Обзор ePlat4m Orchestra, платформы SGRC

1. Введение
2. Группа реагирования на инциденты и её арсенал
3. Архитектура решения ePlat4m
4. Функциональные возможности по управлению ИБ-инцидентами в ePlat4m
5. Сведения о сертификации ePlat4m Security GRC
6. Применение модуля «УИИБ» ePlat4m Security GRC
   1. 6.1. Общие сведения
   2. 6.2. Ролевая модель
   3. 6.3. Управление справочниками и классификаторами
   4. 6.4. Регистрация и учёт событий и инцидентов в сфере ИБ
   5. 6.5. Обработка инцидентов в сфере ИБ
7. Применение модуля «Центр ГосСОПКА» ePlat4m
   1. 7.1. Основные сведения
   2. 7.2. Ролевая модель
   3. 7.3. Управление субъектами КИИ
   4. 7.4. Регистрация и учёт инцидентов в модуле «Центр ГосСОПКА»
   5. 7.5. Обработка инцидентов в сфере ИБ
8. Интеграция ePlat4m с внешними системами
9. Выводы

Введение

Высокая степень зависимости большинства современных организаций от информационных технологий (ИТ) уже весьма давно не подвергается сомнению. В условиях необходимости противодействия хорошо подготовленному противнику с высоким уровнем мотивации особое значение приобретает готовность организации к эффективному реагированию на возникающие инциденты в сфере ИБ. Под инцидентом в данном случае понимается спровоцированное внутренним или внешним нарушителем происшествие, которое может оказать негативное влияние на активы организации, поставить под угрозу их конфиденциальность, целостность, доступность и др.

Не секрет, что возникновение инцидента в сфере ИБ часто может быть сопряжено с весьма существенными негативными последствиями. Легко представить атмосферу, которая царила в ИТ-отделе A.P. Moller-Maersk Group, когда эта компания стала жертвой шифровальщика NotPetya в 2017 году. Сотрудникам тогда пришлось реанимировать около 9 000 компьютеров, а руководство компании сообщило об общих потерях, вызванных нарушением бизнес-процессов, в размере до 300 миллионов долларов США.

Любой инцидент в сфере ИБ указывает на то, что данные и программное обеспечение организации могли быть повреждены или раскрыты, а реализованные меры по их защите не возымели должного эффекта. Скоординированные и хорошо выверенные действия, позволяющие минимизировать потери в условиях, когда ИТ-персонал испытывает существенное психологическое давление, требуют тщательной подготовки. Максимальный положительный эффект достигается в результате создания группы реагирования на ИБ-инциденты, деятельность которой регулируется информационным обеспечением в виде комплекса соответствующих политик и описания процедур.

Группа реагирования на инциденты и её арсенал

При создании такой группы важно обеспечить включение в её состав сотрудников, исполняющих все роли и обладающих всеми компетенциями, которые могут потребоваться во время работы с инцидентом. Могут быть уместны не только технические специалисты, но и, например, юристы, эксперты по связям с общественностью, менеджеры. Инцидент часто влияет на организацию в различных отношениях, и потому важно, чтобы сотрудники, играющие ключевые роли в организации, принимали участие в реагировании на него.

При планировании мероприятий по реагированию следует принимать во внимание, что согласно статье 9 закона № 187-ФЗ субъекты критической информационной инфраструктуры (КИИ) обязаны незамедлительно сообщать о возникающих инцидентах внешним заинтересованным лицам — ФСБ России, а если субъект КИИ функционирует в банковской сфере или в иных областях финансового рынка, то и Центральному банку Российской Федерации. В соответствии с приказом ФСБ России № 367 такое взаимодействие осуществляется через Национальный координационный центр по компьютерным инцидентам (НКЦКИ). Если организация не является субъектом КИИ, но планирует взаимодействовать с Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА), то ей необходимо стать субъектом этой системы и создать соответствующий центр.

Центр ГосСОПКА — структурная единица системы, представляющая собой совокупность подразделений и должностных лиц субъекта ГосСОПКА. Согласно документу ФСБ России «Методические рекомендации по созданию ведомственных и корпоративных центров ГосСОПКА» задачами такого центра являются:

• предупреждение, обнаружение и ликвидация последствий компьютерных атак, направленных на контролируемые информационные ресурсы;
• проведение мероприятий по оценке степени защищённости контролируемых информационных ресурсов;
• проведение мероприятий по установлению причин инцидентов в сфере ИБ, вызванных компьютерными атаками на контролируемые информационные ресурсы;
• сбор и анализ данных о состоянии ИБ контролируемых информационных ресурсов;
• осуществление взаимодействия между центрами по вертикали иерархической структуры ГосСОПКА;
• информирование в зоне ответственности субъекта ГосСОПКА заинтересованных лиц по вопросам предупреждения, обнаружения и ликвидации последствий компьютерных атак;
• формирование и поддержание в актуальном состоянии информации о контролируемых информационных ресурсах.

В рамках своей деятельности центр ГосСОПКА взаимодействует с НКЦКИ по вопросам обеспечения безопасности информационных ресурсов и направляет при этом информацию о защищённости информационных ресурсов, данные о компьютерных атаках и инцидентах в сфере ИБ, сведения об актуальных угрозах и самостоятельно обнаруженных индикаторах компрометации информационных ресурсов.

Деятельность по реагированию на компьютерные инциденты требует учёта различных аспектов и применения структурированного подхода.

Ряд сложностей организационно-технического характера может быть снят с помощью решений класса SGRC (Security Governance, Risk, Compliance). SGRC представляет собой класс программных продуктов, основное назначение которых состоит в управлении процессами ИБ компании, автоматизации системы менеджмента ИБ.

На российском рынке представлено несколько решений класса SGRC. Одним из них является программная платформа ePlat4m Orchestra производства ООО «КИТ Разработка», давно работающей на российском рынке. Основным направлением деятельности компании является разработка, внедрение и сопровождение информационно-аналитических систем, автоматизирующих работу в области ИБ и ИТ.

Платформа ePlat4m Orchestra (далее также — ePlat4m Security GRC или ePlat4m) предназначена для того, чтобы обеспечивать информационно-технологическую поддержку и контроль процессов системы управления ИБ — за счёт автоматизации деятельности профильных подразделений, сбора и анализа информации о состоянии ИБ объектов организации. Она поддерживает модульную архитектуру и среди прочих имеет в своём составе готовые модули «Управление инцидентами ИБ» (далее — «УИИБ») и «Центр ГосСОПКА».

По имеющимся в нашем распоряжении сведениям, производитель платформы заинтересован в планомерном и масштабном её развитии, ориентировочный план которого представлен ниже.

Таблица 1. План дальнейшего развития ePlat4m Security GRC

Архитектура решения ePlat4m

Как уже говорилось, архитектура платформы ePlat4m устроена по модульному принципу. Это позволяет как использовать экспертные наработки компаний-интеграторов, подключая готовые модули, так и разрабатывать собственные решения.

Рисунок 1. Архитектура ePlat4m

Все модули платформы в разной степени связаны между собой, данные одного модуля могут быть представлены в контексте рабочей области другого.

Ниже представлена архитектура решения, позволяющего организовать взаимодействие модуля «Центр ГосСОПКА» с технической инфраструктурой ГосСОПКА (НКЦКИ), реализованная в коммерческом SOC компании УЦСБ.

Рисунок 2. Схема организации информационного взаимодействия с НКЦКИ с помощью ePlat4m

Функциональные возможности по управлению ИБ-инцидентами в ePlat4m

Модуль «УИИБ» в составе ePlat4m выполняет следующие функции:

• формирование группы реагирования на инциденты;
• интеграция с внешними источниками данных;
• регистрация, учёт и обработка событий и инцидентов, управление процессом реагирования и расследования;
• выполнение задач и формирование типовых сценариев по реагированию на инциденты в сфере ИБ и их расследованию;
• анализ статистических данных.

Основные функции, реализуемые модулем «Центр ГосСОПКА»:

• ведение карточек с информацией о субъектах и объектах КИИ;
• регистрация карточек для субъектов КИИ;
• двустороннее взаимодействие с НКЦКИ, а также между центром ГосСОПКА и субъектом КИИ;
• управление собственной ролевой моделью, предполагающей разделение рабочих областей субъекта КИИ и специалистов центра ГосСОПКА.

Сведения о сертификации ePlat4m Security GRC

В 2017 году ФСТЭК России выдала сертификат, подтверждавший соответствие платформы требованиям руководящего документа «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации» по пятому классу защищённости. Срок действия данного сертификата истёк в середине 2020 года. Насколько нам известно, сейчас компания-производитель занимается его продлением.

К числу важных преимуществ ePlat4m Security GRC можно отнести то, что с 2017 года она включена в Единый реестр российских программ для ЭВМ и баз данных (регистрационный номер 3733).

Применение модуля «УИИБ» ePlat4m Security GRC

Общие сведения

Управление всеми модулями ePlat4m Security GRC производится через веб-интерфейс по защищённому сторонними средствами каналу связи.

Основной сценарий использования модуля «УИИБ» предполагает выполнение следующих работ: управление справочниками и классификаторами, регистрация и учёт событий и инцидентов в сфере ИБ, обработка зарегистрированных событий и инцидентов.

Ролевая модель

Работа в модуле «УИИБ» ведётся на основе предустановленных ролей. Перечислим их.

Эксперт по управлению инцидентами распоряжается справочниками модуля, формирует типовые сценарии реагирования и оперативную группу. Соответствующий пользователь имеет доступ на чтение к реестрам событий и инцидентов в сфере ИБ.

Участник группы реагирования на инциденты выполняет расследование и нейтрализацию ИБ-инцидентов в рамках назначенных ему задач.

Ответственный за инцидент занимается обработкой закреплённых за ним происшествий (классификация и оценка случившегося, формирование плана реагирования, контроль его выполнения, анализ и закрытие расследования / инцидента), а также созданием новых событий и инцидентов.

Руководство системы управления ИБ отвечает за регистрацию событий и происшествий вручную и на основе данных из смежных систем, а также назначает ответственных за инцидент, за создание и контроль выполнения мероприятий по реагированию, за закрытие и анализ инцидента.

Система автоматизации процессов управления ИБ (системная запись) формирует и анализирует статистические данные о зарегистрированных событиях и инцидентах.

Оператор-диспетчер создаёт новые события и инциденты в сфере ИБ и назначает пользователей, ответственных за их обработку.

Каждый пользователь может совмещать несколько ролей, выбирая конкретный контекст и работая в нём. Между ролевыми контекстами можно переключаться не выходя из системы.

Рисунок 3. Переключение контекста в модуле «УИИБ» ePlat4m

Управление справочниками и классификаторами

Управление событиями и инцидентами в сфере ИБ основано на использовании справочников, позволяющих упростить, структурировать и автоматизировать работу. Содержимое справочников применяется для классификации происшествий и формирования плана реагирования на них, в описании угроз ИБ и т. д.

Например, в справочнике классификации инцидентов могут быть добавлены сценарии реагирования для подклассов и происшествий. В этом случае указанный сценарий будет автоматически формироваться при переходе к этапу реагирования на подобные или отнесённые к данному подклассу инциденты. Справочник угроз уже содержит их перечень от ФСТЭК России, что позволяет использовать только один источник данных для полного описания инцидентов.

Рисунок 4. Пример справочника в модуле «УИИБ» ePlat4m Security GRC

Справочник может быть адаптирован под нужды конкретной организации: каждая запись доступна для редактирования в интерфейсе, возможно добавление собственных записей и удаление существующих.

Рисунок 5. Редактирование записи справочника в модуле «УИИБ» ePlat4m

Объёмные справочники могут быть выгружены в формате Excel для внешней обработки и передачи в другие инсталляции.

Регистрация и учёт событий и инцидентов в сфере ИБ

События могут быть добавлены в систему вручную и автоматически.

Ручное добавление полезно в том случае, когда событие обнаружено в ходе работы, например по результатам мониторинга системы. Подразумевается заполнение полей карточки события с использованием справочников. Если подходящее содержимое отсутствует, его можно добавить в справочник непосредственно из карточки.

Рисунок 6. Карточка события в модуле «УИИБ» ePlat4m

После заполнения карточки она будет передана сотруднику, выбранному в разделе «Ответственный за событие».

Обработка событий ответственным лицом предполагает заполнение недостающих полей события, а также перевод последнего в инцидент с возможностью объединения нескольких событий.

Автоматическое добавление событий подразумевает использование коннекторов к сторонним системам, например Check Point Smart Event. Можно запустить процедуру импорта вручную или настроить расписание.

Рисунок 7. Запуск процедуры импорта данных в модуле «УИИБ» ePlat4m Security GRC

Инциденты могут быть добавлены в систему не только в результате перевода события, но также непосредственно из списка происшествий или автоматически.

Модуль «УИИБ» поддерживает работу с коннекторами SearchInform, InfoWatch Traffic Monitor Enterprise и другими.

Обработка инцидентов в сфере ИБ

После добавления нового происшествия в модуль и выбора ответственного лица на почту выбранному сотруднику придёт письмо о появлении инцидента, требующего внимания.

В процессе обработки инцидента ответственный сотрудник должен добавить план мероприятий по реагированию и расследованию с использованием справочника. К сожалению, после того как в карточке будет подтверждено завершение формирования плана, добавлять новые мероприятия из справочника будет уже невозможно — в текущей версии модуля «УИИБ» доступно только добавление вручную.

Рисунок 8. План мероприятий в модуле «УИИБ» ePlat4m

В соответствие каждому мероприятию ставится системная задача, назначаемая ответственному лицу — участнику группы реагирования на инциденты. В результате для выбранных сотрудников увеличивается счётчик задач в верхней панели.

Рисунок 9. Список задач в модуле «УИИБ» ePlat4m

При выполнении задачи пользователь вводит результаты (прикладывает файлы и ссылки, привлекает других сотрудников) и составляет отчёт. Также возможно переназначить задачу на другого сотрудника.

Рисунок 10. Отчёт о выполнении задачи в модуле «УИИБ» ePlat4m

Если задача помечена как решённая, инициатору отправляется уведомление по электронной почте.

По результатам выполнения всех мероприятий формируется заключение: при успешном завершении задач инцидент закрывается и составляется отчёт, а в других случаях возможен возврат на доработку.

Рисунок 11. Отчёт об инциденте в модуле «УИИБ» ePlat4m

Применение модуля «Центр ГосСОПКА» ePlat4m

Основные сведения

Основной сценарий действий в модуле «Центр ГосСОПКА» предполагает управление субъектами КИИ, регистрацию и учёт инцидентов в сфере ИБ вместе с обработкой последних.

Ролевая модель

В этом модуле тоже определена собственная ролевая модель, включающая в себя ряд предустановленных ролей. Перечислим их далее.

Специалист по установлению причин компьютерных инцидентов — представитель центра ГосСОПКА, анализирующий причины и последствия инцидентов.

Специалист по ликвидации последствий компьютерных инцидентов — представитель центра ГосСОПКА, отвечающий за координацию действий при реагировании на компьютерные атаки.

Специалист по обнаружению компьютерных инцидентов — представитель центра ГосСОПКА, занимающийся анализом событий из области безопасности и регистрацией инцидентов.

Специалист по взаимодействию с персоналом и пользователями — представитель центра ГосСОПКА, в обязанности которого входят приём сообщений от персонала информационных ресурсов и взаимодействие с главным центром ГосСОПКА.

Ответственный от субъекта КИИ — представитель названного субъекта, формирующий его состав и инциденты.

Так же как и в случае работы с другими модулями платформы, каждый пользователь работает в заданном контексте роли.

Управление субъектами КИИ

Управление субъектами КИИ возможно как на уровне центра ГосСОПКА, так и на уровне самого субъекта. Оно включает в себя управление организациями и объектами.

Рисунок 12. Создание организации в модуле «Центр ГосСОПКА» ePlat4m

После добавления организации становится возможной доработка карточки организации.

Рисунок 13. Карточка организации в модуле «Центр ГосСОПКА» ePlat4m

Для субъектов возможно создание технических средств.

Рисунок 14. Создание технических средств в модуле «Центр ГосСОПКА» ePlat4m Security GRC

Регистрация и учёт инцидентов в модуле «Центр ГосСОПКА»

Инциденты в сфере ИБ, возникшие на объектах КИИ, могут быть добавлены в систему вручную и автоматически.

При ручном добавлении заполняются основные поля в карточке инцидента. Автоматический импорт инцидентов возможен путём запуска интеграции. На наш взгляд, некоторое неудобство доставляет то, что отсутствует возможность запуска импорта по расписанию.

Рисунок 15. Запуск интеграции в модуле «Центр ГосСОПКА» ePlat4m

Обработка инцидентов в сфере ИБ

Обработка ИБ-инцидентов в общем случае включает следующие этапы:

• заполнение общих сведений;
• подтверждение инцидента;
• реагирование;
• завершение обработки инцидента;
• отправка в НКЦКИ.

Переход между этапами осуществляется вручную.

После создания инцидента доступна детальная проработка общих сведений: указание источника атаки, добавление связанных технических средств, индикаторов вредоносной активности и т. д.

Рисунок 16. Общие сведения об инциденте в модуле «Центр ГосСОПКА» ePlat4m

Для подтверждённого инцидента на этапе реагирования добавляются меры реагирования, рекомендации по ликвидации, а также полученная в ходе расследования информация.

Рисунок 17. Добавление мер реагирования в модуле «Центр ГосСОПКА» ePlat4m

Данные можно отправить в НКЦКИ не дожидаясь завершения процедур по реагированию на инцидент.

Интеграция ePlat4m с внешними системами

Интеграция ePlat4m с внешними источниками данных возможна за счёт использования подсистемы интеграции. Взаимодействие с внешними системами обеспечивают адаптеры информационного взаимодействия.

Адаптеры представлены следующими основными видами:

• встроенные — предоставляются разработчиком платформы, имеют предустановленный набор параметров и полностью подготовлены для организации взаимодействия;
• специальные — разрабатываются при необходимости реализации информационного взаимодействия, которое не может быть выполнено с использованием встроенных адаптеров. Для разработки специальных адаптеров предоставляется специальный API, а также интерфейс их встраивания в экземпляр платформы, развёрнутый у заказчика;
• внутренние — предназначены для реализации вертикального информационного взаимодействия между экземплярами платформы.

На данный момент реализованы встроенные адаптеры к следующим системам:

• Microsoft Active Directory;
• Microsoft System Center Configuration Manager;
• Microsoft System Center Operation Manager;
• ПК CyberLympha DATAPK;
• Kaspersky Security Center;
• Check Point SmartEvent;
• Ankey SIEM;
• Контур информационной безопасности SearchInform;
• Ankey IDM;
• Zabbix;
• MaxPatrol 8;
• MaxPatrol SIEM;
• ArcSight SIEM;
• InfoWatch Traffic Monitor;
• Efros Config Inspector;
• RedCheck;
• HP System Insight Manager;
• Symantec Security Information Manager;
• Symantec Endpoint Protection;
• Symantec Data Center Security;
• HP Service Desk;
• Check Point Smart Event;
• Check Point Smart Center;
• Oracle Identity Manager.

Добавление нового специального адаптера производится через интерфейс платформы. Настройка выполняется в рамках прикладного модуля, на основе одного адаптера можно настроить произвольное количество шаблонов импорта / экспорта данных для прикладных модулей.

Выводы

Класс SGRC- / IRP-систем традиционно рассчитан на вполне крупные компании, и эксплуатация таких решений требует существенных финансовых затрат. Облачные варианты в известном смысле расширяют нишу, повышая привлекательность ценового предложения. В настоящее время представляется весьма перспективным крупный сегмент рынка, который составляют организации малого и среднего размера: для них актуальны сравнительно недорогие решения, предоставляющие возможности быстрого развёртывания без необходимости закупки дорогостоящего серверного оборудования.

Платформа ePlat4m имеет в своём составе целый ряд модулей, реализующих функции управления активами и рисками в области ИБ, работы с персоналом по вопросам борьбы с угрозами, контроля соответствия требованиям, и обладает необходимым потенциалом для удовлетворения потребностей широкого круга заказчиков. ePlat4m может поставляться в виде как локального решения (on-premise), так и облачного, по модели SaaS. Проекты по автоматизации процессов ИБ на базе ePlat4m успешно реализуются в течение последних пяти лет. В общей сложности разработано около 10 универсальных модулей для разных ИБ-процессов.

В свете наблюдаемых сегодня тенденций совершенствования законодательства РФ в области обеспечения информационной безопасности особый интерес представляют модули ePlat4m «Управление инцидентами ИБ» и «Центр ГосСОПКА». С их помощью можно в значительной степени автоматизировать процессы управления ИБ-инцидентами в целом и процедуры взаимодействия ведомственных, корпоративных и коммерческих центров кибербезопасности с НКЦКИ.

Достоинства:

• Эргономичный и современный веб-интерфейс.
• Гибкость за счёт использования модульного подхода.
• Возможность разработки собственных процессов.
• Использование в модулях общей предметной области.
• В справочнике угроз модуля «УИИБ» по умолчанию имеется их перечень из банка данных ФСТЭК России.
• Гибкие возможности интеграции с внешними системами.
• Регистрация в Едином реестре российских программ для ЭВМ и баз данных.

Недостатки:

• Отсутствие эксплуатационной документации и слабый уровень информационной поддержки модуля «Центр ГосСОПКА» на сайте производителя.
• Отсутствие в модуле «Центр ГосСОПКА» возможности импорта инцидентов по расписанию.
• Невозможность использования справочника мероприятий при необходимости доработки плана последних в ходе реагирования и расследования инцидента. При этом возможно добавление мероприятий в план вручную.