Построение центра мониторинга и управления безопасностью Cisco. Архитектура, процессы и результаты

Официальный документ Несмотря на это, организации хотят избежать потери и порчи своих данных, в том числе и важных объектов интеллектуальной собственности. Они хотят защищать критически важные ресурсы. Они хотят «оставаться на связи»… поддерживать работоспособность важных сервисов... защищать деловые операции от убытков и задержек... и обеспечивать угрозу реализацию всех этих задач. обслуживание клиентов. Существенное нарушение безопасности сети может поставить под Благодаря Cisco SOC, вы сможете в полном объеме удовлетворить потребности ваших клиентов в сфере обеспечения безопасности и внедрить архитектуры и процессы, которые защитят их организации.

Одним словом, при активном участии клиентов вводятся программы, процедуры и инструменты обеспечения безопасности и применяются профессиональные навыки ваших специалистов, которые необходимы сегодня для надлежащего контроля за состоянием сетей. Общие задачи и функции Cisco SOC Для обеспечения защиты такого уровня центр SOC должен обеспечить решение следующих задач: ● Управление следующими объектами и мониторинг их состояния в режиме реального времени:

виртуальные частные сети, межсетевые экраны, системы обнаружения и предотвращения вторжений, системы отражения DDoS-атак, решения для борьбы с вирусами, шпионскими программами и другим вредоносным кодом, обновления программного обеспечения, персональные и портативные компьютеры, серверы и другие продукты, имеющие отношение к сфере безопасности. ● Анализ данных журнала безопасности, сведений об уязвимостях, информации о ● Немедленное принятие ответных мер при возникновении потенциальных угроз ресурсах и сигналов тревоги. нарушения безопасности и быстрое разрешение проблемных ситуаций в сфере безопасности. ● Мониторинг состояния безопасности ваших клиентов в режиме реального времени.

● Защита клиентов от возникающих сетевых атак. ● Защита инвестиций организаций в технологии обеспечения информационной безопасности. Для успешного решения этих задач центру SOC необходимо выполнять мониторинг сетей клиентов, отслеживая возникающие угрозы безопасности. Эта функция, так называемый «мониторинг безопасности для оценки риска», подразумевает выполнение следующих действий: ● Получение подробного обзора состояния сети путем сбора данных, в частности, результатов опроса по протоколу SNMP, сообщений SNMP-trap, syslog-сообщений и данных NetFlow.

● Применение приемов и инструментов интеллектуального анализа и корреляции для выявления инцидентов в сфере безопасности на базе собранной информации. ● Тщательный мониторинг возникающих угроз и единые правила реакции на эти угрозы в сети коллективного пользования наряду с применением индивидуальной политики безопасности для каждого клиента. ● Применение сложной методики анализа трафика для обнаружения аномалий, © Cisco Systems, Inc, 1992–2006 г.г. С сохранением всех прав. Данный документ является информацией, распространяемой компанией Cisco. Стр. 2 из 12

Стр. 2

Официальный документ потенциально связанных с инцидентами в сфере безопасности. ● Привлечение экспертов по безопасности для анализа и помощи в разрешении инцидентов в сфере безопасности. ● Непрерывный мониторинг уязвимостей и нарушений в сфере безопасности; осуществление таких мероприятий на самом раннем этапе, выявление инцидентов в того момента, как будет нанесен реальный ущерб.

сфере информационной безопасности в самом начале, позволяет устранить угрозу до ● Периодическое сканирование вашей сети и сетей ваших клиентов для проверки соответствия мер обеспечения информационной безопасности принятым политикам ● Мониторинг вашей сети для отслеживания сигналов тревоги, контроль и тестирование безопасности и условиям договоров об уровне обслуживания (SLA). элементов сети. ● Удаленное обслуживание, конфигурирование и резервное копирование файлов для ● Модернизация устройств обеспечения безопасности с применением оперативного восстановления работоспособности сервисов.

протестированного программного обеспечения, которое содержит исправления, устраняющие уязвимости, текущие обновления и новые функции. ● Сбор данных об использовании ресурсов клиентами для биллинга. ● Помощь в генерировании отчетов о соблюдении нормативных требований для аудиторов с использованием обширного хранилища собранных данных. Преимущества Cisco SOC Задачи и функции, решаемые центром Cisco SOC, обеспечивают целый ряд преимуществ: Эффективная реакция на инциденты в сфере информационной безопасности При использовании Cisco SOC осуществляется переход от реактивного подхода к профилактическим мерам.

Вместо акцента на ответных мерах, реализуемых при угрозе безопасности, вводится продуманный процесс, который предоставляет возможность быстро и эффективно перейти к обнаружению, локализации и уничтожению угрозы. Помимо этого, достигается возможность ориентировать экспертов по безопасности на разработку сетевых стратегий, а не на поиск применимых решений каждый раз, когда будет возникать новая угроза. В дополнение к этому, появляется возможность предлагать защиту от злоумышленников, которые атакуют сети или web-сайты ваших клиентов.

Снижение риска для ваших клиентов С помощью Cisco SOC можно свести к минимуму перерывы в работе сети, связанные с глобальными угрозами, вы можете более эффективно защищать трафик ваших клиентов от событиями в сфере информационной безопасности. «Шагая в ногу» с эволюционирующими потерь и манипулирования данными и устанавливить более эффективный контроль над вашими сервисами обеспечения безопасности. Что вызвало всплеск трафика электронной почты клиента? Этот всплеск аномален, но не Усовершенствование ответных мер для обеспечения безопасности криминален? Или это предвестник разрушительной сетевой атаки?

Используя Cisco SOC, вы получаете на вооружение алгоритм привлечения различных функциональных анализа потенциальных причин возникновения аномалий трафика и соответствующей подразделений для анализа подобных случаев. Это алгоритм систематизированного © Cisco Systems, Inc, 1992–2006 г.г. С сохранением всех прав. Данный документ является информацией, распространяемой компанией Cisco. Стр. 3 из 12

Стр. 3

Официальный документ передачи инцидента на следующий уровень анализа. Действуя быстро, вы устраняете сокращает возможные перерывы в работе критически важных сервисов и в бизнес- инциденты в сфере безопасности за считанные минуты, а не часы или дни, что значительно процессах. Повышение эффективности работы получат возможность быстро выявлять угрозы и применять средства их устранения в зонах Определив правила и введя политику безопасности, специалисты вашего центра SOC риска еще до того, как на них обрушатся сетевые атаки.

В дополнение к этому, за счет выделения угроз безопасности из колоссального объема данных, которые поступают в центр SOC, можно снизить коэффициент «сигнал-шум», при больших значения которого способность принимать ответные меры существенно ухудшается. такая эффективность работы, которая была бы невозможна при изолированной работе этих Более того, при совместной работе SOC с центром управления сетью (NOC) достигается двух составляющих.

Совместная работа двух центров предоставляет вашим экспертам в области функционирования сетей и в сфере безопасности возможность более четко контролировать ситуацию, обмениваться доступными инструментами, интегрировать процедуры принятия ответных мер для обеспечения безопасности и действовать более сплоченно. Сокращение затрат Поскольку Cisco SOC в значительной мере опирается на технологии, инструменты и процедуры обеспечения безопасности, обеспечивающие «первый уровень защиты», можно эффективно использовать всегда недостаточные ресурсы обеспечения безопасности без сконцентрировать внимание на угрозах, не обнаруживаемых автоматически в рамках ущерба для качества результатов работы SOC.

Давая таким специалистам возможность контроля выполнения политики безопасности, вы оптимальным образом используете их и технологии, которые станут весомым подспорьем в работе, выполняемой, как правило, профессиональные навыки. Другими словами, Cisco SOC позволяет опереться на процессы специалистами по безопасности. Это поможет вам обслуживать большее количество клиентов, не раздувая штат организации. Помощь клиентам в соблюдении нормативных требований Во многих случаях клиенты должны соблюдать требования нормативных документов и политик, регламентирующих использование, защиту и конфиденциальность информации.

Клиенты могут использовать отчеты, генерируемые центром SOC, для помощи в соблюдении таких требований и правил, включая Закон Сайрбенса-Оксли (SOX), Закон о прибылях и отчетности в сфере здравоохранения (HIPAA) и требования к безопасному хранению данных, которые действуют в сфере обращения платежных карт (PCIDSS). Вопросы, на которые следует ответить перед внедрением Cisco SOC Возможно, ваше предприятие до сегодняшнего дня достаточно хорошо работало и без SOC. Зачем вкладывать в него деньги сейчас? Ответ прост:

скорость распространения современных Интернет-червей и и потенциальный ущерб, который могут причинить атаки в масштабе всей сети Интернет, делают SOC необходимым атрибутом, а не предметом обеспечить адекватную защиту своих клиентов и своего предприятия. роскоши. Короче говоря, нельзя позволить отказаться от его создания, если необходимо © Cisco Systems, Inc, 1992–2006 г.г. С сохранением всех прав. Данный документ является информацией, распространяемой компанией Cisco. Стр. 4 из 12

Стр. 4

Официальный документ Перед тем как приступить к настройке SOC необходимо ответить на следующие вопросы: ● Как можно защитить критически важные ресурсы и операции наших клиентов перед лицом постоянно меняющихся угроз? ● Как гарантируется конфиденциальность информации для наших сотрудников, партнеров, поставщиков и клиентов? ● Как разрабатывается политика безопасности и как она реализуется? ● Как управляются колоссальные объемы данных, которые поступают в результате работы технологий мониторинга безопасности, технологий, которые сами по себе создают сложные задачи эксплуатационной поддержки? ● Как поддерживаются подотчетность и регламентация целевых задач на корпоративном уровне?

Ответив на эти вопросы, выполните действия, описанные в следующем разделе. Архитектура Cisco SOC В этом разделе описывается построение архитектуры Cisco SOC, и рассмотрены шесть стадий принятия ответных мер при возникновении инцидентов. Выполнив эти действия и пройдя эти стадии, вы разработаете важнейшие процедуры для идентификации, разрешения и нейтрализации инцидентов в сфере информационной безопасности. Построение своей архитектуры центра Cisco SOC Архитектура Cisco SOC предписывает, какую информацию о безопасности следует собирать, и определяет правила анализа, обработки и распространения этой информации.

Выполните нижеописанные действия для построения надлежащей архитектуры Cisco SOC в вашей фирме. Соответствующие этапы перечислены на стрелках в верхней части рисунка 1. Рисунок 1. Архитектура Cisco SOC 1. Определите, для каких бизнес-активов необходимы мониторинг и защита. В некоторых случаях ваши клиенты знают, защита каких маршрутизаторов, коммутаторов, серверов, компьютеров, баз данных и других бизнес-активов им необходима. В других © Cisco Systems, Inc, 1992–2006 г.г. С сохранением всех прав. Данный документ является информацией, распространяемой компанией Cisco. Стр.

5 из 12 Бизнес- Сбор Анализ и сА он ба ыл ти из й Заключение Передача активы безд оа пн ан сы нх о со ти корреляция безв о пс аф се нр ое сти экспертов информации Технологии Cisco и возможности расширения услуг Расширяемые механизмы аутсорсинговых услуг Технологии партнеров и возможности расширения услуг Политика безопасности Общий контроль Управление рисками Соответствие Защита Согласование SLA требованиям нормативных Оценка документов Контроль Средства телеметрии безопасности Обнару- Установка базовых для показателей нейтрализации жение функционирования сети и определение рисков нормального Контроль выполнения Отчет поведения SLA на Б Ии змлл ени ен нг ие структуры портале Нейтрали- Н Ое бй ет ср па ел чи енза иц еия рисков сети зация соответствия SLA Участие экспертов Средства Установка показател функцион сети и опр нормальн поведения телеметрии базовых ей ирования еделение ого

Стр. 5