Методики аудита антивирусной безопасности предприятия

[Keva 0]

Доброго всем времени суток, существует ли сабж?

[Мальцев Тимофей 74]

Безусловно, да.

http://antivir.ru/main.phtml?/services/audit - как вариант...

[Сергей Ильин 1538]

Мальцев Тимофей, какие конкретные действия у вас подразумеваются под "Аудитом на соответствие требованиям стандарта ISO 17799"?

.. даёт возможность Заказчику оценить уровень защищённости организации от типовых угроз информационной безопасности, связанных с вирусной активностью, несанкционированным доступом к конфиденциальной информации, атаками типа «отказ в обслуживании», сбоями программно-аппаратного обеспечения и др. В процессе аудита осуществляется также проверка эффективности противодействия угрозам информационной безопасности существующих организационно-технических мер защиты.

Именно методология не раскрывается ... :?

[Мальцев Тимофей 74]

Ага.

И документы типовые не даются.

Здесь же была статья В. Сердюка - там подробнее рассказывалось...

[A. 875]

... к конечном итоге все сводится к банальному pen-тесту, проведенному при помощи nmap и xspider на уровне научившегося нажимать кнопки в интерфейсе скрипт-киддиса.

это я не применительно к кому-либо. это мой вгляд на российский рынок аудита и консалтинга in general...

сплошная профанация

[alexgr 556]

какие конкретные действия у вас подразумеваются под "Аудитом на соответствие требованиям стандарта ISO 17799"

А какие могут быть серьезные документы в аудите в чисто рекомендательном стандарте? Вот в 27001 - там более менее ясно - описаны процедурные моменты. Кстати, обратите внимание, что сначала описывается работа якобы по 17799, а потом боком ли, обиняками ли - всплыват пресловутый британский стандарт, с котрого все это списывалось Но ведь 17799 и BS 7799 - это не одно и то же! Только с появлением 27001 появлся нормативный аналог британского стандарта. Потому сейчас указывают два - а ранее давали ссылочку на BS

[Мальцев Тимофей 74]

Серьезные документы могут быть вполне. Все упирается в ответственность исполнителя. И в требования заказчика.

[alexgr 556]

в чисто рекомендательном? а в чем тогда состоит аудит? когда не описаны основные процедуры? Иль все же по британскому шли? Тогда нет вопросов. Практика показала, что в рекомендациях по 17799 везде торчат уши BS. Юридически - нарушение, поскольку документы разные и разного уровня применимости

[Keva 0]

Мальцев Тимофей

По ссылке говориться

Комплексный аудит информационной безопасности включает оценку соответствия требованиям отечественных и Международных стандартов

Международные стандарты это как я понял 17799, 7799, 27001. Интересуют именно Российские стандарты. Может кто-то занимался этим вопросом, и проводил аудит антивирусной безопасности предприятия, поделитесь опытом, буду очень признателен.

[broker 30]

Тема об аудите вирусной безопасности. В 27001 есть раздел посвященный вирусной безопасности. 17799 был принят в Росии как Гост Р ИСО 17799

[Мальцев Тимофей 74]

alexgr, ходить можно по чему угодно.

Я, как обычно, выскажу свою точку зрения.

Изначально аудит (в широком смысле этого слова) к стандартам не привязан. И цель у него несколько другая - определить возможные дыры и, самое главное, риски предприятия. Понятие матрицы рисков вполне общеизвестно и не особо привязано к определенному стандарту, правда?

[alexgr 556]

alexgr, ходить можно по чему угодно.

Можно тогда и вовсе не ходить. Аудит не может быть не привязанным ни к чему. Иначе возникает вопрос - а что есть матрица рисков, откуда она выпала? Что такое риски? Какие они? Чем отличны угрозы от рисков и т.д. А аудит, кроме всего, заканчивается неким актом с рекомендациями. По рекомендательному стандарту? Как то тавтологию здорово напоминает - рекомендуем по рекомендательному стандарту, проверяем с помощью вопросника

... к конечном итоге все сводится к банальному pen-тесту, проведенному при помощи nmap и xspider на уровне научившегося нажимать кнопки в интерфейсе скрипт-киддиса.

это я не применительно к кому-либо. это мой вгляд на российский рынок аудита и консалтинга in general...

сплошная профанация

именно в этом плане +1

[broker 30]

Аудит не может быть не привязанным ни к чему. Иначе возникает вопрос - а что есть матрица рисков, откуда она выпала? Что такое риски? Какие они? Чем отличны угрозы от рисков и т.д. А аудит, кроме всего, заканчивается неким актом с рекомендациями.

Начнём с конца:

Для начала, Вам надо решить для себя (внутри Компании, сегмента, области деятельности, внутри бизнес-процесса), какие последствия могут быть при заражении различными вредоносами (различными вирусами).

Увидели? Промоделировали?

Получили список Вредоносов, распределенный по различным признакам и действиям

Получили?

Теперь рассмотрите функционирование каждого вредоноса по отдельности в Вашей системе.

Пример:

Вредонос - троянский конь (вор информации)

Попадание в Компанию - Интернет, e-mail, устройства i/o

Контр меры на данном этапе - Антивирус на шлюзах, Антивирус на рабочей станции. Запрет работы i/o устройств. Мультивендорный подход

Инсталляция - на рабочей станции под управлением Windows

Контр меры - запрещено работать с привилегиями администратора, имеется система контролирующая запуск исполняемых файлов с белым списком

Функционирование - на рабочей станции открывает локальный TCP порт, начинает сканировать локальный диск на предмет наличия каких-либо файлов, пытается что-то куда то отослать.

Контр меры - локальный файрвол блокирует открытие портов, все секретные данные хранятся в зашифрованных областях, к данным областям имеют право обращаться только конкретные приложения. Файрвол на периметре отслеживает и блокирует все несанкционированные исходящие сообщения.

Список доступных ресурсов сети интернет ограничен (по СПИСКУ)

Доступы на SMTP с авторизацией

Рассмотрели?

После подобного анализа Вы получите огромный список рекомендаций -- чего Вам надо поставить, внедрить рассмотреть.. Какие мероприятия провести технические или организационные..

Вы определите угрозы и уязвимости..и увидите риски, определили контр меры. После внедрения контр мер можно ещё раз посмотреть на угрозы и так далее..

[alexgr 556]

Начнём с конца:

Для начала, Вам надо решить для себя (внутри Компании, сегмента, области деятельности, внутри бизнес-процесса), какие последствия могут быть при заражении различными вредоносами (различными вирусами).

для меня в целом это не нужно - я знаком с методологией! Полемика идет по другому поводу - из топика - как быть со стандартами? ИСО Р 15408, ИСО Р 17799, ИСО Р 27001 - их применимость для аудита антивирусной безопасности как конкретной сферы безопасности, какие еще подзаконные акты нужны для этого

А тут как раз национальная система подзаконных актов вступает в силу - уровни гарантий, класс системы м т.д.

[Сергей Ильин 1538]

ИМХО, broker схематично и понятно ответил на вопрос топик-стартера.

[alexgr 556]

Схематично - это да, а для предприятий во время аудита важно знать, на какой уровень гарантий все это рассчитывается. Иначе - так показывает практика - все уйдет на уровень профанации и будет сведено к программно - техническим мерам. А этого - из практики - недостаточно.

[broker 30]

уровень гарантий

я так понимаю имеется ввиду понятие остаточный риск.

Остаточный риск Вы должны каким-либо образом определить и начать им управлять.

все уйдет на уровень профанации

не совсем понятен смысл

будет сведено к программно - техническим мерам

по любимому стандарту ISO 27001 все политики по ИБ должны быть превентивными.

А этого - из практики - недостаточно

никто не спорит, но поверьте.. правильные технические мероприятия - лучше всяких организационных. А в данном случае технические меры являются основными.

[alexgr 556]

С этим нельзя не согласиться, но - возвращаясь к запросу - я просто попытался дополнить ответ вопрошаещему, как необходимый раздел -оргмеры

[Мальцев Тимофей 74]

1. Начнем с того, что речь должна идти не только о вредоносах. Есть и другие воздействия.

2. Безусловно, любая стандартизация лучше, чем ее отсутствие, но, если говорить о топике, то все-таки аудит можно делать и без стандарта. А вот внедрение политик безопасности в случае серьезных организаций - это да, тут уж надо использовать все рычаги.

3. В случае гарантий мы говорим, скорее всего, о пониженных вероятностях сбоев в том или ином случае, но не о стопроцентной гарантии навсегда.

4. А оргмеры - нужны в обязательном порядке. куда ж без них...

[broker 30]

Наверно есть необходимость задаться вопросом:

есть ли статистика: какие угрозы бизнес-процессам наиболее часто реализоваываются при помощи вредоносов?

Есть ли хоть какие-нибудь исследования, по поводу того сколько утечек информации было связано именно с вредоносами?