РАЗРАБОТКА МОДЕЛИ ЗАЩИТЫ ИНФОРМАЦИИ КОРПОРАТИВНОЙ СЕТИ НА ОСНОВЕ ВНЕДРЕНИЯ SIEM-СИСТЕМЫ
Сформулирована актуальная проблема обнаружения и локализации вредоносной информации, находящейся внутри корпоративных сетей, в больших информационных массивах. Определены основные исходные данные для формирования необходимого перечня способов и средств защиты информации. Обусловлена необходимость применения разнообразных автоматизированных средств и систем для решения задач обеспечения информационной безопасности. Приведена характеристика SIEM-систем как одного из современных подходов в решении задач защиты информации корпоративных сетей. Перечислены основные задачи, решаемые на основе внедрения и эксплуатации SIEM-системы, а также типовые функциональные возможности при выявлении событий и инцидентов информационной безопасности. Приведены типовая структура при внедрении основных компонентов SIEM-системы и детализация функциональных уровней работы системы. Сформулированы условия для построения эффективной системы защиты информации на основе внедрения SIEM-системы. Разработана структурно-функциональная модель SIEM-системы. Определен и рассчитан состав основных аппаратных ресурсов информационной системы, достаточных для обеспечения эффективной работы SIEM-системы. Приведено описание настроек системы и процедуры написания правил как последовательность необходимых действий. Разработана схема алгоритма написания правил. Перечислены стадии написания правил. Рассмотрена стадия написания правила на примере обнаружения TCP, ICMP, UDP подключений из подгрупп, не имеющих права выхода в Интернет. Для этого проведена проверка работоспособности регулярного выражения. Создано правило в редакторе QRadar, и для него выбраны необходимые правила срабатывания SIEM-системы. Проведены настройки правил посредством настройки свойств инцидента, генерируемого при срабатывании правила. Сделаны необходимые выводы.