IV. Требования к средствам предупреждения

13. Средства предупреждения должны реализовывать следующие функции:

сбор и обработка сведений об уязвимостях и недостатках в настройке ПО, а также справочной информации;

поддержка статистической и аналитической обработки получаемой информации;

формирование рекомендаций по минимизации угроз безопасности информации.

14. Для осуществления сбора и обработки сведений об уязвимостях и недостатках в настройке ПО, а также справочной информации в средствах предупреждения должна быть реализована возможность сбора и обработки следующих сведений:

о потенциальных и известных уязвимостях и недостатках в настройке ПО;

об индикаторах компрометации;

о вредоносном ПО;

о показателе доверия (репутации) сетевых адресов, доменных имен, серверов электронной почты, серверов доменных имен;

о владельцах сетевых адресов, доменных имен, серверов электронной почты, серверов доменных имен;

о местоположении и географической принадлежности сетевых адресов;

о компьютерных сетях, состоящих из управляемых с использованием вредоносного ПО средств вычислительной техники, включая сведения об их управляющих серверах;

об инструментах, о тактиках, техниках и процедурах проведения компьютерных атак.

15. Для поддержки статистической и аналитической обработки получаемой информации в средствах предупреждения должна быть реализована возможность:

анализа и агрегации сведений, предусмотренных пунктом 14 настоящих Требований;

корреляции событий ИБ и визуализации корреляционных связей в форме графов;

установления степени доверия к источникам сведений, предусмотренных пунктом 14 настоящих Требований, а также контроля их актуальности.

16. Для формирования рекомендаций по минимизации угроз безопасности информации в средствах предупреждения должна быть реализована возможность вывода пользователю перечня актуальных мер, направленных на устранение уязвимостей и недостатков в настройке ПО, используемого в контролируемых информационных ресурсах, а также мер, направленных на снижение негативных последствий реализации угроз безопасности информации.

17. При реализации своих функций в средствах предупреждения должны быть реализованы:

поддержка актуальности предоставляемых данных путем проверки наличия обновлений в источниках сведений, предусмотренных пунктом 14 настоящих Требований, не реже одного раза в 24 часа и загрузки таких обновлений при их наличии;

поддержка структурированной передачи данных киберразведки;

возможность интеграции и обмена информацией со средствами обнаружения и средствами ликвидации последствий, а также наличие программного интерфейса приложений (API).