Przejdź do głównej zawartości

8.16 Monitorowanie działań ★

W skrócie: organizacja obserwuje sieci, systemy i aplikacje, zna ich normalne zachowanie i reaguje na odstępstwa, które mogą oznaczać incydent.

Cel: wykrywanie nietypowego zachowania i potencjalnych incydentów bezpieczeństwa informacji.

★ Zabezpieczenie nowe w wydaniu 2022 — nie ma odpowiednika w ISO/IEC 27002:2013.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Detective (wykrywające), #Corrective (korygujące)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Detect (wykrywanie), #Respond (reagowanie)
Zdolności operacyjne#Information_security_event_management (zarządzanie zdarzeniami bezpieczeństwa informacji)
Domeny bezpieczeństwa#Defence (obrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Zakres i poziom monitorowania określa się według wymagań biznesowych i bezpieczeństwa, z uwzględnieniem przepisów. Zapisy z monitorowania przechowuje się przez ustalony czas.
  • Monitoruje się m.in.: ruch sieciowy wychodzący i przychodzący, dostęp do systemów, serwerów, urządzeń sieciowych i aplikacji, krytyczne pliki konfiguracyjne, logi z narzędzi bezpieczeństwa, logi zdarzeń systemowych, kod wykonywany w systemie, wykorzystanie zasobów.
  • Organizacja ustala wzorzec normalnego zachowania i monitoruje odchylenia od niego. Uwzględnia przy tym wykorzystanie systemów w zwykłych i szczytowych okresach, typowe godziny dostępu, lokalizacje, częstotliwość.
  • Przykłady nietypowego zachowania: nieplanowane zakończenie procesów, aktywność typowa dla malware lub ruchu ze znanych złośliwych adresów (np. serwerów C2), znane cechy ataków (DoS, przepełnienia bufora), nietypowe zachowanie systemu, nietypowy dostęp i skanowanie, nieautoryzowany dostęp.
  • Monitorowanie wspierają narzędzia działające w czasie zbliżonym do rzeczywistego lub okresowo, z alertami na podstawie progów. Narzędzia powinny być w stanie obsłużyć ilość danych, a ich konfigurację trzeba dostrajać, by ograniczyć fałszywe alarmy.
  • Wykryte anomalie przekazuje się do oceny jako zdarzenia (5.25). Personel jest gotowy do reakcji na alerty, także poza godzinami pracy.
  • Monitorowanie ma charakter wykrywający i korygujący — jego celem jest reakcja, a nie tylko obserwacja.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • SIEM z regułami korelacji i analityką zachowań (UEBA) wspierający zespół SOC — własny lub zewnętrzny (MDR).
  • NDR lub IDS (Suricata, Zeek) do analizy ruchu sieciowego, EDR na hostach.
  • Pokrycie technik MITRE ATT&CK regułami detekcji jako miara dojrzałości monitorowania.
  • Monitorowanie pracowników w Polsce ograniczają przepisy Kodeksu pracy i RODO — zakres ustala się z prawnikiem.

Powiązania​