РСБ.1. Определение событий безопасности и данных о них, подлежащих регистрации

Цель: Определить состав и содержание информации о событиях, связанных с возможным нарушением безопасности информации, нарушением функционирования информационных систем, реализацией угроз безопасности информации (далее - события безопасности), подлежащих регистрации в информационной системе.

Требования к реализации: В информационной системе должен быть определен перечень программных, программно-аппаратных средств, средств защиты информации, которые обеспечивают возможность регистрации событий безопасности.

Регистрация событий безопасности информации должна проводиться:

в средствах защиты информации, установленных в информационной системе;

в программно-аппаратных средствах (серверах и автоматизированных рабочих местах, в системах хранения данных, средствах защиты информации, телекоммуникационном оборудовании), находящихся на периметре информационной системы и (или) информационно-телекоммуникационной инфраструктуры, на базе которой функционирует информационная система;

в программных, программно-аппаратных средствах информационной системы (сегментах информационной системы), предназначенных для обработки информации, которая отнесена к информации ограниченного доступа;

в программных, программно-аппаратных средствах информационной системы (сегментах информационной системы), предназначенных для реализации значимых функций информационной системы;

на средствах, обеспечивающих удаленное подключение пользователей к информационной системе.

Состав и содержание событий безопасности, а также типы событий безопасности, подлежащие регистрации в информационной системе, определяются оператором информационной системы в соответствии с национальным стандартом ГОСТ Р 59548-2022 "Защита информации. Регистрация событий безопасности. Требования к регистрируемой информации".

Состав и содержание информации о событиях безопасности, включаемой в записи регистрации о событиях безопасности, должны, как минимум, обеспечить возможность идентификации типа события безопасности, даты и времени события безопасности, идентификационной информации источника события безопасности, результата события безопасности (успешно или неуспешно), субъекта доступа (пользователя и (или) процесса), связанного с данным событием безопасности.

В информационной системе как минимум подлежат регистрации следующие события:

вход (выход), а также попытки входа субъектов доступа в информационную систему;

подключение машинных носителей информации и вывод информации на носители информации;

запуск (завершение) программ и процессов, связанных с обработкой защищаемой информации;

попытки доступа программных средств к определяемым оператором защищаемым объектам доступа (техническим средствам, узлам сети, линиям (каналам) связи, внешним устройствам, программам, каталогам, файлам, записям, полям записей) и иным объектам доступа;

попытки удаленного доступа;

события, регистрируемые средствами защиты информации.

Требования к документированию: В эксплуатационной документации на информационную систему должны быть определены требования к определению событий безопасности и данных о них, подлежащих регистрации в информационной системе, предусматривающие определение:

программных, программно-аппаратных средств, с которых осуществляется регистрация и сбор событий безопасности;

состава и содержания информации о событиях безопасности, подлежащих регистрации;

типов событий безопасности, подлежащих регистрации в информационной системе.

Требования к усилению:

1) в информационной системе обеспечивается запись дополнительной информации о событиях безопасности, включающая запись привилегированных команд (команд, управляющих системными функциями);

2) в информационной системе обеспечивается централизованный мониторинг событий безопасности в рамках сегментов информационной системы, определяемых оператором, и (или) информационной системы в целом;

3) в информационной системе обеспечивается регистрация информации о месте (в частности сетевой адрес, географическая привязка и (или) другая информация), с которого осуществляется удаленный доступ в информационную систему;

4) зарегистрированная информация о событиях безопасности должна передаваться в средства управления событий информационной безопасности.

Реализация в информационной системе: