Применение технологии управления информацией и событиями безопасности для защиты информации в критически важных инфраструктурах
Ключевые слова:
информационная безопасность, события безопасности, критическая инфраструктура, мониторинг безопасности, , моделирование сетевых атак, репозиторийАннотация
Применение SIEM-технологии (технологии управления информацией и событиями безопасности) является перспективным направлением в области защиты информации, особенно для критически важных инфраструктур. В статье приводятся общие положения по построению и функционированию систем, реализующих данную технологию, дается характеристика известных реализаций таких систем, а также обсуждаются особенности проекта MASSIF Седьмой рамочной программы Европейского Союза по созданию перспективных систем управления событиями и информационной безопасностью. Рассматриваются вопросы решения двух ключевых задач проекта, связанных с анализом событий безопасности на основе моделирования сетевых атак и построения репозитория.Литература
Леваков А. Информационная безопасность в США: проблемы и решения. http://freelance4.narod.ru/IS_USA.htm
Котенко И.В., Юсупов Р.М. Перспективные направления исследований в области компьютерной безопасности // Защита информации. Инсайд, № 2, 2006. С.46–57.
Котенко И.В., Воронцов В.В., Чечулин А.А., Уланов А.В. Проактивные механизмы защиты от сетевых червей: подход, реализация и результаты экспериментов // Информационные технологии, № 1, 2009. C.37–42.
Котенко И.В. Интеллектуальные механизмы управления кибербезопасностью// Управление рисками и безопасностью. Труды Института системного анализа Российской академии наук (ИСА РАН). Т.41, Москва, URSS, 2009. С.74–103.
Miller D.R., Harris Sh., Harper A.A., VanDyke S., Black Ch. Security Information and Event Management (SIEM) Implementation. McGraw–Hill Companies. 2011. 430 p.
Stevens M. Security Information and Event Management (SIEM). Presentation // TheNEbraska CERT Conference, August 9–11, 2005. http://www.certconf.org/presentations/2005/files/WC4.pdf
Nicolett M., Kavanagh K.M. Magic Quadrant for Security Information and Event Management. Gartner, 12 May 2011. 20 р.
ArcSight ESM. http://www.arcsight.com/products/products–esm/
ArcSight Express. http://www.arcsight.com/products/products–esm/arcsight–express
ArcSight Logger. http://www.arcsight.com/products/products–logger/
Shenk J. ArcSight Logger Review. A SANS Whitepaper. January 2009. http://www.arcsight.com/collateral/whitepapers/ArcSight_Combat_Cyber_Crime_ with_Logger.pdf
Common Event Format. http://www.arcsight.com/solutions/solutions–cef
RSA enVision. http://www.rsa.com/node.aspx?id=3170
QRadar SIEM. http://q1labs.com/Products/QRadar–SIEM.aspx
Tivoli Security Information and Event Manager. http://www– 142.ibm.com/software/products/ru/ru/securityinformationandeventmanager/
Buecker A., Amado J., Druker D., Lorenz C., Muehlenbrock F.,Tan R. IT Security Compliance Management Design Guide with IBM Tivoli Security Information and Event Manager. IBM Redbooks. 2010. 464 p.
Symantec Security Information Manager. http://www.symantec.com/ business/security– information–manager
Loglogic. http://loglogic.com
Novell Sentinel Log Manager 1.0.0.5. Installation Guide. March 31, 2010
Проект MASSIF «Управление информацией и событиями безопасности в инфраструктурах услуг». Проект Седьмой рамочной программы Европейского Союза. http://www.massif–project.eu/
OSSIM. http://www.alienvault.com/community
AlienVaultUser’s Manual, 2011. 225 p.
Prelude. http://www.prelude–technologies.com/
Prelude as a Hybrid IDS Framework. SANS Institute InfoSec Reading Room, 2009. 43 p.
The Intrusion Detection Message Exchange Format (IDMEF). RFC 4765. 2007
Котенко И.В., Степашкин М.В., Богданов В.С. Архитектуры и модели компонентов активного анализа защищенности на основе имитации действий злоумышленников // Проблемы информационной безопасности. Компьютерные системы. 2006, №. 2, С.7–24.
Котенко И.В., Степашкин М.В., Богданов В.С. Анализ защищенности компьютерных сетей на различных этапах их жизненного цикла // Изв. вузов. Приборостроение. Т.49, № 5, 2006, С.3–8.
Котенко И.В., Степашкин М.В. Метрики безопасности для оценки уровня защищенности компьютерных сетей на основе построения графов атак // Защита информации. Инсайд, № 3, 2006. С.36–45
Kotenko I., Stepashkin M. Analyzing network security using malefactor action graphs // International Journal of Computer Science and Network Security, Vol.6 No.6, June 2006. P.226–235
Kotenko I., Stepashkin M. Attack Graph based Evaluation of Network Security // Lecture Notes in Computer Science, Vol. 4237, 2006. P.216–227
Котенко И.В., Степашкин М.В. Оценка защищенности компьютерных сетей на основе анализа графов атак // Проблемы управления рисками и безопасностью. Труды Института системного анализа Российской академии наук (ИСА РАН). Т.31, Москва, URSS, 2007. С.126–207
Kotenko I., Stepashkin M., Doynikova E. Security Analysis of Computer–aided Systems taking into account Social Engineering Attacks // Proceedings of the 19th Euromicro International Conference on Parallel, Distributed and network–based Processing (PDP 2011). IEEE Computer Society. 2011. P.611–618
Котенко И.В, Степашкин М.В., Дойникова Е.В. Анализ защищенности автоматизированных систем с учетом социо–инженерных атак // Проблемы информационной безопасности. Компьютерные системы. 2011, № 3, С.40–57
Котенко И.В, Степашкин М.В., Котенко Д.И., Дойникова Е.В. Оценка защищенности информационных систем на основе построения деревьев социо–инженерных атак // Изв. вузов. Приборостроение, Т.54, № 12, 2011. P.5–9. ISSN 0021–3454
Leversage D., Byres E. Estimating a system’s mean time-to-compromise // IEEE Security and Privacy, Vol.6, No.1, 2008. P.52–60
Balzarotti D., Monga M., Sicari S. Assessing the risk of using vulnerable components // Quality of protection: security measurements and metrics, Advances in Information Security 23. Springer, New York, 2006. P. 65–77
Mehta V., Bartzis C., et al Ranking Attack Graphs // Lecture Notes in Computer Science, Springer–Verlag, Vol.4219, 2006. P.127–144
Ingols K., Chu M., Lippmann R., Webster S., Boyer S. Modeling modern network attacks and countermeasures using attack graphs // Proceedings of the 2009 Annual Computer Security Applications Conference (ACSAC ’09), Washington, D.C., USA, IEEE Computer Society, 2009. P.117–126
Noel S., Jajodia S., O’Berry B., Jacobs M. Efficient minimum–cost network hardening via exploit dependency graphs // Proceedings of the 19th Annual Computer Security Applications Conference (ACSAC’03), 2003. P.86–95
Wang L., Noel S., Jajodia S. Minimum–cost network hardening using attack graphs // Computer Communications, 29(18), 2006. P.3812–3824
Kheir N., Debar H., Cuppens–Boulahia N., Cuppens F., Viinikka J. Cost evaluation for intrusion response using dependency graphs // IFIP International Conference on Network and Service Security (N2S), 2009. P.1–6
Котенко И.В., Дойникова Е.В. Методы оценивания уязвимостей: использование для анализа защищенности компьютерных систем // Защита информации. Инсайд, 2011, № 4, С.74–81
Котенко И.В., Дойникова Е.В. Система оценки уязвимостей CVSS и ее использование для анализа защищенности компьютерных систем // Защита информации. Инсайд, 2011, № 5, С.54–60
Котенко И.В., Дойникова Е.В. Анализ систем оценки злоупотреблений и конфигураций (CMSS и CCSS) для унифицированного анализа защищенности компьютерных систем // Защита информации. Инсайд, 2011, № 6. С.52–60
Дойникова Е.В., Чечулин А.А., Котенко И.В., Котенко Д.И. Расширение методики оценки информационных рисков для учета атак нулевого дня // VII Санкт-Петербургская межрегиональная конференция «Информационная безопасность регионов России (ИБРР–2011). 26–28 октября 2011 г. Материалы конференции. СПб.: СПОИСУ, 2011. С.71–72
Чечулин А.А., Котенко И.В. Анализ происходящих в реальной сети событий на основе использования системы моделирования сетевых атак // VII Санкт-Петербургская межрегиональная конференция «Информационная безопасность регионов России (ИБРР–2011). 26–28 октября 2011 г. Материалы конференции. СПб.: СПОИСУ, 2011. С.97–98
Дойникова Е.В., Котенко И.В. Расширение методики оценки информационных рисков за счет использования графов зависимостей сервисов // Методы и технические средства обеспечения безопасности информации. Материалы ХX Общероссийской научно–технической конференции. 27 июня — 1 июля 2011 года. Санкт-Петербург. Издательство Политехнического университета. 2011. C.131–132
Котенко И.В., Коновалов А.М., Шоров А.В. Моделирование бот–сетей и механизмов защиты от них // Системы высокой доступности, № 2, 2011. С.107–111
Котенко И.В., Коновалов А.М., Шоров А.В. Агентно-ориентированное моделирование бот-сетей и механизмов защиты от них // Вопросы защиты информации, № 3, 2011. С.24–29
Саенко И. Б., Полубелова О.В., Котенко И.В. Разработка информационного хранилища системы управления информацией и событиями безопасности для гетерогенной инфраструктуры // Методы и технические средства обеспечения безопасности информации. Материалы ХX Общероссийской научно-технической конференции. 27 июня — 1 июля 2011 года. Санкт-Петербург. Издательство Политехнического университета. 2011. C.41–42
Котенко И.В., Саенко И. Б., Полубелова О.В., Чечулин А.А. Методы и средства построения репозитория системы управления информацией и событиями безопасности в критической информационной инфраструктуре // VII Санкт-Петербургская межрегиональная конференция «Информационная безопасность регионов России (ИБРР–2011). 26–28 октября 2011 г. Материалы конференции. СПб.: СПОИСУ, 2011. С.79–80
Common Event Expression. White Paper. The MITRE Corporation. June 2008. 30 p.
Ogle D., Kreger H., Salahshour A., Cornpropst J., Labadie E., Chessell M., Horn B., Gerken J., Schoech J., Wamboldt M. Canonical Situation Data Format: The Common Base Event V1.0.1. International Business Machines Corporation, 2004. 73 p. Base Event V1.0.1. International Business Machines Corporation, 2004. 73 p. 54. Open Group, the Distributed Audit Services
Open Group, the Distributed Audit Services. http://www.opengroup.org/projects/security/xdas
Common Information Model (CIM) Standards, DMTF. http://dmtf.org/standards/cim
OWL 2 Web Ontology Language Document Overview. W3C Recommendation 27 October 2009. http://www.w3.org/TR/owl2-overview/
SWRL: A Semantic Web Rule Language Combining OWL and RuleML. W3C Member Submission 21 May 2004. http://www.w3.org/Submission/SWRL/
SPARQL Query Language for RDF. W3C Recommendation, 15 January 2008. http://www.w3.org/TR/rdf–sparql–query
Kowalski R.A., Sergot M.J. A logic-based calculus of events. New Generation Computing, V.4, 1986. P.67–95
ON–THE–FLY, LTL MODEL CHECKING with SPIN. http://spinroot.com/spin/whatispin.html
Holzmann G.J. The Spin Model Checker // IEEE Transactions on Software Engineering, Vol. 23, No. 5, 1997. P.573–576
BaseX. http://basex.org
XIndice. http://xml.apache.org/xindice
4store. http://4store.org/
Berlin SPARQL Benchmark. http://www4.wiwiss.fuberlin.de/ bizer/ BerlinSPARQLBenchmark/ results/V6/index.html
BigOWLIM. http://www.ontotext.com/owlim/big/
TDB. http://incubator.apache.org/jena/documentation/tdb/index.html
Virtuoso. http://virtuoso.openlinksw.com
Котенко И.В., Юсупов Р.М. Перспективные направления исследований в области компьютерной безопасности // Защита информации. Инсайд, № 2, 2006. С.46–57.
Котенко И.В., Воронцов В.В., Чечулин А.А., Уланов А.В. Проактивные механизмы защиты от сетевых червей: подход, реализация и результаты экспериментов // Информационные технологии, № 1, 2009. C.37–42.
Котенко И.В. Интеллектуальные механизмы управления кибербезопасностью// Управление рисками и безопасностью. Труды Института системного анализа Российской академии наук (ИСА РАН). Т.41, Москва, URSS, 2009. С.74–103.
Miller D.R., Harris Sh., Harper A.A., VanDyke S., Black Ch. Security Information and Event Management (SIEM) Implementation. McGraw–Hill Companies. 2011. 430 p.
Stevens M. Security Information and Event Management (SIEM). Presentation // TheNEbraska CERT Conference, August 9–11, 2005. http://www.certconf.org/presentations/2005/files/WC4.pdf
Nicolett M., Kavanagh K.M. Magic Quadrant for Security Information and Event Management. Gartner, 12 May 2011. 20 р.
ArcSight ESM. http://www.arcsight.com/products/products–esm/
ArcSight Express. http://www.arcsight.com/products/products–esm/arcsight–express
ArcSight Logger. http://www.arcsight.com/products/products–logger/
Shenk J. ArcSight Logger Review. A SANS Whitepaper. January 2009. http://www.arcsight.com/collateral/whitepapers/ArcSight_Combat_Cyber_Crime_ with_Logger.pdf
Common Event Format. http://www.arcsight.com/solutions/solutions–cef
RSA enVision. http://www.rsa.com/node.aspx?id=3170
QRadar SIEM. http://q1labs.com/Products/QRadar–SIEM.aspx
Tivoli Security Information and Event Manager. http://www– 142.ibm.com/software/products/ru/ru/securityinformationandeventmanager/
Buecker A., Amado J., Druker D., Lorenz C., Muehlenbrock F.,Tan R. IT Security Compliance Management Design Guide with IBM Tivoli Security Information and Event Manager. IBM Redbooks. 2010. 464 p.
Symantec Security Information Manager. http://www.symantec.com/ business/security– information–manager
Loglogic. http://loglogic.com
Novell Sentinel Log Manager 1.0.0.5. Installation Guide. March 31, 2010
Проект MASSIF «Управление информацией и событиями безопасности в инфраструктурах услуг». Проект Седьмой рамочной программы Европейского Союза. http://www.massif–project.eu/
OSSIM. http://www.alienvault.com/community
AlienVaultUser’s Manual, 2011. 225 p.
Prelude. http://www.prelude–technologies.com/
Prelude as a Hybrid IDS Framework. SANS Institute InfoSec Reading Room, 2009. 43 p.
The Intrusion Detection Message Exchange Format (IDMEF). RFC 4765. 2007
Котенко И.В., Степашкин М.В., Богданов В.С. Архитектуры и модели компонентов активного анализа защищенности на основе имитации действий злоумышленников // Проблемы информационной безопасности. Компьютерные системы. 2006, №. 2, С.7–24.
Котенко И.В., Степашкин М.В., Богданов В.С. Анализ защищенности компьютерных сетей на различных этапах их жизненного цикла // Изв. вузов. Приборостроение. Т.49, № 5, 2006, С.3–8.
Котенко И.В., Степашкин М.В. Метрики безопасности для оценки уровня защищенности компьютерных сетей на основе построения графов атак // Защита информации. Инсайд, № 3, 2006. С.36–45
Kotenko I., Stepashkin M. Analyzing network security using malefactor action graphs // International Journal of Computer Science and Network Security, Vol.6 No.6, June 2006. P.226–235
Kotenko I., Stepashkin M. Attack Graph based Evaluation of Network Security // Lecture Notes in Computer Science, Vol. 4237, 2006. P.216–227
Котенко И.В., Степашкин М.В. Оценка защищенности компьютерных сетей на основе анализа графов атак // Проблемы управления рисками и безопасностью. Труды Института системного анализа Российской академии наук (ИСА РАН). Т.31, Москва, URSS, 2007. С.126–207
Kotenko I., Stepashkin M., Doynikova E. Security Analysis of Computer–aided Systems taking into account Social Engineering Attacks // Proceedings of the 19th Euromicro International Conference on Parallel, Distributed and network–based Processing (PDP 2011). IEEE Computer Society. 2011. P.611–618
Котенко И.В, Степашкин М.В., Дойникова Е.В. Анализ защищенности автоматизированных систем с учетом социо–инженерных атак // Проблемы информационной безопасности. Компьютерные системы. 2011, № 3, С.40–57
Котенко И.В, Степашкин М.В., Котенко Д.И., Дойникова Е.В. Оценка защищенности информационных систем на основе построения деревьев социо–инженерных атак // Изв. вузов. Приборостроение, Т.54, № 12, 2011. P.5–9. ISSN 0021–3454
Leversage D., Byres E. Estimating a system’s mean time-to-compromise // IEEE Security and Privacy, Vol.6, No.1, 2008. P.52–60
Balzarotti D., Monga M., Sicari S. Assessing the risk of using vulnerable components // Quality of protection: security measurements and metrics, Advances in Information Security 23. Springer, New York, 2006. P. 65–77
Mehta V., Bartzis C., et al Ranking Attack Graphs // Lecture Notes in Computer Science, Springer–Verlag, Vol.4219, 2006. P.127–144
Ingols K., Chu M., Lippmann R., Webster S., Boyer S. Modeling modern network attacks and countermeasures using attack graphs // Proceedings of the 2009 Annual Computer Security Applications Conference (ACSAC ’09), Washington, D.C., USA, IEEE Computer Society, 2009. P.117–126
Noel S., Jajodia S., O’Berry B., Jacobs M. Efficient minimum–cost network hardening via exploit dependency graphs // Proceedings of the 19th Annual Computer Security Applications Conference (ACSAC’03), 2003. P.86–95
Wang L., Noel S., Jajodia S. Minimum–cost network hardening using attack graphs // Computer Communications, 29(18), 2006. P.3812–3824
Kheir N., Debar H., Cuppens–Boulahia N., Cuppens F., Viinikka J. Cost evaluation for intrusion response using dependency graphs // IFIP International Conference on Network and Service Security (N2S), 2009. P.1–6
Котенко И.В., Дойникова Е.В. Методы оценивания уязвимостей: использование для анализа защищенности компьютерных систем // Защита информации. Инсайд, 2011, № 4, С.74–81
Котенко И.В., Дойникова Е.В. Система оценки уязвимостей CVSS и ее использование для анализа защищенности компьютерных систем // Защита информации. Инсайд, 2011, № 5, С.54–60
Котенко И.В., Дойникова Е.В. Анализ систем оценки злоупотреблений и конфигураций (CMSS и CCSS) для унифицированного анализа защищенности компьютерных систем // Защита информации. Инсайд, 2011, № 6. С.52–60
Дойникова Е.В., Чечулин А.А., Котенко И.В., Котенко Д.И. Расширение методики оценки информационных рисков для учета атак нулевого дня // VII Санкт-Петербургская межрегиональная конференция «Информационная безопасность регионов России (ИБРР–2011). 26–28 октября 2011 г. Материалы конференции. СПб.: СПОИСУ, 2011. С.71–72
Чечулин А.А., Котенко И.В. Анализ происходящих в реальной сети событий на основе использования системы моделирования сетевых атак // VII Санкт-Петербургская межрегиональная конференция «Информационная безопасность регионов России (ИБРР–2011). 26–28 октября 2011 г. Материалы конференции. СПб.: СПОИСУ, 2011. С.97–98
Дойникова Е.В., Котенко И.В. Расширение методики оценки информационных рисков за счет использования графов зависимостей сервисов // Методы и технические средства обеспечения безопасности информации. Материалы ХX Общероссийской научно–технической конференции. 27 июня — 1 июля 2011 года. Санкт-Петербург. Издательство Политехнического университета. 2011. C.131–132
Котенко И.В., Коновалов А.М., Шоров А.В. Моделирование бот–сетей и механизмов защиты от них // Системы высокой доступности, № 2, 2011. С.107–111
Котенко И.В., Коновалов А.М., Шоров А.В. Агентно-ориентированное моделирование бот-сетей и механизмов защиты от них // Вопросы защиты информации, № 3, 2011. С.24–29
Саенко И. Б., Полубелова О.В., Котенко И.В. Разработка информационного хранилища системы управления информацией и событиями безопасности для гетерогенной инфраструктуры // Методы и технические средства обеспечения безопасности информации. Материалы ХX Общероссийской научно-технической конференции. 27 июня — 1 июля 2011 года. Санкт-Петербург. Издательство Политехнического университета. 2011. C.41–42
Котенко И.В., Саенко И. Б., Полубелова О.В., Чечулин А.А. Методы и средства построения репозитория системы управления информацией и событиями безопасности в критической информационной инфраструктуре // VII Санкт-Петербургская межрегиональная конференция «Информационная безопасность регионов России (ИБРР–2011). 26–28 октября 2011 г. Материалы конференции. СПб.: СПОИСУ, 2011. С.79–80
Common Event Expression. White Paper. The MITRE Corporation. June 2008. 30 p.
Ogle D., Kreger H., Salahshour A., Cornpropst J., Labadie E., Chessell M., Horn B., Gerken J., Schoech J., Wamboldt M. Canonical Situation Data Format: The Common Base Event V1.0.1. International Business Machines Corporation, 2004. 73 p. Base Event V1.0.1. International Business Machines Corporation, 2004. 73 p. 54. Open Group, the Distributed Audit Services
Open Group, the Distributed Audit Services. http://www.opengroup.org/projects/security/xdas
Common Information Model (CIM) Standards, DMTF. http://dmtf.org/standards/cim
OWL 2 Web Ontology Language Document Overview. W3C Recommendation 27 October 2009. http://www.w3.org/TR/owl2-overview/
SWRL: A Semantic Web Rule Language Combining OWL and RuleML. W3C Member Submission 21 May 2004. http://www.w3.org/Submission/SWRL/
SPARQL Query Language for RDF. W3C Recommendation, 15 January 2008. http://www.w3.org/TR/rdf–sparql–query
Kowalski R.A., Sergot M.J. A logic-based calculus of events. New Generation Computing, V.4, 1986. P.67–95
ON–THE–FLY, LTL MODEL CHECKING with SPIN. http://spinroot.com/spin/whatispin.html
Holzmann G.J. The Spin Model Checker // IEEE Transactions on Software Engineering, Vol. 23, No. 5, 1997. P.573–576
BaseX. http://basex.org
XIndice. http://xml.apache.org/xindice
4store. http://4store.org/
Berlin SPARQL Benchmark. http://www4.wiwiss.fuberlin.de/ bizer/ BerlinSPARQLBenchmark/ results/V6/index.html
BigOWLIM. http://www.ontotext.com/owlim/big/
TDB. http://incubator.apache.org/jena/documentation/tdb/index.html
Virtuoso. http://virtuoso.openlinksw.com
Опубликован
2012-03-01
Как цитировать
Котенко, И. В., Саенко, И. Б., Полубелова, О. В., & Чечулин, А. А. (2012). Применение технологии управления информацией и событиями безопасности для защиты информации в критически важных инфраструктурах. Труды СПИИРАН, 1(20), 27-56. https://doi.org/10.15622/sp.20.2
Раздел
Статьи
Авторы, которые публикуются в данном журнале, соглашаются со следующими условиями:
Авторы сохраняют за собой авторские права на работу и передают журналу право первой публикации вместе с работой, одновременно лицензируя ее на условиях Creative Commons Attribution License, которая позволяет другим распространять данную работу с обязательным указанием авторства данной работы и ссылкой на оригинальную публикацию в этом журнале.
Авторы сохраняют право заключать отдельные, дополнительные контрактные соглашения на неэксклюзивное распространение версии работы, опубликованной этим журналом (например, разместить ее в университетском хранилище или опубликовать ее в книге), со ссылкой на оригинальную публикацию в этом журнале.
Авторам разрешается размещать их работу в сети Интернет (например, в университетском хранилище или на их персональном веб-сайте) до и во время процесса рассмотрения ее данным журналом, так как это может привести к продуктивному обсуждению, а также к большему количеству ссылок на данную опубликованную работу (Смотри The Effect of Open Access).
