Карточка защитной меры

Куда я попал?

Вы попали в сервис, который помогает корпоративным службам безопасности строить свои рабочие процессы: управление рисками, контроль соответствия требованиям, учет активов, планирование и сопровождение защитных мер на всем их жизненном цикле, распределение задач и т.д.
Еще SECURITM является платформой для обмена опытом и наработками между участниками сообщества служб безопасности.

Подробнее

Межсетевое экранирование на границе сети

6 3

Цель: защита ключевых активов от несанкционированного доступа на сетевом уровне.

Установка и настройка межсетевых экранов на все точки входа/выхода между локальной сетью и Интернет или между сетевыми сегментами.
Реализуются базовые функции экранирования:

фильтрация трафика на уровне интерфейсов, IP адресов и портов (L2-L4);
трансляция адресов (NAT);
регистрация событий.

Рекомендации к заполнению карточки:

Описать базовую политику межсетевого экранирования, включая ACL;
Дополнительные инструменты анализа сетевого трафика (ids/ips, url filtering, application filtering и т.д.) могут оформляться отдельными защитными мерами.
Инструментом для реализации защитной меры следует указать конкретные Межсетевые экраны, если они учитываются в реестре активов - привязать их к карточке в качестве инструментов.

Классификация

Тип

Техническая

Превентивная

Реализация

Автоматически

Периодичность

Постоянно

Ответственный

Не определено

Инструменты

Не определено

Предшествующие меры

Не требуется

Следующие меры

Не определено

Исполнение требований

Стандарт Банка России № СТО БР ИББС-1.0-2014 от 01.06.2014 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации - Общие положения":

Р. 7 п. 4 п.п. 5

7.4.5. В организации БС РФ необходимо определить и контролировать выполнение требований:

к разделению сегментов вычислительных сетей, в том числе создаваемых с использованием технологии виртуализации;
к межсетевому экранированию;
к информационному взаимодействию между сегментами вычислительных сетей.

Разделение сегментов вычислительных сетей следует осуществлять с целью обеспечения независимого выполнения банковских платежных технологических процессов организации БС РФ, а также банковских информационных технологических процессов организации БС РФ разной степени критичности, в том числе банковских информационных технологических процессов, в рамках которых осуществляется обработка персональных данных в ИСПДн.
В документах БС РФ должны быть регламентированы и контролироваться процедуры внесения изменений в конфигурацию сетевого оборудования, предусматривающие согласование вносимых изменений со службой ИБ. Работникам службы ИБ рекомендуется предоставлять доступ к конфигурации сетевого оборудования без возможности внесения изменений.

CIS Critical Security Controls v8 (The 18 CIS CSC):

13.4

13.4 Perform Traffic Filtering Between Network Segments
Perform traffic filtering between network segments, where appropriate.

ГОСТ Р № 57580.1-2017 от 01.01.2018 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 7. Требования к системе защиты информации":

ЗВК.4

ЗВК.4 Реализация защиты от вредоносного кода на уровне контроля межсетевого трафика

NIST Cybersecurity Framework (RU):

PR.AC-5

PR.AC-5: Защищена целостность сети, включая сегрегацию сети при необходимости

Приказ ФСТЭК России № 21 от 18.02.2013 "Состав и содержание мер по обеспечению безопасности персональных данных, необходимых для обеспечения каждого из уровней защищенности персональных данных":

ЗИС.17 ЗИС.17 Разбиение информационной системы на сегменты (сегментирование информационной системы) и обеспечение защиты периметров сегментов информационной системы

ЗСВ.10 ЗСВ.10 Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной инфраструктуры) для обработки персональных данных отдельным пользователем и (или) группой пользователей

Международный стандарт ISO № 27001 от 01.10.2013 "Информационные технологии - Методы защиты - Системы менеджмента информационной безопасности - Требования - Приложение А":

A.13.1.3 A.13.1.3 Разделение в сетях
Средства реализации: Различные группы информационных служб, пользователей и информационных систем должны быть разделены в сетях.

CIS Critical Security Controls v7.1 (SANS Top 20):

CSC 14.1 CSC 14.1 Segment the Network Based on Sensitivity
Segment the network based on the label or classification level of the information stored on the servers, locate all sensitive information on separated Virtual Local Area Networks (VLANs).

Приказ ФСТЭК России № 17 от 11.02.2013 "Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах":

ЗСВ.10 ЗСВ.10 Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной инфраструктуры) для обработки информации отдельным пользователем и (или) группой пользователей

SWIFT Customer Security Controls Framework v2022:

1 - 1.1 SWIFT Environment Protection

1.1 SWIFT Environment Protection

6 - 6.5A Intrusion Detection

6.5A Intrusion Detection

2 - 2.9 Transaction Business Controls

2.9 Transaction Business Controls

Приказ ФСТЭК России № 31 от 14.03.2014 "Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности автоматизированной системы управления":

АУД.5 АУД.5 Контроль и анализ сетевого трафика

ЗИС.4 ЗИС.4 Сегментирование информационной (автоматизированной) системы

NIST Cybersecurity Framework (EN):

PR.AC-5 PR.AC-5: Network integrity is protected (e.g., network segregation, network segmentation)

Приказ ФСТЭК России № 239 от 25.12.2017 "Состав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости":

АУД.5 АУД.5 Контроль и анализ сетевого трафика

ЗИС.4 ЗИС.4 Сегментирование информационной (автоматизированной) системы

Связанные риски

Риск	Угроза	Уязвимость	Тип актива	Связи
Боковое перемещение злоумышленника по локальной сети из-за возможности удаленного подключения через RDS Shadow в ОС Windows Конфиденциальность Целостность	Боковое перемещение злоумышленника по локальной сети Конфиденциальность Целостность	Возможность удаленного подключения через RDS Shadow	ОС Windows	3
Боковое перемещение злоумышленника по локальной сети из-за наличия административных общих сетевых ресурсов SMB в ОС Windows Конфиденциальность Целостность	Боковое перемещение злоумышленника по локальной сети Конфиденциальность Целостность	Наличие административных общих сетевых ресурсов SMB	ОС Windows	2
Боковое перемещение злоумышленника по локальной сети из-за использования Windows Management Instrumentation (WMI) в ОС Windows Конфиденциальность Целостность	Боковое перемещение злоумышленника по локальной сети Конфиденциальность Целостность	Использование Windows Management Instrumentation (WMI)	ОС Windows	2
Боковое перемещение злоумышленника по локальной сети из-за наличия технических (программных) уязвимостей в программном обеспечении Конфиденциальность Целостность	Боковое перемещение злоумышленника по локальной сети Конфиденциальность Целостность	Наличие технических (программных) уязвимостей	Программное обеспечение	2
Боковое перемещение злоумышленника по локальной сети из-за возможности удаленного управления Windows с помощью службы WinRM в ОС Windows Конфиденциальность Целостность	Боковое перемещение злоумышленника по локальной сети Конфиденциальность Целостность	Возможность удаленного управления Windows с помощью службы WinRM	ОС Windows	2
Боковое перемещение злоумышленника по локальной сети из-за возможности удаленного управления по протоколу RPC (DCOM) в ОС Windows Конфиденциальность Целостность	Боковое перемещение злоумышленника по локальной сети Конфиденциальность Целостность	Возможность удаленного управления по протоколу RPC (DCOM)	ОС Windows	2