Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах

Требования к реализации: В информационной системе при защите конечных устройств должны обеспечиваться:

1. на конечных устройствах должны применяться доверенные средства сетевого взаимодействия (в том числе, доверенные аппаратные сетевые интерфейсы);

2. в составе конечного устройства должны применяться аппаратные средства гарантированного отключения незадействованных компонентов регистрации акустических (микрофоны) или оптических (веб-камеры) сигналов (в случае применения в конечном устройстве таких компонентов);

3. должна выполняться фильтрация команд, обеспечивающая передачу на устройства ввода и (или) вывода в информационной системе, в том числе на многофункциональные устройства и принтеры, только разрешенных команд с целью исключения несанкционированного доступа к информации;

4. в составе конечного устройства, предназначенного для подключения к нескольким информационным системам информационной инфраструктуры оператора, должны применяться компоненты, обеспечивающие гарантированное (физическое) разделение информационных систем (сегментов, контуров) и невозможность сохранения созданных данных в энергонезависимую память;

5. должна осуществляться идентификация конечных устройств пользователей.

Требования к реализации: В информационной системе должна обеспечиваться целостность следующего программного обеспечения конечных устройств:

На конечных устройствах должен быть обеспечен запрет на установку и запуск (инсталляцию) неразрешенного к использованию программного обеспечения.

Обеспечение целостности программного обеспечения конечных устройств реализуется путем применения механизмов безопасности операционных систем и иных средств защиты информации.

1. должна обеспечиваться доверенная загрузка операционных систем автоматизированных рабочих мест пользователей, на которых осуществляется обработка информации ограниченного доступа и (или) выполнение значимых функций оператора;

2. должна обеспечиваться доверенная загрузка операционных систем серверов, на которых осуществляется обработка информации ограниченного доступа и (или) выполнение значимых функций оператора;

3. должна обеспечиваться доверенная загрузка сетевых средств защиты информации;

4. должна обеспечиваться доверенная загрузка программного обеспечения телекоммуникационного оборудования;

5. должна обеспечиваться блокировка запуска программного обеспечения и (или) блокировка конечного устройства в случае обнаружения фактов нарушения целостности;

6. должен обеспечиваться контроль целостности базовой системы ввода-вывода конечных устройств;

7. должен обеспечиваться контроль целостности микропрограммного обеспечения и аппаратных компонентов конечных устройств;

8. должен обеспечиваться запрет применения функций разработки и отладки программ на конечных устройствах. При необходимости применения функций разработки и отладки программ должно обеспечиваться выполнение процедур контроля целостности программного обеспечения после завершения каждого процесса функционирования средств разработки и отладки программ.

1. на конечных устройствах информационной системы, имеющей доступ к ресурсам сети «Интернет», должны обеспечиваться обнаружение вторжений (компьютерных атак) и реагирование на них с использованием систем обнаружения вторжений уровня узла и (или) средств обнаружения и реагирования на уровне узла;

2. должен обеспечиваться периодический ретроспективный анализ событий безопасности средств обнаружения и реагирования на уровне узла на наличие признаков вторжений (компьютерных атак);

3. должно обеспечиваться взаимодействие с репутационной базой угроз для обогащения информацией о признаках вторжений (компьютерных атак);

4. должно обеспечиваться применение репутационной базы угроз для проверки файловых объектов, сетевых и прикладных артефактов (IP-адресов, доменов, URL) в масштабе, близком к реальному времени;

5. должна обеспечиваться передача файловых объектов (исполняемых файлов, архивов) от применяемых на узлах информационной системы средств обнаружения и реагирования на уровне узла в замкнутую систему (среду) предварительного выполнения программ («песочницу») для динамического анализа в автоматическом режиме.

1. при осуществлении мониторинга процессов и состояния конечных устройств должны выявляться аномалии в действиях пользователей и выполнении процессов конечных устройств;

2. должна обеспечиваться интеграция результатов мониторинга процессов и состояния конечных устройств, полученных по результатам отслеживания разных процессов, и их корреляция с целью выявления инцидентов безопасности и реагирования на них.

Требования к реализации: Должен обеспечиваться контроль сетевого трафика конечного устройства, включающий контроль:

Должна осуществляться фильтрация сетевого трафика конечного устройства по определенным правилам фильтрации (по IP-адресам, портам, протоколам, по содержимому и иным правилам межсетевых экранов, многофункциональных межсетевых экранов уровня сети).
Указанные меры защиты информации реализуются путем применения механизмов безопасности операционных систем, и (или) средств обнаружения и реагирования на уровне узла, и (или) иных средств защиты информации.

1. должен обеспечиваться контроль сетевого трафика конечного устройства по времени доступа к определенным ресурсам;

2. должен выполняться анализ сетевого трафика конечного устройства, включающий определение потоков данных, информацию об отправителях и получателях, используемых сетевых протоколах и портах, статусах сетевых соединений (открытое, закрытое);

3. на конечных устройствах должны применяться аппаратные средства сетевого взаимодействия (в том числе, доверенные аппаратные сетевые интерфейсы), обеспечивающие фильтрацию входящего и (или) исходящего сетевого трафика узла по сетевым (IP) и (или) физическим (MAC) адресам;

4. в составе конечного устройства должны применяться аппаратные средства гарантированной блокировки линий обмена данными по команде и (или) по расписанию.

Требования к реализации: Должен выполняться анализ зарегистрированных событий безопасности, по результатам анализа должно осуществляться реагирование на выявленные компьютерные инциденты.

1. реагирование на выявленные признаки компьютерных инцидентов должно включать отправку уведомлений администратору безопасности информационной системы;

2. должен обеспечиваться анализ зарегистрированных на конечном устройстве событий безопасности системой управления событиями безопасности информации;

4. должны обеспечиваться блокирование и (или) изоляция конечного устройства, на котором выявлены компьютерные инциденты.