МОДЕЛИ ДАННЫХ ДЛЯ АВТОМАТИЗАЦИИ РЕАГИРОВАНИЯ НА ИНЦИДЕНТЫ

Аннотация

Целью исследования является формирование основополагающих моделей данных: концептуальной и логической, позволяющих осуществлять реагирование на инциденты информационной безопасности в автоматизированном и полностью автоматическом режимах, первостепенно в части действий по локализации (сдерживанию) инцидентов информационной безопасности. Предложенные режимы реагирования позволят организациям сократить время на реализацию мероприятий по реагированию на возникающие инциденты информационной безопасности, т. е. своевременно затруднят или полностью приостановят развитие кибератаки и минимизируют ущерб от реализуемых атакующим действий. Методами исследования выступали анализ и синтез имеющихся материалов и достижений, в т. ч. запатентованных, а также моделирование. По результатам предложена концептуальная модель данных, которая в отличии от известных учитывает три варианта для формирования инцидента информационной безопасности (карточки инцидента информационной безопасности), а также независимо рассматривает логические и технические действия по локализации инцидентов информационной безопасности. Предложена логическая модель данных, которая детализирует концептуальную модель и в отличии от известных учитывает, что выбираемый план реагирования зависит от типа и приоритета обнаруженного инцидента информационной безопасности. Областью применения результатов выступают центры Государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации и центры мониторинга и реагирования на кибератаки (Security Operations Center), а также организации-владельцы крупных территориально распределенных ИТ-инфраструктур с собственными группами реагирования на инциденты информационной безопасности. В качестве развития данного исследования автором проводится формирование физической модели данных и ее апробация.