форме адекватной реакции. Для этого в сенсорах программного комплекса Инсайдер интегрированы специальные модули, которые служат для нейтрализации последствий нарушений по отношению к субъектам-нарушителям в виде корректирующих воздействий. Возможность инициирования реакции является опциональной. Рекомендуется использовать этот механизм только после серьезного анализа возможных нарушений политики безопасности организации и построения модели нарушителя.

Управление

Так как Инсайдер представляет собой многокомпонентную систему, в ее состав входит инструмент централизованной настройки и управления всеми компонентами - консоль управления. Консоль управления включает редактор топологии, панель настройки сенсоров, интерфейсы настройки анализаторов и интерфейс подсистемы отчетов, позволяющий создавать графические и текстовые представления событий.

Заключение

Программный комплекс Инсайдер представляет собой эффективное средство контроля соблюдения политики безопасности, позволяющее администраторам и руководству получать исчерпывающие данные о происходящих в ИС организации событиях и своевременно реагировать на различные нарушения.