Сравнительный анализ и выбор средств оповещения об инцидентах информационной безопасности

Итак, мы рассмотрели основные преимущества, предложенных для анализа DLP-систем. Перейдём к рассмотрению самого анализа на основе метода иерархий.

3. Практический расчёт DLP-систем методом анализа иерархий

Основное действие, которое необходимо сделать для начала расчёта -- определить критерии, а также альтернативы, согласно которым будет производиться сравнение. Затем для каждой альтернативы и критерия необходимо заполнить таблицу наподобие примера, представленного в таблице 3.1

информационный авторизация инцидент

Таблица 3.1. Матрица критериев или альтернатив

	Матрица	Вычисление оценок компонент собственного вектора по строкам		Нормализация для получения оценок вектора приоритетов
N	A1	A2	A3	A4
A1	W1 W1	W1 W2	W1 W3	W1 W4		Теперь сложите элементы столбца и нормализуйте
A2	W2 W1	W2 W2	W2 W3	W2 W4
A3	W3 W1	W3 W2	W3 W3	W3 W4
A4	W4 W1	W4 W2	W4 W3	W4 W4
					Сумма (a:d)

Для того чтобы заполнить данную таблицу нам необходимо распределить значения интенсивности относительной важности для каждой альтернативы и критерия. Значения выбираются согласно табл. 3.2

Таблица. 3.2. Выборка интенсивности относительной важности

Интенсивность относительной важности	Определение	Объяснение
1	Равная важность	Равный вклад двух видов дея-тельности в цель
3	Умеренное превосходство одного над другим	Опыт и суждения дают легкое превосходство одному виду деятельности над другим
5	Существенное, или сильное превосходство
7	Значительное превосходство	Одному виду деятельности дается настолько сильное превосходство, что оно становится практически значительным
9	Очень сильное превосходство	Очевидное превосходство одного вида деятельности над другими подтверждается наиболее сильно
2;4;6;8;	Промежуточные решения между двумя соседними суждениями	Применяется в компромиссных случаях
Обратные величины приведенных выше чисел	Если при сравнении одного вида деятельности с другим получено одно из выше указанных чисел (например, 5), то при сравнении второго вида деятельности с первым получим обратную величину (т.е. 0,2)

Исходя из всех выше представленных исходных данных, был произведён выбор соответствующих критериев и альтернатив, представленных на рис 3.1:

Рис. 3.1 -- Исходные критерии и их альтернатив

3.1 Сравнение альтернатив по критерию «стоимость»

Для начала произведём сравнение по альтернативе «версия продукта»:

W1 = 1; W2 = 1; W3 = 0,5; W4 = 1; W5 = 0,5; W6 = 1; , где W -- интенсивность относительной важности.

Рассчитаем значения ячеек и вставим их в таблицу 3.3:

; ; ; ; ;

; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ;

;

; ; ; ; ; ;

Таблица 3.3. Сравнение вариантов по версии продукта

DLP-системы	InfoWatch Traffic Monitor 6.5	АПК «Гарда Предприятие» 3.8	Zecurion Zgate 6.0	Symantec Data Loss Prevention 14.5	«КИБ СёрчИнформ»	GTB Enterprise-Class DLP Suite.
InfoWatch Traffic Monitor 6.5	1	1	2	1	2	1
АПК «Гарда Предприятие» 3.8	1	1	2	1	2	1
Zecurion Zgate 6.0	0,5	0,5	1	0,5	1	0,5
Symantec Data Loss Prevention 14.5	1	1	2	1	2	1
«КИБ СёрчИнформ»	1	1	2	1	2	1
GTB Enterprise-Class DLP Suite.	0,5	0,5	1	0,5	1	0,5
	S1 = 5	S2 = 5	S3 = 10	S4 = 5	S5 = 10	S6 = 5

Согласно формуле 3.1 расчёт суждений производится путём сложения ячеек столбца:

; (3.1)

Далее согласно табл. 3.1 произведём расчёт оценок компонент собственного вектора по строкам:

;

;

;

;

;

;

Просуммируем полученные результаты и определим норму вектора приоритетов:

;

;

;

;

;

;

;

Далее найдём величину Z путём перемножения суждений Si и нормы вектора приоритетов Xi:

; (3.2)

;

;

;

;

;

;

Просуммируем величину Z и найдём лmax:

;

Согласно формуле 3.3 индекс согласованности будет равен:

; (3.3)

;

Теперь можно найти отношение согласованностей и проанализировать проведённые расчёты. Т.к. N = 6, то г = 1,24, соответственно:

;

Т.к. в ? 0,1 согласование можно считать хорошим, тем самым позволяя продолжить расчёт.

Итак, был произведён расчёт одной из альтернатив. Продолжим расчёт оставшихся альтернатив и критериев тем же способом и выявим лучшую DLP-систему.

Далее произведём сравнение по альтернативе «количество поддерживаемых станций»:

W1 = 1; W2 = 1; W3 = 1; W4 = 2; W5 = 2; W6 = 1;

Рассчитаем значения ячеек и вставим их в таблицу 3.4:

; ; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ; ;

;

Таблица 3.4. Сравнение вариантов по количеству поддерживаемых станций

DLP-системы	InfoWatch Traffic Monitor 6.5	АПК «Гарда Предприятие» 3.8	Zecurion Zgate 6.0	Symantec Data Loss Prevention 14.5	«КИБ СёрчИнформ»	GTB Enterprise-Class DLP Suite.
InfoWatch Traffic Monitor 6.5	1	1	1	0,5	0,5	1
АПК «Гарда Предприятие» 3.8	1	1	1	0,5	0,5	1
Zecurion Zgate 6.0	1	1	1	0,5	0,5	1
Symantec Data Loss Prevention 14.5	2	2	2	1	1	2
«КИБ СёрчИнформ»	2	2	2	1	1	2
GTB Enterprise-Class DLP Suite.	1	1	1	0,5	0,5	1
	S1 = 8	S2 = 8	S3 = 8	S4 = 4	S5 = 4	S6 = 8

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

Теперь произведём расчёт самого критерия «стоимость»:

W1 = 1; W2 = 3;

Рассчитаем значения ячеек и вставим их в таблицу 3.5:

; ; ; ;

;

;

;

Таблица 3.5. Сравнение альтернатив по критерию «стоимость»

Альтернативы	Версия продукта	Количество поддерживаемых станций
Версия продукта	1	0,3333
Количество поддерживаемых станций	3	1
	S1 = 4	S2 = 1,3333

;

;

;

;

Т.к. при N =2, г = 0, то в также равно нулю.

3.2 Сравнение альтернатив по критерию «функционал»

Для начала произведём сравнение по альтернативе «реакция на инциденты»:

W1 = 1; W2 = 1; W3 = 3; W4 = 1; W5 = 0,3333; W6 = 0,5;

Рассчитаем значения ячеек и вставим их в таблицу 3.6:

; ; ; ; ; ; ; ; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ; ;

Таблица 3.6. Сравнение вариантов по реакции на инциденты

DLP-системы	InfoWatch Traffic Monitor 6.5	АПК «Гарда Предприятие» 3.8	Zecurion Zgate 6.0	Symantec Data Loss Prevention 14.5	«КИБ СёрчИнформ»	GTB Enterprise-Class DLP Suite.
InfoWatch Traffic Monitor 6.5	1	1	0,3333	1	3	2
АПК «Гарда Предприятие» 3.8	1	1	0,3333	1	3	2
Zecurion Zgate 6.0	3	3	1	3	9	6
Symantec Data Loss Prevention 14.5	1	1	0,3333	1	3	2

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

Далее произведём сравнение по альтернативе «контроль пользователей»:

W1 = 1; W2 = 4; W3 = 2; W4 = 0,5; W5 = 6; W6 = 3;

Рассчитаем значения ячеек и вставим их в таблицу 3.7:

; ; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ; ; ;

Таблица 3.7. Сравнение вариантов по контролю пользователей

DLP-системы	InfoWatch Traffic Monitor 6.5	АПК «Гарда Предприятие» 3.8	Zecurion Zgate 6.0	Symantec Data Loss Prevention 14.5	«КИБ СёрчИнформ»	GTB Enterprise-Class DLP Suite.
InfoWatch Traffic Monitor 6.5	1	0,25	0,5	2	0,166	0,33
АПК «Гарда Предприятие» 3.8	4	1	2	8	0,66	1,33
Zecurion Zgate 6.0	2	0,5	1	4	0,33	0,66
Symantec Data Loss Prevention 14.5	0,5	0,125	0,25	1	0,083	0,166
«КИБ СёрчИнформ»	6	1,5	3	12	1	2
GTB Enterprise-Class DLP Suite.	0,33	1,33	0,66	0,166	2	1
	S1 = 13,83	S2 = 4,705	S3 = 7,41	S4 = 27,166	S5 = 4,239	S6 = 5,486

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

Теперь произведём расчёт самого критерия «функционал»:

W1 = 3; W2 = 1;

Рассчитаем значения ячеек и вставим их в таблицу 3.8:

; ; ; ;

Таблица 3.8. Сравнение альтернатив по критерию «функционал»

Альтернативы	Реакция на инциденты	Контроль пользователей
Реакция на инциденты	1	3
Контроль пользователей	0,3333	1
	S1 = 1,3333	S2 = 4

;

;

;

;

;

;

;

;

;

Т.к. при N =2, г = 0, то в также равно нулю.

3.3 Сравнение альтернатив по критерию «производительность»

Для начала произведём сравнение по альтернативе «пропускная способность канала связи»:

W1 = 1; W2 = 3; W3 = 2; W4 = 4; W5 = 5; W6 = 0,25;

Рассчитаем значения ячеек и вставим их в таблицу 3.9:

; ; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ; ; ;

Таблица 3.9. Сравнение вариантов по пропускной способности канала связи

DLP-системы	InfoWatch Traffic Monitor 6.5	АПК «Гарда Предприятие» 3.8	Zecurion Zgate 6.0	Symantec Data Loss Prevention 14.5	«КИБ СёрчИнформ»	GTB Enterprise-Class DLP Suite.
InfoWatch Traffic Monitor 6.5	1	0,3333	0,5	0,25	0,2	4
АПК «Гарда Предприятие» 3.8	3	1	1,5	0,75	0,6	12
Zecurion Zgate 6.0	2	0,66	1	0,5	0,4	8

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

Далее произведём сравнение по альтернативе «объём хранимой информации»:

W1 = 1; W2 = 1; W3 = 0,5; W4 = 4; W5 = 2; W6 = 3;

Рассчитаем значения ячеек и вставим их в таблицу 3.10:

; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ;

; ; ; ; ;

; ; ; ; ;

; ; ; ; ; ;

Таблица 3.10. Сравнение вариантов по объёму хранимой информации

DLP-системы	InfoWatch Traffic Monitor 6.5	АПК «Гарда Предприятие» 3.8	Zecurion Zgate 6.0	Symantec Data Loss Prevention 14.5	«КИБ СёрчИнформ»	GTB Enterprise-Class DLP Suite.
InfoWatch Traffic Monitor 6.5	1	1	2	0,25	0,5	0,3333
АПК «Гарда Предприятие» 3.8	1	1	2	0,25	0,5	0,3333
Zecurion Zgate 6.0	0,5	0,5	1	0,125	0,25	0,166
Symantec Data Loss Prevention 14.5	4	4	8	1	2	1,33
«КИБ СёрчИнформ»	2	2	4	0,5	1	0,66
GTB Enterprise-Class DLP Suite.	3	3	6	0,75	1,5	1
	S1 = 11,5	S2 = 11,5	S3 = 23	S4 = 2,875	S5 = 5,75	S6 = 3,8226

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

Теперь произведём расчёт самого критерия «стоимость»:

W1 = 1; W2 = 0,25;

Рассчитаем значения ячеек и вставим их в таблицу 3.11:

; ; ; ;

Таблица 3.11. Сравнение альтернатив по критерию «производительность»

Альтернативы	Пропускная способность канала связи	Объём хранимой информации
Пропускная способность канала связи	1	4
Объём хранимой информации	0,25	1
	S1 = 1,25	S2 = 5

;

;

;

;

;

;

;

;

;

Т.к. при N =2, г = 0, то в также равно нулю.

Теперь произведём общее сравнение критериев:

W1 = 1; W2 = 3; W3 = 0,3333;

Рассчитаем значения ячеек и вставим их в таблицу 3.12:

; ; ;

; ; ; ; ; ;

Таблица 3.12. Сравнение критериев по значимости

Критерии	Стоимость	Функционал	Производительность
Стоимость	1	0,3333	3
Функционал	3	1	9
Производительность	0,3333	0,1111	1
	S1 = 4,3333	S2 = 1,4444	S3 = 13

;

;

;

;

;

;

;

;

;

;

;

;

;

При N = 0,58 - г = 0,58 соответственно ;

Итак, был произведён анализ трёх критериев и соответствующих им альтернатив. Теперь перейдём к расчёту выбранных продуктов по соответствующим критериям и заполним таблицу 3.12, перемножив значения согласованности г и соответствующие своим продуктам компоненты векторов по строкам a,b,c,d,e и f из таблиц 3.3 и 3.4:

; ;

; ;

; ;

; ;

; ;

; ;

;

;

;

; ;

;

Таблица 3.12. Сравнение вариантов по критерию «стоимость»

	Версия продукта	Количество поддерживаемых станций	Итого
InfoWatch Traffic Monitor 6.5	1,5622	0,9841	2,5463
АПК «Гарда Предприятие» 3.8	1,5622	0,9841	2,5463
Zecurion Zgate 6.0	0,781	0,9841	1,7651
Symantec Data Loss Prevention 14.5	1,5622	1,9683	3,5305
«КИБ СёрчИнформ»	0,781	1,9683	2,7493
GTB Enterprise-Class DLP Suite.	1,5622	0,9841	2,5463

Аналогично произведём расчёты для оставшихся критериев:

Функционал:

; ;

; ;

; ;

; ;

; ;

; ;

;

;

;

;

;

;

Таблица 3.13. Сравнение вариантов по критерию «функционал»

	Реакция на инциденты	Контроль пользователей	Итого
InfoWatch Traffic Monitor 6.5	1,3917	0,6057	1,9974
АПК «Гарда Предприятие» 3.8	1,3917	2,4266	3,8183
Zecurion Zgate 6.0	4,1754	1,2117	5,3871
Symantec Data Loss Prevention 14.5	1,3917	0,3023	1,694
«КИБ СёрчИнформ»	0,4626	3,6475	4,1101
GTB Enterprise-Class DLP Suite.	0,6953	0,8393	1,5346

Производительность:

; ;

; ;

; ;

; ;

; ;

; ;

;

;

;

;

;

;

Таблица 3.14. Сравнение вариантов по критерию «производительность»

	Пропускная способность канала связи	Объём хранимой информации	Итого
InfoWatch Traffic Monitor 6.5	0,7022	0,8193	1,5215
АПК «Гарда Предприятие» 3.8	2,1103	0,8193	2,9296
Zecurion Zgate 6.0	1,4045	0,4041	1,8086
Symantec Data Loss Prevention 14.5	2,2323	3,2767	5,509
«КИБ СёрчИнформ»	3,5149	1,6361	5,151
GTB Enterprise-Class DLP Suite.	0,1753	2,4585	2,6338

Для окончательного результата просуммируем полученные значения из таблиц 3.13,3.14 и 3.15 и определим DLP-систему, которая будет оптимально сочетать все требования необходимые для компании:

;

;

;

;

;

;

Таблица 3.15. Итоговая сумма по критериям

	Стоимость	Функционал	Производительность	Итого
InfoWatch Traffic Monitor 6.5	2,5463	1,9974	1,5215	6,0652
АПК «Гарда Предприятие» 3.8	2,5463	3,8183	2,9296	9,2942
Zecurion Zgate 6.0	1,7651	5,3871	1,8086	8,9608
Symantec Data Loss Prevention 14.5	3,5305	1,694	5,509	10,7335
«КИБ СёрчИнформ»	2,7493	4,1101	5,151	12,0104
GTB Enterprise-Class DLP Suite.	2,5463	1,5346	2,6338	6,7147

В результате проведённого анализа методом иерархий было выявлено, что продукты «КИБ СёрчИнформ» и Symantec Data Loss Prevention 14.5 являются оптимальным вариантом для того чтобы эффективно противодействовать инцидентам информационной безопасности. Данные DLP-системы значительно помогут в решении проблем с возникающими угрозами и обеспечат надёжность защитного периметра компании.

Заключение

В результате проведённой дипломной работы были рассмотрены принципы управления инцидентами информационной безопасности. Были расставлены приоритеты согласно классификации инцидентов. Подробно изучена методика обнаружения инцидентов ИБ, а также произведено сравнение SIEM и DLP-систем. В конечном итоге было рассчитано оптимальное решение для малого и среднего бизнеса.

Внедрение и системное использование СМИИБ позволяет уменьшить негативное воздействие инцидентов ИБ на бизнес, усилить акцент на их предупреждение, улучшить качество результатов оценки и управления рисками ИБ, что в итоге позволяет повысить общий уровень ИБ компании.

Помимо повышения защиты бизнеса, построение процесса управления инцидентами зачастую преследует цель соответствия требованиям различных отраслевых и международных стандартов, большинство из которых содержат требования, касающиеся непосредственно не только мониторинга обращений к критичным данным, но и процедуры работы с инцидентами ИБ.

Полученные результаты анализа требований стандартов менеджмента ИБ, позволили выявить общий организационный процесс выявления инцидентов ИБ в компании.

Исходя из результатов сравнительного анализа мощного технического средства DLP, были сделаны выводы о применимости исследуемых продуктов в различных компаниях. Например, продукт компании Symantec ввиду его гибкости и богатого функционала, больше подходит крупным компаниям, с широким штатом сотрудников ИБ. Организациям с небольшой командой ИБ более подойдут решения от компаний SearchInform, поскольку имеют хорошую «базовую комплектацию» предустановленных настроек, правил и отчетов, а также приемлемой стоимости.

Литература

1. Скиба, В. Руководство по защите от внутренних угроз информационной безопасности / В.Ю. Скиба, В.А. Курбатов. - СПб: Питер, 2008. - 320 с.

2. Репин В.В., Елиферов В.Г. Процессный подход к управлению. Моделирование бизнес-процессов. -- М.: РИА «Стандарты и качество», 2008. -- 408 с.

3. ГОСТ Р ИСО/МЭК 20000-2-2012. Издания. Международная стандартная нумерация книг. - М. : Изд-во стандартов, 2011. Часть 2 - 35 с.

4. ГОСТ Р ИСО/МЭК 27002-2013.Издания. Международная стандартная нумерация книг. - М. : Изд-во стандартов, 2014. - 104 с.

5. ГОСТ Р ИСО/МЭК 27037-2014.Издания. Международная стандартная нумерация книг. - М. : Изд-во стандартов, 2014. - 47 с.

6. СТО БР ИББС-1.0-2014.Издания. Международная стандартная нумерация книг. - М. : Изд-во стандартов, 2014. - 44 с.

7. СТО БР ИББС-1.3-2016.Издания. Международная стандартная нумерация книг. - М. : Изд-во стандартов, 2016. - 49 с.

8. Группа компаний МФИ-Софт: Официальный сайт компании - Электрон. Дан. - Москва, 2017.

9. Группа компаний GTB Technologies: Официальный сайт компании - Электрон. Дан. - Калифорния, США, 2017.

10. Группа компаний InfoWatch: Официальный сайт компании - Электрон. Дан. - Москва, 2017.

11. Группа компаний Searchinform: Официальный сайт компании - Электрон. Дан. - Москва, 2017.

12. Группа компаний Symantec Corporation: Официальный сайт компании - Электрон. Дан. - Калифорния, США, 2017.

13. Группа компаний Zecurion: Официальный сайт компании - Электрон. Дан. - Москва, 2017.

14. Bronk E. ENISA «CSIRT Setting up Guide in Russian» [Text] / by E. Bronk, M. Thorbruegge, M. Hakkaja., Inc., 2006.

15. Kent K. NIST SP 800-86 «Guide to Integrating Forensic Techniques into Incident Response». [Text] / by K. Kent, S. Chevalier, T. Grance, H. Dang., Inc., 2006.

Размещено на Allbest.ru

...