Куда я попал?
Вы попали в сервис, который помогает корпоративным службам безопасности строить свои рабочие процессы: управление рисками, контроль соответствия требованиям, учет активов, планирование и сопровождение защитных мер на всем их жизненном цикле, распределение задач и т.д.
Еще SECURITM является платформой для обмена опытом и наработками между участниками сообщества служб безопасности.
Подробнее
 

Межсетевое экранирование на границе сети

Цель: защита ключевых активов от несанкционированного доступа на сетевом уровне. 

Установка и настройка межсетевых экранов на все точки входа/выхода между локальной сетью и Интернет или между сетевыми сегментами.
Реализуются базовые функции экранирования:
  • фильтрация трафика на уровне интерфейсов, IP адресов и портов (L2-L4);
  • трансляция адресов (NAT);
  • регистрация событий.
Рекомендации к заполнению карточки:
  • Описать базовую политику межсетевого экранирования, включая ACL;
  • Дополнительные инструменты анализа сетевого трафика (ids/ips, url filtering, application filtering и т.д.) могут оформляться отдельными защитными мерами.
  • Инструментом для реализации защитной меры следует указать конкретные Межсетевые экраны, если они учитываются в реестре активов - привязать их к карточке в качестве инструментов.
Классификация
Тип
Техническая ? Технические (логические) меры Технологические решения и меры, реализуемые в организации для снижения вероятности реализации рисков безопасности и их воздействия на организацию. Внутри орган...
Превентивная ? Превентивные меры Направлены на предотвращение совершения злонамеренных действий, блокируя или останавливая кого-либо, или что-либо. Примеры: Межсетевые экраны; Системы предотвр...
Реализация
Автоматически
Периодичность
Постоянно
Ответственный
Не определено
Инструменты
Не определено
Предшествующие меры
Не требуется
Следующие меры
Не определено

Исполнение требований

Стандарт Банка России № СТО БР ИББС-1.0-2014 от 01.06.2014 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации - Общие положения":
Косвенно Р. 7 п. 4 п.п. 5
7.4.5. В организации БС РФ необходимо определить и контролировать выполнение требований:
  • к разделению сегментов вычислительных сетей, в том числе создаваемых с использованием технологии виртуализации;
  • к межсетевому экранированию;
  • к информационному взаимодействию между сегментами вычислительных сетей.
Разделение сегментов вычислительных сетей следует осуществлять с целью обеспечения независимого выполнения банковских платежных технологических процессов организации БС РФ, а также банковских информационных технологических процессов организации БС РФ разной степени критичности, в том числе банковских информационных технологических процессов, в рамках которых осуществляется обработка персональных данных в ИСПДн.
В документах БС РФ должны быть регламентированы и контролироваться процедуры внесения изменений в конфигурацию сетевого оборудования, предусматривающие согласование вносимых изменений со службой ИБ. Работникам службы ИБ рекомендуется предоставлять доступ к конфигурации сетевого оборудования без возможности внесения изменений.
CIS Critical Security Controls v8 (The 18 CIS CSC):
Косвенно 13.4
13.4 Perform Traffic Filtering Between Network Segments 
Perform traffic filtering between network segments, where appropriate. 
ГОСТ Р № 57580.1-2017 от 01.01.2018 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 7. Требования к системе защиты информации":
Косвенно ЗВК.4
ЗВК.4 Реализация защиты от вредоносного кода на уровне контроля межсетевого трафика
NIST Cybersecurity Framework (RU):
Косвенно PR.AC-5
PR.AC-5: Защищена целостность сети, включая сегрегацию сети при необходимости
Приказ ФСТЭК России № 21 от 18.02.2013 "Состав и содержание мер по обеспечению безопасности персональных данных, необходимых для обеспечения каждого из уровней защищенности персональных данных":
Косвенно ЗИС.17 ЗИС.17 Разбиение информационной системы на сегменты (сегментирование информационной системы) и обеспечение защиты периметров сегментов информационной системы
Косвенно ЗСВ.10 ЗСВ.10 Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной инфраструктуры) для обработки персональных данных отдельным пользователем и (или) группой пользователей
Международный стандарт ISO № 27001 от 01.10.2013 "Информационные технологии - Методы защиты - Системы менеджмента информационной безопасности - Требования - Приложение А":
Косвенно A.13.1.3 A.13.1.3 Разделение в сетях
Средства реализации: Различные группы информационных служб, пользователей и информационных систем должны быть разделены в сетях.
CIS Critical Security Controls v7.1 (SANS Top 20):
Косвенно CSC 14.1 CSC 14.1 Segment the Network Based on Sensitivity
Segment the network based on the label or classification level of the information stored on the servers, locate all sensitive information on separated Virtual Local Area Networks (VLANs).
Приказ ФСТЭК России № 17 от 11.02.2013 "Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах":
Косвенно ЗИС.17 ЗИС.17 Разбиение информационной системы на сегменты (сегментирование информационной системы) и обеспечение защиты периметров сегментов информационной системы
Косвенно ЗСВ.10 ЗСВ.10 Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной инфраструктуры) для обработки информации отдельным пользователем и (или) группой пользователей
SWIFT Customer Security Controls Framework v2022:
1 - 1.1 SWIFT Environment Protection
 1.1 SWIFT Environment Protection 
Косвенно 6 - 6.5A Intrusion Detection
6.5A Intrusion Detection
Косвенно 2 - 2.9 Transaction Business Controls
2.9 Transaction Business Controls
Приказ ФСТЭК России № 31 от 14.03.2014 "Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности автоматизированной системы управления":
АУД.5 АУД.5 Контроль и анализ сетевого трафика
Косвенно ЗИС.4 ЗИС.4 Сегментирование информационной (автоматизированной) системы
NIST Cybersecurity Framework (EN):
Косвенно PR.AC-5 PR.AC-5: Network integrity is protected (e.g., network segregation, network segmentation)
Приказ ФСТЭК России № 239 от 25.12.2017 "Состав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости":
АУД.5 АУД.5 Контроль и анализ сетевого трафика
Косвенно ЗИС.4 ЗИС.4 Сегментирование информационной (автоматизированной) системы

Связанные риски

Риск Угроза Уязвимость Тип актива Связи
Боковое перемещение злоумышленника по локальной сети из-за возможности удаленного подключения через RDS Shadow в ОС Windows
Конфиденциальность Целостность
Боковое перемещение злоумышленника по локальной сети
Конфиденциальность Целостность
Возможность удаленного подключения через RDS Shadow ОС Windows 3
Боковое перемещение злоумышленника по локальной сети из-за наличия административных общих сетевых ресурсов SMB в ОС Windows
Конфиденциальность Целостность
Боковое перемещение злоумышленника по локальной сети
Конфиденциальность Целостность
Наличие административных общих сетевых ресурсов SMB ОС Windows 2
Боковое перемещение злоумышленника по локальной сети из-за использования Windows Management Instrumentation (WMI) в ОС Windows
Конфиденциальность Целостность
Боковое перемещение злоумышленника по локальной сети
Конфиденциальность Целостность
Использование Windows Management Instrumentation (WMI) ОС Windows 2
Боковое перемещение злоумышленника по локальной сети из-за наличия технических (программных) уязвимостей в программном обеспечении
Конфиденциальность Целостность
Боковое перемещение злоумышленника по локальной сети
Конфиденциальность Целостность
Наличие технических (программных) уязвимостей Программное обеспечение 2
Боковое перемещение злоумышленника по локальной сети из-за возможности удаленного управления Windows с помощью службы WinRM в ОС Windows
Конфиденциальность Целостность
Боковое перемещение злоумышленника по локальной сети
Конфиденциальность Целостность
Возможность удаленного управления Windows с помощью службы WinRM ОС Windows 2
Боковое перемещение злоумышленника по локальной сети из-за возможности удаленного управления по протоколу RPC (DCOM) в ОС Windows
Конфиденциальность Целостность
Боковое перемещение злоумышленника по локальной сети
Конфиденциальность Целостность
Возможность удаленного управления по протоколу RPC (DCOM) ОС Windows 2