Рекомендуемые меры безопасности и предосторожности при защите от угроз в реальном времени
1. Ограничьте применение внешних систем и компонентов в организации, если у вас нет разрешения или возможностей проводить по ним экспертизу. (AC-20. Использование внешних систем | (3) Системы и компоненты, не принадлежащие организации.).
2. Используйте внешние датчики и SIEM, к которым трудно получить доступ, внедрите автоматизированные механизмы сбора данных в реальном времени, PCAP, системный журнал и другие средства, необходимые для криминалистического анализа. (AU-2. События аудита; AU-5. Действия в случае сбоев аудита | (2) Оповещения в реальном времени; IR-4. Обработка инцидентов | (1) Автоматизированные процессы обработки инцидентов; SA-9. Внешние системные службы | (5) Места обработки, хранения и обслуживания; SC-7. Граничная защита | (13) Изоляция инструментов, механизмов и вспомогательных компонентов.).
3. Если в качестве меры противодействия угрозам вы решите избавиться от постоянных компонентов, например, путем регулярного переоснащения или сброса всех ваших систем для уничтожения любого несанкционированного доступа, то рассмотрите возможность выполнения экспертизы перед повторным созданием образа и сохраните полученные доказательства существования угроз. (AU-11. Сохранение записей аудита | Долгосрочное восстановление; MP-6. Чистка носителей | (8) Удаленная очистка или стирание информации; SI-14. Непостоянство; SI-18. Удаление информации.).
4. Реализуйте, документируйте и применяйте в своей организации базовые конфигурации систем, чтобы аналитики легко смогли определить, какая информация могла быть изменена угрозой. (CM-2. Базовая конфигурация | (7) Настройка систем и компонентов в зонах высокого риска; SC-34. Неизменяемые исполняемые программы.).
5. Организуйте обучение и имитационные упражнения для ваших экспертов, чтобы повысить эффективность реагирования в случае нарушений безопасности в будущем. (IR-2. Обучение по реагированию на инциденты | (1) Моделируемые события.).
6. Организуйте группу экспертов-криминалистов, способную и уполномоченную выполнять сбор данных и расследования в режиме реального времени. (IR-10. Группа комплексного анализа информационной безопасности.).
7. Используйте меры предосторожности, чтобы убедиться, что в охраняемые системы и программное и аппаратное обеспечение никто не вмешивался. (SA-12. Управление рисками цепочки поставок | (10) Проверка подлинности и отсутствия изменений | (14) Идентичность и прослеживаемость.).
