RU166348U1 - Устройство корреляции событий информационной безопасности - Google Patents

Abstract

Устройство корреляции событий информационной безопасности, содержащее приемник событий информационной безопасности, выход которого соединен с первым входом блока сравнения события информационной безопасности с правилом директивы корреляции первого уровня и с первым входом блока сравнения события информационной безопасности с правилом директивы корреляции второго уровня, выход блока сравнения события информационной безопасности с правилом директивы корреляции первого уровня соединен с входом таймера и со вторым входом блока сравнения события информационной безопасности с правилом директивы корреляции второго уровня, выход блока сравнения события информационной безопасности с правилом директивы корреляции второго уровня соединен с первым входом счетчика событий, второй вход которого соединен с первым выходом таймера, а выход с блоком генерации тревоги, выход которого соединен со вторым входом блока сравнения события информационной безопасности с правилом директивы корреляции первого уровня, третий вход которого соединен со вторым выходом таймера.

Description

Полезная модель относится к области информационной безопасности (ИБ), а более конкретно к обнаружению атак на информационные системы с использованием SIEM-систем.

Своевременное реагирование имеет решающее значение для ликвидации компьютерных атак на информационные системы с минимально возможными потерями. В связи с этим возрастают требования к оперативности мониторинга, контроля и реагирования персонала на события в информационной системе [1].

Инфраструктура крупных организаций все более и более усложняется, поэтому уследить за огромным потоком сведений о нарушениях ИБ и оценить значимость каждого из них бывает очень трудоемко. Это приводит к росту требований к квалификации и качеству работы персонала информационных систем.

Решением обозначенных выше проблем является использованием так называемых SIEM-систем. (Security Information and Event Management).

Под SIEM-системой понимается класс решений в области ИБ, ориентированных на поддержку процессов управления, как безопасностью, так и всей IT-инфраструктурой предприятия. Решение SIEM позволяет проводить [2]:

- централизованный сбор и анализ данных журналов событий средств защиты информации, рабочих станций серверов и сетевого оборудования;

- удаленный контроль параметров конфигурации и работы автоматизированных рабочих мест;

- оперативное оповещение и реагирование на внутренние и внешние угрозы безопасности автоматизированной системы;

- контроль выполнения заданных требований по безопасности информации, сбор статистики и построение отчетов по защищенности информационной системы в любые моменты времени.

В состав SIEM-системы, как правило, входят:

средства сбора и передачи информации, передающие данные о событиях ИБ от источников событий в ядро SIEM системы;

ядро SIEM-системы, состоящее из:

средств приема данных о событиях ИБ и их агрегации в журналах;

журналов данных о событиях ИБ;

сенсора-модуля, нормализующий и передающий данные в базу данных (БД) SIEM-системы;

БД SIEM-системы, в которой хранятся архивы событий ИБ, данные об инцидентах ИБ и информация о настройках системы;

устройства корреляции, с помощью которого выявляются инциденты ИБ;

а также средство взаимодействия администратора безопасности с SIEM системой, например, веб-интерфейс.

Устройство корреляции является базовым модулем ядра SIEM системы, от реализации которого во многом зависит эффективность обнаружения компьютерных атак и, в результате, общая защищенность информационной системы.

Из уровня техники известна система генерации тревог информационной безопасности [3], основанных на оценке риска, в которой устройство управления событиями получает запрос к доступу к корпоративной сети с клиентского устройства, в ответ на запрос отправляет веб-страницу для аутентификации клиента, содержащую программу для извлечения параметров профиля клиентского устройства, далее устройство управления событиями получает информацию о событии аутентификации с клиентского устройства и информацию об оценки риска с блока оценки риска, при этом информация об оценке риска основана на параметрах профиля клиентского устройства, после этого устройство управления событиями производит корреляцию аутентификационной информации и информации об оценки риска, если результат корреляции соответствует аутентификационной атаке, то устройством управления событиями генерируется тревога (SIEM тревога), имеющая приоритет, основанный на оценке риска.

Недостатком данной системы является ее узконаправленость, так как она позволяет обнаруживать атаки только на системы аутентификации.

Из уровня техники также известна SIEM система [4], которая получает событие безопасности, рассчитывает уровень риска события безопасности, основываясь на корреляции события безопасности с атрибутами актива сети, управляемого SIEM системой; если уровень риска соответствует заранее установленному, SIEM система оповещает системного администратора об этом.

Недостатком данной системы является недостаточная безопасность информационной системы, в которой используется данная SIEM система, так как ее устройство корреляции обнаруживает атаки с недостаточно высокой вероятностью.

Техническим результатом, на достижение которого направлено заявляемое устройство, является повышение вероятности обнаружения атак на информационные системы, что в свою очередь приводит к повышению безопасности информационных систем.

Технический результат достигается за счет того, что устройство корреляции событий информационной безопасности включает в себя приемник событий информационной безопасности, выход которого соединен с первым входом блока сравнения события информационной безопасности с правилом директивы корреляции первого уровня и с первым входом блока сравнения события информационной безопасности с правилом директивы корреляции второго уровня, выход блока сравнения события информационной безопасности с правилом директивы корреляции первого уровня соединен с входом таймера и со вторым входом блока сравнения события информационной безопасности с правилом директивы корреляции второго уровня, выход блока сравнения события информационной безопасности с правилом директивы корреляции второго уровня соединен с первым входом счетчика событий, второй вход которого соединен с первым выходом таймера, а выход с блоком генерации тревоги, выход которого соединен со вторым входом блока сравнения события информационной безопасности с правилом директивы корреляции первого уровня, третий вход которого соединен со вторым выходом таймера.

Устройство корреляции событий информационной безопасности выполняет автоматический анализ собранных данных и обеспечивает выявление инцидентов ИБ с последующей генерацией тревог с помощью набора директив корреляции, представляющих собой последовательность правил корреляции разного уровня. Правила корреляции формируются на основе шаблонов сетевых угроз информационной безопасности и используются для сравнения с поступающими событиями информационной безопасности в блоках сравнения с правилами директив корреляции.

На фигуре 1 показано устройство корреляции событий информационной безопасности, содержащее приемник событий информационной безопасности (1), блок сравнения события информационной безопасности с правилом директивы корреляции первого уровня (2), блок сравнения события информационной безопасности с правилом директивы корреляции второго уровня (3), таймер (4), счетчик событий (5), блок генерации тревоги (6).

Приемник событий информационной безопасности (1) принимает события безопасности от базы данных SIEM или от внешних источников. События безопасности могут быть следующие: загрузка операционной системы, успешная или неуспешная попытка входа в операционную систему, событие от системы обнаружения вторжений, межсетевого экрана, события копирования данных, печати документа и т.д.

Первое событие безопасности поступает на первый вход блока сравнения события информационной безопасности с правилом директивы корреляции первого уровня (2), и если оно удовлетворяет правилу директивы корреляции первого уровня, то на выход блока сравнения события информационной безопасности с правилом директивы корреляции первого уровня поступает сигнал, разрешающий запись последующих событий информационных безопасности в блок сравнения события информационной безопасности с правилом директивы корреляции второго уровня (3) и запускающий таймер (4).

При этом блок сравнения события информационной безопасности с правилом директивы корреляции первого уровня перестает обрабатывать последующие события информационной безопасности до поступления разрешающего сигнала на его второй или третий вход.

Последующие события информационной безопасности сравниваются с правилом директивы корреляции второго уровня в блоке сравнения события информационной безопасности с правилом директивы корреляции второго уровня. Количество событий информационной безопасности, удовлетворяющих правилу директивы корреляции второго уровня, подсчитывается в счетчике событий (5), и при достижении определенного (наперед заданного) количества таких событий счетчик подает на вход блока генерации тревог (6) сигнал, сигнализирующей об атаке на информационную систему.

Однако счетчик может быть обнулен сигналом от таймера, если за время, установленное в таймере, количество событий информационной безопасности, удовлетворяющих правилу директивы корреляции второго уровня, не успевает достигнуть определенного (наперед заданного) значения в счетчике событий. В дополнение к сигналу обнуления счетчика, таймер также вырабатывает разрешающий сигнал, переводящий блок сравнения события информационной безопасности с правилом директивы корреляции первого уровня в рабочее состояние.

При генерации тревоги блок генерации тревоги выдает сообщение о тревоге, которое может поступать на выход экрана монитора, а также может быть отправлено администратору информационной безопасности на его электронную почту, или любым другим способом может быть использовано для оповещения об атаке.

Кроме того, блок генерации тревоги выдает разрешающий сигнал, поступающий на второй вход блока сравнения события информационной безопасности с правилом директивы корреляции первого уровня.

После получения разрешающего сигнала блок сравнения события информационной безопасности с правилом директивы корреляции первого уровня переводится в рабочее состояние и готов обрабатывать следующее событие информационной безопасности, поступающее от приемника событий информационной безопасности.

В качества примера рассмотрим следующую директиву корреляции.

Пусть на первом уровне директивы корреляции задано правило: «Запуск операционной системы на любом из компьютеров сети».

На втором уровне директивы корреляции задано правило: «Неверный логин или пароль».

В таймере установлено значение «5 минут».

Счетчик событий считает до 2х.

Таким образом, при поступлении трех событий информационной безопасности за 5 минут, удовлетворяющих правилу: «Неверный логин или пароль», счетчик вырабатывает сигнал переноса, который дает команду блоку генерации тревог сгенерировать сигнал тревоги.

Таким образом, если на одном из компьютеров сети запускается операционная система, событие об этом попадает в приемник событий информационной безопасности, а далее сравнивается в блоке сравнения события информационной безопасности с правилом директивы корреляции первого уровня с правилом «Запуск операционной системы на любом из компьютеров сети». После этого пользователь начинает вводить логин и пароль для доступа к загружаемой операционной системе. События о введенных логине и пароле попадают также в приемник событий. И в случае, если пользователь вводит неправильный логин и пароль 3 раза в течение 5 минут, блок генерации тревоги сигнализирует обнаружение компьютерной атаки.

Список источников

1. Марков А., Фадин А. Конвергенция средств защиты информации // Защита информации. Инсайд. 2013. №4 (52). С. 80-81.

2. Фадин А.А., Авезова Я.Э. SIEM-решения по управлению и консолидации средств защиты информации // Автоматика и информатика. 2015. №1 (36). С. 27-33.

3. US 9282114 B1, EMC Corporation, Generation of alerts in an event management system based upon risk, G06F 21/55, 08.03.2016

4. US 20150106867 A1, Fortinet, Inc., Security information and event management, H04L 29/06, 16.04.2015

Claims (1)

1. Устройство корреляции событий информационной безопасности, содержащее приемник событий информационной безопасности, выход которого соединен с первым входом блока сравнения события информационной безопасности с правилом директивы корреляции первого уровня и с первым входом блока сравнения события информационной безопасности с правилом директивы корреляции второго уровня, выход блока сравнения события информационной безопасности с правилом директивы корреляции первого уровня соединен с входом таймера и со вторым входом блока сравнения события информационной безопасности с правилом директивы корреляции второго уровня, выход блока сравнения события информационной безопасности с правилом директивы корреляции второго уровня соединен с первым входом счетчика событий, второй вход которого соединен с первым выходом таймера, а выход с блоком генерации тревоги, выход которого соединен со вторым входом блока сравнения события информационной безопасности с правилом директивы корреляции первого уровня, третий вход которого соединен со вторым выходом таймера.

   

Images