compliance, compliance, compliance

Соответствие международным и отраслевым стандартамТехнологические аспекты

Сергей Гордейчик

[email protected]


www.ptsecurity.ru / www.maxpatrol.ru

www.xspider.ru / online.xspider.ruwww.securitylab.ru

Compliance, compliance, compliance

Комплайнс - очень модное слово РД и т.д.РД и т.д.

PCI DSSPCI DSS

Стандарт ЦБ РФСтандарт ЦБ РФ

ISO 27001/17799/27002ISO 27001/17799/27002

SOX 404SOX 404

Закон о персональных данных (1Д)Закон о персональных данных (1Д)




От общего…

Большинство стандартов носят общий характер

27001 – построение процессов27001 – построение процессов

Стандарт ЦБ РФ – очень близок к 27001 Стандарт ЦБ РФ – очень близок к 27001

SOX 404SOX 404 – всего 4 абзаца – всего 4 абзаца

PCI DSS – исключение




Результат…

КонцепцияКонцепция

ПолитикиПолитики//ТребованияТребования

РегламентыРегламенты//Базовые настройкиБазовые настройки

Настройки ИСНастройки ИС//ПроцессыПроцессы




Результат…




К частному

Большое количество «рекомендаций», «лучших практик»

Производители Производители MicrosoftMicrosoft CiscoCisco LinuxLinux SunSun

Компетентные организации Компетентные организации NISTNIST NSANSA CISCIS WASCWASC




Уязвимости реализации

Огромное количество уязвимостей25 сентября 2007 25 сентября 2007 CVE-2007-5079CVE-2007-5079




Технологический Compliance

Проверка систем на соответствие техническим требованиям

Контроль уязвимостейКонтроль уязвимостей Решаемая задачаРешаемая задача Переход от «хакерских» методик к «мягким» методам аудитаПереход от «хакерских» методик к «мягким» методам аудита Web-Web-приложения – исключение (но мы работаем над этим)приложения – исключение (но мы работаем над этим)

Контроль конфигурацииКонтроль конфигурации Достаточно сложная задачаДостаточно сложная задача

• Различные форматы • «настройки по умолчанию»• «тихий» ввод новых возможностей

Система должна быть адаптируемойСистема должна быть адаптируемой• Что русскому хорошо…

Контроль измененийКонтроль изменений Контроль изменений в уязвимостях и конфигурацияхКонтроль изменений в уязвимостях и конфигурациях




Комплексный подход

Сетевой сканер

Тестирование на проникновение

Системные проверки

Анализ безопасности баз данных

Анализ безопасности Web-приложений

Сетевые узлы

Открытые порты

Операционная система

Серверные приложения

Клиентские приложения

Информационные активы




Проверка соответсвия

Рекомендации Microsoft, Cisco...

Стандарты ИБ ISO 17799, SOX...

«Best practice»NSA, NIST, CIS, DoD...

Внутренние стандартыОС, СУБД, приложения

Политика сканирования

Сетевой сканер

Тестирование на проникновение

Системные проверки

Анализ безопасности баз данных

Анализ безопасности Web-приложений

Отчет о соответствии

Критерии контроля

Модуль сканирования

Результаты сканирования

Шаблоны отчетов

Модуль отчетов




Собственно Compliance

КонцепцияКонцепция

ПолитикиПолитики//ТребованияТребования

РегламентыРегламенты//Базовые настройкиБазовые настройки

Настройки ИСНастройки ИС//ПроцессыПроцессы

CVE-XXX-2007CVE-XXX-2007Пароль 12345Пароль 12345SNMP SNMP publicpublic

Управление обновлениямиУправление обновлениямиНастройки «по умолчанию»Настройки «по умолчанию»

Политика аутентификацииПолитика аутентификации




Контроль изменений

Отчет об измененияхИнвентаризация

Контроль политик безопасности

Оценка защищенности

Эталонные настройки

Исторические данные

Результаты анализа Контроль изменений




Вопросы

Positive TechnologiesPositive Technologies

++7 495 744 01 44 7 495 744 01 44

[email protected]@ptsecurity.ru

compliance, compliance, compliance

Documents