Методика и технологии защиты данных

Общая

результа-тивность 

Стои-мость приоб-рете-

ния

Стои-мость реше-

ния

Результат - выявление/ предотв.

вторжения

Эффек-тивное дей-ствие на этапе испол-нения кода (1)

• Патчинг приложений:
  • PDF viewers,
  • Flash Player,
  • Майкрософт Office
  • Java.
• Для критических уязвимостей установка  патчей на протяжении недели.
• Использование последних версий приложений.

• Патчинг/апдэйт  операционной системы.
• Установка патчей на протяжении недели для критических уязвимостей.
• Использование последних версий операционной системы.

•  Минимизация количества пользователей с административными правами.
• Некоторым пользователям с административными правами требуется вести работу под отдельными непривилегиро-ванными учетными записями для исполнения текущих обязанностей, не требующих административных прав (просмотр электронной почты или веб-страниц). 

• White-лист приложений, доступных для запуска (с использованием: MS Software Restriction Policies или APPLOCKER).

предотв.

/обнар.

• Использование IDS/IPS систем для выявления аномального поведения вредоносного ПО

предотв.

/обнар.

• Фильтрация содержимого эл.почты.
• Предпочтительно контролировать вложения PDF и Майкрософт Office.

• Блокирование подложных электронных писем используя проверку Sender Policy Framework (SPF) входящих электрон-ных писем и 'hard fail' SPF, чтобы помочь предотвращать спуфинг домена организации.

• Увеличение осведомленности пользователей
  • о интернет-угрозах, фишинге,
  • обществен-ной инженерии,
  • выборе паролей, распростра-нения адресов электронной почты,
  • подключения несанкциони-рованных USB устройств и т.п. 

высокая

предотв.

/обнар.

• Фильтрация входящего и исходящего веб-трафика с использованием white-листа  разрешенных адресов и типов файлов.

• Применение white-листа разрешенных web-доменных имен, так как подобный подход безопаснее, чем подобный black-лист.

• Применение white-лист web-доменных имен для HTTPS / SSL, так как подобный подход безопаснее, чем подобный black-лист.

• Проверка рабочих станций на предмет соответствия файлов формата MSOffice на аномалии (к примеру, применение MS Office File Validation).

• Программные файерволы на рабочих станциях, для блокирования трафика изначально, защиты от вредоносного ПО или несанкциони- рованного входящего сетевого трафика.

• Программные файерволы на рабочих станциях, для блокирования трафика изначально, за исключением исходящего трафика приложений из white-листа.

предотв.

/обнар.

• Сегментация сети и разделение на зоны безопасности для защиты чувствительной информации и критически важных услуг ( аутентификация пользователей и информация о каталогах пользователей).

• Многофакторная аутентификация при доступе к особо доверенной информации.

• Разделение паролей администраторов между несколькими сотрудниками. 

• Применение доменных администраторов, вместо локальных. 

• Политики эксплуатации паролей - трудность, длина, запрет повторного эксплуатации и эксплуатации словарных слов.

• Пограничный шлюз с использованием IPV6-совместимого файервола, для предотвращения компьютеров на прямую к Интернет, за исключением ДНС- сервера, почтового сервера, прокси-сервера веб-аутентификации.

предотв.

/обнар.

• предотвращение исполнения данных с использованием аппаратных и программных механизмов для всех приложений, которые поддерживают DEP.

• Антивирусное ПО с актуальными сигнатурами, репутациями и другими возможности эвристического обнаружения вредоносного ПО.  

• Применение антивирусных программ отразличных поставщиков для настольных и серверных (шлюзовых) станций. 

предотв.

/обнар.

• Виртуальная доверенная среда выполнения с ограниченным доступом к общим файлам сети для рискованных операций (чтение электронной почты и просмотр веб-страниц).

• Синхронизированное и централизованное по времени журналирование разрешенных и запрещенных действий в сети 

• регулярный разбор журналов.

• Хранение журналов не менее 1,5 лет. 

• Синхронизиро-ванное и централи-зованное по времени журналирование событий на рабочих станциях
• регулярный разбор журналов.
• Хранение журналов не менее 1,5 лет.

• Среда выполнения с отключением неиспользуемых функций операционной системы: IPV6, автозапуск, RDP, редактирование реестра и т.п.

• Настройка безопасности приложений на рабочих станциях:
• отключение необязательных функций PDF-viewers,приложений MS Office веб-браузеров 

• Отключение службы NETBIOS на рабочих станциях и на серверах, где это допустимо.

• Настройка безопасности серверных приложений (баз данных, веб-приложений и т.п.)

• Контроль съемных и устройств в рамках предотвращения утраты конфидециальных данных ( white- листы USB-устройств, шифрование и т.п.)

• TLS шифрование соединений между серверами электронной почты, для предотвращения перехвата писем и общественной инженерии. 

• Сканирование содержимого электронной почты прежде расшифровывания трафика.

• Выключение поддержки LANMAN при хранении паролей и кэшированных учетных данных на рабочих станциях и серверах, чтобы усложнить для нарушителя взлом хэшей паролей.

• Блокирование попыток  доступа к сайту по его АЙПИ-адресу вместо эксплуатации доменного имени.

предотв.

/обнар.

• Сетевые IDS/IPS c используемыми сигнатурами и эвристикой для выявления аномального трафика как внутри, так и при пересечении границы DMZ.

предотв.

/обнар.

• Black-лист на шлюзе, для блокировки доступа к известным вредоносным доменам и АЙПИ-адресам

предотв.

/обнар.

• Захват в сетевого трафика для анализа успешных вторжений(после происшествия), хранения сетевого трафика (min -  неделя)

наиме-

ньшая