«Система мониторинга событий информационной безопасности» технические требования москва 2015

ОПИСАНИЕ РАМОК ПРОЕКТА

ОПИСАНИЕ ТЕКУЩЕЙ СИТУАЦИИ

ОПИСАНИЕ СУЩЕСТВУЮЩЕГО БИЗНЕС-ПРОЦЕССА

ОПИСАНИЕ НЕДОСТАТКОВ СУЩЕСТВУЮЩЕГО ПРОЦЕССА мониторинга

ОБЩИЕ ТРЕБОВАНИЯ к функционалу

1. 
   Унифицированный механизм сбора, хранения и обработки в режиме реального времени событий ИБ и ИТ.
   
2. 
   Обеспечение долгосрочного хранения полученных событий, данных, метаданных в рамках заявленного периода хранения данных с возможность ретроспективного анализа ранее произошедших событий и инцидентов.
   
3. 
   Выявление и отслеживание критичных инцидентов ИБ и ИТ, воспроизведение картины ранее произошедших инцидентов с возможностью предоставления материалов для детального расследования.
   
4. 
   Обеспечивать генерацию отчетов по любым доступным наборам параметров за доступные периоды времени, как в автоматическом, так и в ручном режиме.
   
5. 
   Система полномочий доступа субъектов к объектам на основе ролевой модели.
   
6. 
   Функция сбора событий от следующих источников:
   
   1. 
      Операционные системы, оборудование и ПО, передающие информацию о событиях в форматах syslog, eventlog, текстовые файлы в различных кодировках.
      
   2. 
      Системы межсетевого экранирования и защиты от сетевых атак Check Point, в том числе комплексы управления на базе Check Point Endpoint Security с серверной частью версии 7.6.x.x и E80.x.
      
   3. 
      Системы защиты от сетевых атак IBM ISS с различными консолями управления распределенными по регионам.
      
   4. 
      Сетевое оборудование Cisco:
      
      • 
        Catalyst,
        
      • 
        ISR,
        
      • 
        ASA/PIX/FWSM,
        
      • 
        IPS,
        
      • 
        WISM,
        
      • 
        ISE.
        
   5. 
      Узлы фильтрации веб трафика на базе McAfee Web Gateway.
      
   6. 
      Системы антивирусной защиты, в том числе на базе Kaspersky Total Security, DrWeb Enterprise Security Suite.
      
   7. 
      Контроллеры доменов на базе Microsoft Windows Server 2003/2008/2012.
      
   8. 
      Почтовые серверы Microsoft Exchange Server 2003 SP2/2007.
      
   9. 
      Серверы централизованного управления на базе Microsoft SMS/SCCM.
      
   10. 
       Прочие серверы Microsoft Windows Server 2003/2008.
       
   11. 
       Система управления политиками решений McAfee – McAfee ePolicy Orchestrator.
       
   12. 
       Система контроля доступа к периферийным устройствам на базе Lumension Device Control.
       
   13. 
       Система защиты АРМ на АЗС на базе McAfee Solid Core.
       
   14. 
       Системы контроля и управления доступом на объекты на основе решений СШС и ELSYS.
       
7. 
   Функция импорта данных о событиях от любых источников за уже прошедшие периоды в рамках заявленного периода хранения данных.
   
8. 
   Возможность добавления в виде источников событий систем собственной разработки.
   

Общие требования к архитектуре

1. 
   Система должна иметь модульную, масштабируемую архитектуру, и быть построена на базе программно-аппаратных комплексов (далее – ПАК), обеспечивающих:
   
   1. 
      сбор данных с возможностью полного восстановления событий ИБ, а так же информационной и телекоммуникационной инфраструктуры;
      
   2. 
      долговременное хранение событий и данных с возможностью резервного копирования и архивирования данных;
      
   3. 
      возможность восстановления настроек системы и данных на заданный момент времени за счет создания, резервного копирования, архивирования и восстановления конфигурационных файлов и данных, входящих в ПАК;
      
   4. 
      автоматический и ручной анализ и корреляцию собранных событий, данных и метаданных, поиск и фильтрацию информации по любым, доступным в системе параметрам;
      
   5. 
      предоставление аналитических инструментов, включающих графический пользовательский интерфейс, настраиваемые консоли управления и отображения информации, модуль отчетности;
      
   6. 
      функционал создания уведомлений и вывода их на рабочую консоль, при наступлении определённых условий (например, обнаружение активности определенного вида и т.д.);
      
   7. 
      централизованное управление компонентами системы с использованием единой консоли;
      
   8. 
      отсутствие внутренних ограничений на линейное масштабирование системы по количеству источников, скорости захвата событий и времени их хранения;
      
   9. 
      Для обеспечения необходимой производительности решение должно физически и логически разделять функции сбора событий, нормализации данных, анализа собранной информации.
      
   10. 
       Решение должно включать компоненты, выполняющие следующие задачи:
       
       • 
         Обработка журналов.
         
       • 
         Корреляция событий в том числе от различных источников по уровням критичности событий.
         
       • 
         Анализ данных.
         
   11. 
       Система должна поставляться в комплекте с рекомендованными производителем подписками на обновления программных компонентов, модулей и сигнатур в течение трех лет.
       

Требования к обработке журналов и событий

1. 
   Комплекты ПАК сбора журналов и событий ИБ и ИТ систем должны:
   
   • 
     иметь исполнения для обработки различных потоков событий до 10000 событий/с;
     
   • 
     обеспечивать хранение, оперативное извлечение, анализ и обработку всех полученных метаданных в течение не менее 1 года;
     
   • 
     обеспечивать техническую возможность архивного хранения с возможностью извлечения анализа и обработки метаданных в течение не менее 3 лет;
     

Требования к аппаратному обеспечению

1. 
   наличие не менее 4 интерфейсов портов 1Gbs Ethernet;
   
2. 
   наличие RAID контролера для резервирования дисковой подсистемы;
   
3. 
   наличие блоков питания с горячим резервом.
   

Требования к доступности и производительности

Требования к безопасности

1. 
   О соответствии требованиям руководящего документа «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» (Гостехкомиссия России, 1999) – по 4 уровню контроля.
   
2. 
   О соответствии требованиям руководящего документа «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (Гостехкомиссия России, 1992) – по 5 классу защищенности.
   

Требования к автоматизации

Требования к подключению источников данных

1. 
   Система должна позволять подключать источники событий ИБ, справочников, списков фильтрации, не накладывая лицензионных ограничений на их количество.
   
2. 
   Должен быть доступен функционал оперативного создания правил поиска, фильтров, правил корреляции, способов представления наборов данных и отчетов.
   
3. 
   Система должна предоставлять возможность подключать любые новые источники событий, структура данных которых описывается формализованным языком.
   
4. 
   На начальном этапе должна быть возможность подключения событий от перечисленных в пункте 4.1.6 систем.
   
5. 
   Система должна позволять обрабатывать события с произвольной структурой текстовых данных, формат которых может быть четко описан.
   

Связь с существующим окружением и интеграция

Требования к переносу (миграции) данных

Требования к ПРОИЗВОДСТВУ

1. 
   Российской Федерации;
   
2. 
   Субъекту Российской Федерации;
   
3. 
   Муниципальному образованию;
   
4. 
   Российской некоммерческой организации, высший орган управления которой формируется прямо и (или) косвенно Российской Федерацией, субъектами Российской Федерации, муниципальными образованиями и (или) гражданами Российской Федерации и которая не признается контролируемой иностранным лицом российской организацией;
   
5. 
   Российской коммерческой организации, в которой суммарная доля участия Российской Федерации, субъектов Российской Федерации, муниципальных образований, некоммерческих организаций и граждан Российской Федерации составляет более 50 процентов и которая не признается контролируемой иностранным лицом российской организацией;
   
6. 
   Гражданину Российской Федерации.
   

Требования к пользовательскому интерфейсу

Требования к наличию отчётов

Требования к ПРОЕКТНОЙ документации