भेद्यता स्कैनर्स और सिएम में मानकों और नीतियों का अनुपालन

अंग्रेजी शब्द अनुपालन का मतलब उच्च स्तर के मानकों (जैसे SOX, PCI DSS, बेसल II, GLBA) के साथ अनुपालन है। इन मानकों के द्वारा बताई गई आवश्यकताओं (पासवर्ड की लंबाई, आंतरिक नियमों और नीतियों की उपस्थिति, कमजोरियों को समाप्त करने के लिए समय, आदि) की आवश्यकताओं का अनुपालन करने के लिए इन दस्तावेजों के अनुपालन की जाँच करना आवश्यक है।

अंतर्राष्ट्रीय मानकों के अलावा, उनके घरेलू समकक्ष, कॉर्पोरेट नीतियां और NIST आवश्यकताएं हैं। इन दस्तावेजों के अनुपालन का आकलन भी आवश्यक है। मानकों में आवश्यकताओं का समूह होता है: मानक की सभी आवश्यकताओं की पूर्ति वास्तव में इसका अनुपालन करती है। एक अलग आवश्यकता का उदाहरण: "उन कर्मचारियों के लिए एक अनुशासनात्मक प्रक्रिया होनी चाहिए जिन्होंने एक रक्षा का उल्लंघन किया है" (आईएसओ / आईईसी 2005 ए.8.2.3)।

मानकों के अनुपालन की जांच करना न केवल रिपोर्टिंग के लिए आवश्यक है: जितनी अधिक आवश्यकताएं पूरी होती हैं, सुरक्षा का स्तर उतना ही अधिक होता है और खतरों के मामले में वित्तीय नुकसान के जोखिम कम होते हैं। जाहिर है, लगातार और लगातार मानकों के अनुपालन को सुनिश्चित करना आवश्यक है - अन्यथा, अगले ऑडिट के दौरान, आपको आवश्यकताओं के अनुसार विन्यास और बुनियादी ढांचे में बदलाव करने के लिए बहुत अधिक ऊर्जा और तंत्रिकाओं को खर्च करना होगा।

मानक के अनुपालन की जांच कैसे करें

आईएसओ 27001 के अनुसार लेखा परीक्षकों के पाठ्यक्रमों में, मैं एक संगठन के आईएस विभाग के कर्मचारियों से मिलने के लिए हुआ, जिन्होंने अनुपालन को सत्यापित करने के लिए 27001 मानक का उपयोग किया, लेकिन एक्सेल तालिका में अनुपालन और गणना जोखिमों का आकलन किया। दृष्टि दिल के बेहोश के लिए नहीं है, मैं आपको कबूल करता हूं।

बेशक, आप कागज की शीट के लिए या एक्सेल में मानक की आवश्यकताओं को लिखकर ऐसी छवियों के अनुपालन को सत्यापित कर सकते हैं। आप विशेष सॉफ़्टवेयर का उपयोग कर सकते हैं जिसमें कुछ सुरक्षा पहलुओं के लिए जिम्मेदार कर्मचारी विशिष्ट प्रश्नों का उत्तर देंगे: "हां, नहीं, मुझे नहीं पता है।" लेकिन जानकारी कितनी विश्वसनीय होगी? क्या आप सुनिश्चित हैं कि डोमेन व्यवस्थापक ने वास्तव में न्यूनतम पासवर्ड लंबाई 7 वर्णों तक निर्धारित की है? क्या आपको वास्तव में यकीन है कि इस व्यवस्थापक ने नकली स्क्रीनशॉट नहीं लिया था, और फिर समूह नीति सेटिंग को उस स्थिति में नहीं लौटाया था जो वह (!) आवश्यक है। कुछ आवश्यकताओं को केवल कर्मचारियों के सर्वेक्षण के माध्यम से जांचा जा सकता है, लेकिन अन्य आवश्यकताओं की पूर्ति को स्वचालित साधनों द्वारा जांचा जा सकता है।

आवश्यकताओं के प्रकार

आवश्यकताओं को तकनीकी और गैर-तकनीकी में विभाजित किया गया है। तकनीकी आवश्यकताओं में ऐसी जानकारी शामिल होती है जिसे स्वचालन टूल (कंसोल में एक कमांड निष्पादित करके, कॉन्फ़िगरेशन फ़ाइल में पार्सर का उपयोग करके, रजिस्ट्री पैरामीटर के माध्यम से) चेक किया जा सकता है।

यहां अधिकांश मानकों में उल्लिखित एक तकनीकी आवश्यकता का एक सरल उदाहरण है: PCI DSS 8.5.10 "कम से कम सात वर्णों की न्यूनतम पासवर्ड लंबाई की आवश्यकता है", PCI DSS आवश्यकताएँ 5.1। "दुर्भावनापूर्ण सॉफ़्टवेयर (विशेष रूप से व्यक्तिगत कंप्यूटर और सर्वर) के साथ संयुक्त सभी प्रणालियों पर एंटी-वायरस सॉफ़्टवेयर को तैनात करें।"

गैर-तकनीकी आवश्यकताओं, क्रमशः, स्वचालन उपकरणों का उपयोग करके सत्यापित नहीं किया जा सकता है। ऐसी आवश्यकता का एक उदाहरण उपरोक्त आईएसओ / आईईसी 2005 ए.8.2.3 है।

अकेले तकनीकी आवश्यकताओं का उपयोग करके कोई मानक पूरी तरह से वर्णित नहीं किया जा सकता है। स्वचालन के अभाव में, हम सभी उन्हें गैर-तकनीकी मान सकते हैं। आवश्यकताओं को स्वचालित रूप से जांचने का एक अवसर है - यह तकनीकी हो जाता है। जितनी अधिक आवश्यकताएं हम विश्लेषण कर सकते हैं (सिस्टम में उनके साथ अनुपालन को सत्यापित करें), उतनी ही जल्दी विसंगतियों को समाप्त करके जोखिम को कम करना संभव होगा।

यह तुरंत समझाया जाना चाहिए कि अनुपालन सत्यापन प्रक्रिया को आम तौर पर अनुपालन में विभाजित किया जाता है (मानक उपसर्ग के बिना; डिफ़ॉल्ट रूप से उच्च स्तर के मानकों का अनुपालन), नियामक अनुपालन (पर्यवेक्षी अधिकारियों की आवश्यकताएं, उदाहरण के लिए एसटीओ बीआर आईबीबीएस) और नीति अनुपालन (नीतियों का अनुपालन, चाहे) कॉर्पोरेट नीति या NIST)। हम इस लेख के ढांचे के भीतर इन सभी शर्तों को "मानकों (नीतियों) के अनुपालन के लिए जाँच" के रूप में समझेंगे।

मानकों से लेकर नीतियों तक

क्या होगा यदि आपको किसी भी मानक की आवश्यकता नहीं है, लेकिन आईएस नीतियों के अनुपालन को नियंत्रित करना चाहते हैं?

"अनुपालन सत्यापन" की अवधारणा न केवल उच्च-स्तरीय मानकों (आईएसओ, एनआईएसटी दिशानिर्देश, एसओएक्स, बेसल II) और एनआईएसटी दिशानिर्देशों पर लागू होती है, बल्कि आंतरिक कंपनी नीतियों के लिए भी लागू होती है। कई कॉर्पोरेट नीति आवश्यकताओं में मानकों की आवश्यकताएं शामिल हैं। इसका मतलब है कि आप अपनी आईएस सुरक्षा नीति में वर्णित मानकों से तकनीकी आवश्यकताओं को अलग कर सकते हैं, उन्हें एक नीति में जोड़ सकते हैं और इसे पहले से ही ट्रैक कर सकते हैं।

एक और सवाल यह है कि मानक के अनुपालन का आकलन करने के लिए आवश्यकताओं को प्राप्त करने और प्रसंस्करण की प्रक्रिया को स्वचालित कैसे किया जाए? इसका उत्तर सरल है: स्वचालन उपकरण जैसे भेद्यता स्कैनर, सीएमएस क्लास सिस्टम (अनुपालन प्रबंधन प्रणाली), एसईएम, या, चरम मामलों में, स्व-लिखित स्क्रिप्ट।

यह कैसे काम करता है?

सीएमएस और भेद्यता स्कैनर के लिए, आईपी स्कैन स्कैन अनुपालन कार्य में संगठन की सूचना प्रणालियों को संबोधित करता है। फिर सिस्टम को चयनित मानक की आवश्यकताओं के अनुपालन का निर्धारण करने के लिए स्कैन किया जाता है (एक नियम के रूप में, स्कैनर सभी उपलब्ध डेटा प्राप्त करता है), जिसके बाद यह मूल्यांकन करता है कि क्या इस मानक की सभी तकनीकी आवश्यकताएं चयनित परिसंपत्तियों पर पूरी होती हैं।



एक नियम के रूप में, सिस्टम में आवश्यकताओं के पूर्वनिर्धारित सेट के साथ उपलब्ध मानक टेम्पलेट्स की एक सूची है जिसे अनुरूपता मूल्यांकन के लिए चुना जा सकता है। यदि कुछ गायब है, तो आप स्कैनर निर्माता से लापता मानकों के लिए लाइसेंस खरीद सकते हैं या अपना खुद का विकास कर सकते हैं।

अपना खुद का मानक विकसित करना

मानकों के अनुपालन की जांच के कार्य के साथ भेद्यता स्कैनर में, खरोंच से या किसी मौजूदा के आधार पर अपना खुद का मानक बनाना संभव है। निर्माण प्रक्रिया के दौरान, आप उन मानों को ओवरराइड कर सकते हैं जो आवश्यकताओं के हिस्से के रूप में जांचे जाते हैं या अपना स्वयं का जोड़ते हैं।

लचीले सत्यापन तंत्र के लिए अपनी आवश्यकताओं को जोड़ना संभव है। प्रत्येक प्रणाली में, आवश्यकताओं में एक या अधिक चेक शामिल होते हैं। आमतौर पर, इन चेकों को विभिन्न तरीकों और ट्रांसपोर्ट्स (WMI, RPC, आदि) के साथ कई परिदृश्यों का उपयोग करके लागू किया जाता है। McAfee VM के लिए, उदाहरण के लिए, डेटाबेस में संग्रहीत लिपियों का हिस्सा चित्र में जैसा दिखता है नीचे दिए गए।



हालाँकि, हमें डेटाबेस में जाने की आवश्यकता नहीं है और आम तौर पर पता है कि स्क्रिप्ट क्या जाँच रही है। एक नियम के रूप में, सॉफ्टवेयर निर्माता आवश्यकताओं के साथ काम करने के लिए एक ग्राफिकल इंटरफ़ेस प्रदान करते हैं। हमारे नए मानक या नीति में, हम लगभग किसी भी तकनीकी आवश्यकताओं को शामिल कर सकते हैं और उनके मापदंडों के मूल्यों को फिर से परिभाषित कर सकते हैं।



यदि ऐसा कोई इंटरफ़ेस नहीं है, तो कम से कम अपने स्वयं के मानक (उदाहरण के लिए, XML प्रारूप में) बनाने पर प्रलेखन उपलब्ध होना चाहिए। थोड़ा प्रयास - और एक विशिष्ट मानक जो किसी विशेष संगठन में सूचना सुरक्षा के लिए आवश्यकताओं को दर्शाता है।

सिएम

अब बात करते हैं सिएम की। ऐसी प्रणालियों से संबंधित कुछ अवधारणाएँ, हमने पहले अपने ब्लॉग में चर्चा की थी:

1) क्या है सहकारिता http://blog.ptsecurity.ru/2012/10/siem.html
2) हमें CRM और भेद्यता स्कैनर के एकीकरण की आवश्यकता क्यों है http://blog.ptsecurity.ru/2012/10/siem_1.html
3) सहसंबंध के हस्ताक्षर तरीके क्या हैं http://blog.ptsecurity.ru/2012/10/siem_17.html
4) सूचना सुरक्षा घटनाओं का प्रबंधन कैसे करें http://blog.ptsecurity.ru/2012/11/blog-post.html

अब चलो खुद से पूछते हैं कि क्यों, सिद्धांत रूप में, सिएम में अनुपालन जांच की आवश्यकता है। इस प्रक्रिया में सिएम का क्या मतलब है? और इस तरह के सत्यापन के लिए केवल भेद्यता स्कैनर और अनुपालन प्रबंधन प्रणाली का उपयोग क्यों नहीं किया जाता है?

सबसे पहले, मानकों में खातों से संबंधित कुछ घटनाओं को लॉग इन करने, वस्तुओं तक पहुंच, समूह नीतियों में बदलाव आदि के लिए आवश्यकताएं होती हैं। इन आवश्यकताओं की निगरानी करना भी आवश्यक है, क्योंकि यह जांचना संभव है कि इस प्रकार की घटनाएं हमारे आरएमबी में प्राप्त होती हैं या नहीं। ।

दूसरे, विभिन्न स्कैनरों के विपरीत, CRM सिस्टम को लगातार ऐसी सूचनाएं प्राप्त होती हैं जिनका उपयोग वास्तविक समय में गतिशील अनुरूपता मूल्यांकन के लिए किया जा सकता है। अपने सर्वर पर एंटी-वायरस सुरक्षा को अक्षम करने या डोमेन नीति को बदलने के बारे में आपको कितनी जल्दी पता चलता है? ऐसी स्थितियों में, एक स्कैनर लॉन्च करना आमतौर पर नेटवर्क और सूचना प्रणालियों को लोड करता है, क्योंकि मानक (उदाहरण के लिए, पीसीआई डीएसएस) के अनुपालन की जांच करने की प्रक्रिया अक्सर कमजोरियों के लिए स्कैनिंग की आवश्यकता होती है (और यह एक बड़ा भार है जो आपके उत्पादन प्रणाली को "ड्रॉप" कर सकता है)।

इस मामले में कोलम्बिया एक विशेष मानक के अनुपालन पर डेटा के निष्क्रिय स्रोत के रूप में कार्य करता है, वास्तविक समय में प्राप्त होता है: जर्नल प्रबंधन का मुद्दा समाप्त हो जाता है। उसी समय, हमारे पास विभिन्न घटनाओं पर आने वाले डेटा के आधार पर, यह निर्धारित करने के लिए कि वास्तव में विसंगति क्या होती है। फिर, चयनित मानक की विशिष्ट आवश्यकता के अनुपालन की जांच की जाती है, और विसंगतियों के मामले में, सूचना प्रणाली के प्रशासक को एक अधिसूचना भेजी जाती है।

इसके अलावा, यदि सिस्टम में घटना प्रबंधन किया जाता है, तो जिम्मेदार कर्मचारी को गैर-अनुपालन को खत्म करने का कार्य भी दिया जाएगा।

सुंदर लगता है, है ना? अब हमारे सीएमजी सिस्टम पर वापस जाएं और देखें कि वे वास्तव में किसी विशेष मानक के अनुपालन का मूल्यांकन कैसे करते हैं।

उच्च-स्तरीय मानकों में कुछ घटनाओं (तालिका में इंगित) के बारे में जानकारी का संग्रह और भंडारण शामिल है।



व्यक्तिगत मानकों को ध्यान में रखते हुए, निम्न चित्र प्राप्त किया जाता है।



मैं एक बार फिर से दोहराता हूं: यहां जोर संग्रह और भंडारण पर है। हम "विश्लेषण", "प्राप्त डेटा का ऑडिट" ("ऑडिट ऑफ़ लॉगिन" के साथ भ्रमित नहीं होना चाहिए, ये लॉग से सामान्य डेटा हैं)।

यदि आप यह उम्मीद करते हैं कि कोलम्बिया का उपयोग करते हुए मानक के अनुपालन की निगरानी का परिणाम "न्यूनतम पासवर्ड लंबाई निर्धारित किया गया है" फॉर्म का संदेश होगा, जो संबंधित या गैर-संगत आवश्यकता को दर्शाता है, तो आप दुर्भाग्य से गलत हैं।

किसी भी उच्च-स्तरीय मानक के अनुपालन के लिए चेक शुरू करने के बाद, रिपोर्ट में सीएमडी प्रणाली में उपलब्ध सूची से आप केवल आवश्यकताओं द्वारा ब्रेकडाउन के साथ घटनाओं और प्रणालियों की एक सूची प्राप्त करेंगे (या सबसे अच्छे रूप में) इस आवश्यकता के भीतर की घटनाओं पर एक रिपोर्ट (उदाहरण के लिए, डेटा का प्रवाह)।





इससे हम यह निष्कर्ष निकाल सकते हैं कि कन्जर्वेशन मूल्यांकन के लिए सिएम सिस्टम का इरादा नहीं है, लेकिन एक तकनीकी उपकरण के रूप में आवश्यक है कि घटनाओं को एकत्र करने और भंडारण करने के लिए मानकों की व्यक्तिगत आवश्यकताओं का पालन करें और केवल @ रिपोर्ट कार्यक्षमता को ट्रैक करें।

बेशक, कुछ अपवाद हैं, लेकिन वे कुछ ही हैं। कुछ विक्रेता मानकों के अनुपालन को प्रभावित करने वाली आने वाली घटनाओं से उपयोगी जानकारी को आंशिक रूप से निकालने की कोशिश कर रहे हैं। इस मामले में, आवश्यकताएं सह-संबंध सहसंबंध नियमों से संबंधित हैं। इस मामले में, एक आवश्यकता कई नियमों से मेल खाती है। ऐसा इसलिए है क्योंकि एक विशिष्ट तथ्य (उदाहरण के लिए, किसी डोमेन नीति में न्यूनतम पासवर्ड की लंबाई को बदलना) में विभिन्न डेटा स्रोतों से कई ईवेंट शामिल हो सकते हैं, और ईवेंट की सामग्री स्वयं भिन्न हो सकती है।

इसके अलावा, प्रत्येक डेटा स्रोत के ईवेंट लॉग में, विभिन्न ईवेंट_ड के साथ एक विशिष्ट ईवेंट को विभिन्न सेवा शब्दों द्वारा वर्णित किया जा सकता है।



हालांकि, इस तरह से अनुपालन जांच करने के लिए बहुत अधिक संसाधनों की आवश्यकता होती है, इसलिए सिएम डेवलपर्स इस उद्यम को छोड़ रहे हैं।

एक पूर्ण अनुपालन विश्लेषण को लागू करना मुश्किल क्यों हो गया? मुख्य कारणों पर संक्षेप में विचार करें।

पहला कारण । किसी वस्तु की अवधारणा में कमी होती है। यहां हम पिछले लेखों में से एक में वर्णित सहसंबंध विधि "एमबीआर मॉडल आधारित तर्क" को याद कर सकते हैं। इस पद्धति का उपयोग, उदाहरण के लिए, कोई एक बेमेल के लिए अग्रणी वस्तु की स्थिति का वर्णन कर सकता है।


CRM मॉडल घटनाओं, आंकड़ों की घटनाओं, श्रेणियों और वर्गों को संग्रहीत करता है। हालांकि, वस्तुओं या परिसंपत्तियों की कोई स्थिति नहीं है (हालांकि यह अवधारणा सिएम के लिए मौजूद नहीं है)।

दूसरा कारण । अधिकांश निर्माताओं के एसडब्ल्यूएम सिस्टम में, घटनाओं को सामान्य नहीं किया जाता है (वे एक मानकीकृत रूप में कम नहीं होते हैं), इसलिए, बड़ी संख्या में तार्किक सहसंबंध नियमों को संकलित करने की आवश्यकता होती है। यह बदले में, पूर्ण मानक अनुपालन संकलन की तर्कहीनता की ओर जाता है।

ऐसा क्यों हो रहा है? सभी निर्माता NIST 800-92 की आवश्यकता को पूरा करने का प्रयास करते हैं ("मूल घटना संरक्षित है और सामान्यीकरण के दौरान कोई डेटा नहीं बदला गया है") और, स्रोत की घटनाओं की अपरिहार्यता सुनिश्चित करने के लिए, उन्हें रॉ प्रारूप में संग्रहीत करें।

क्या करें? वैकल्पिक रूप से, सीईई मानक ( http://cee.mitre.org ) लागू करें। यह NIST 800-92 के साथ संघर्ष के बिना घटनाओं के मानकीकरण की अनुमति देगा।

एक साधारण कारण से सभी मानकों की तकनीकी आवश्यकताओं का वर्णन नहीं कर सकते हैं: स्रोतों से घटनाओं में आवश्यकताओं के मूल्यों को प्रसारित नहीं किया जाता है। तदनुसार, CRM एजेंट में अतिरिक्त स्कैनर कार्यक्षमता के बिना इन मूल्यों को प्राप्त नहीं होगा। हालांकि, अब प्रवृत्ति एजेंट रहित प्रौद्योगिकियों का उपयोग है। सब कुछ होने के बावजूद, कोलम्बिया के साथ, आप वास्तविक समय में आवश्यकताओं की अधिकांश स्थिति को ट्रैक कर सकते हैं। बग्स को ठीक करने के लिए केवल CRM डेवलपर्स को एक कदम उठाने की आवश्यकता है।

मुझे उम्मीद है कि इस लेख में मैं सिएम सिस्टम में मानकों के अनुपालन की जांच के मिथक को दूर करने में कामयाब रहा, साथ ही साथ मानक अनुपालन, नीति अनुपालन, नियामक अनुपालन की अवधारणाओं का एक विचार देता हूं।

नए प्रकाशनों में मिलते हैं! हम आपके प्रश्नों और टिप्पणियों के लिए तत्पर हैं।

Olesya Shelestova, सकारात्मक अनुसंधान केंद्र द्वारा पोस्ट किया गया।