и аудит
Основные понятия
Под протоколированием
понимается сбор и накопление информации о событиях, происходящих в
информационной системе. У каждого сервиса свой набор возможных событий,
но в любом случае их можно разделить на внешние (вызванные действиями других
сервисов), внутренние (вызванные действиями самого сервиса) и клиентские
(вызванные действиями пользователей и администраторов).
Аудит - это анализ
накопленной информации, проводимый оперативно, в реальном времени или
периодически (например, раз в день). Оперативный аудит с автоматическим
реагированием на выявленные нештатные ситуации называется активным.
Реализация протоколирования и
аудита решает следующие задачи:
·
обеспечение подотчетности пользователей и администраторов;
·
обеспечение возможности реконструкции последовательности событий;
·
обнаружение попыток нарушений информационной безопасности;
·
предоставление информации для выявления и анализа проблем.
Протоколирование требует для своей
реализации здравого смысла. Какие события регистрировать? С какой степенью детализации?
На подобные вопросы невозможно дать универсальные ответы. Необходимо следить за
тем, чтобы, с одной стороны, достигались перечисленные выше цели, а, с другой,
расход ресурсов оставался в пределах допустимого. Слишком обширное или
подробное протоколирование не только снижает производительность сервисов (что
отрицательно сказывается на доступности), но и затрудняет аудит, то есть
не увеличивает, а уменьшает информационную безопасность.
Разумный подход к упомянутым
вопросам применительно к операционным системам предлагается в "Оранжевой
книге",
Главная / безопасность пк / методы защиты информации 