ISO 27039

תקן ISO 27039 מפרט את הבחירה, הפריסה והתפעול של מערכות זיהוי ומניעת חדירות (IDPS). אנחנו הולכים לחקור מה זה אומר.

מהו ISO 27039?

ISO / IEC 27039:2015 מספק המלצות לסייע לארגונים ביישום מערכות זיהוי ומניעת חדירות (IDPS). ISO 27039 מתאר את הבחירה, ההטמעה והתהליכים של IDPS. התקן מציע גם מידע הקשר עבור הנחיות אלו. איתור ומניעת חדירה הן שתי מילים רחבות המגדירות שיטות המשמשות למניעת התקפות ולהימנעות מאיומים חדשים.

זיהוי חדירות הוא אמצעי תגובתי שמזהה ומפחית איומים מתמשכים באמצעות זיהוי חדירה. זה רגיל ל:

• זיהוי תוכנות זדוניות (למשל סוסים טרויאניים, דלתות אחוריות, ערכות שורש)
• זיהוי תקיפות של הנדסה חברתית המבצעת מניפולציות על משתמשים כדי לחשוף פרטים חסויים (למשל דיוג)

מניעת חדירה היא אמצעי אבטחה פרואקטיבי המשתמש במערכת למניעת חדירה למניעת התקפות מכשירים. זה כולל:

• הכללות קבצים מרוחקות המאפשרות הזרקת תוכנות זדוניות,
• הזרקות SQL המשמשות לניווט בבסיסי נתונים של החברה.

IDPS מעוצב היטב, מיושם, מוגדר, מבוקר ומופעל היטב, כמו:

• אוטומציה מייעלת אנשי אבטחה שיצטרכו לעקוב, להעריך ולהגיב כמיטב יכולתם לאירועי אבטחת רשת;
• אוטומציה נוטה לזרז זיהוי ותגובה להתקפות, במיוחד סוגים נפוצים של התקפה שניתן לזהות באופן חד משמעי באמצעות חתימות ייחודיות;
• הם מרגיעים ניהול בעיות אבטחה ברשתות והתקנים ברשת מזוהים ומתוקלים.

בתקן יש הנחיות והנחיות ליישום IDPS.

מהן מערכות זיהוי ומניעת חדירה?

ארגונים לא צריכים לדעת רק מה, היכן וכיצד נחדרו לרשת, למכשיר או לתוכנית שלהם. הם צריכים גם לדעת מה הפגיעות שניצלה לרעה ואילו אמצעי זהירות או ליישם טיפולי סיכון יעילים כדי למנוע בעיות עתידיות.

ארגונים יכולים גם לזהות ולמנוע פריצות סייבר. השיטה הזאת כולל בדיקה של תעבורת רשת וביקורת עקבות אחר התקפות ידועות או דפוסים ייחודיים המרמזים בדרך כלל על כוונת זדון. באמצע שנות ה-1990, חברות החלו להשתמש במערכות זיהוי ומניעת חדירות (IDPS) כדי לענות על צרכים אלו.

השימוש הכללי ב-IDPS ממשיך לגדול עם מגוון רחב יותר של מכשירי IDPS שעומדים לרשותם כדי לעמוד ברמה הולכת וגדלה של דרישות ארגוניות לזיהוי חדירות מתוחכם.

מערכות זיהוי חדירות הן לרוב מערכות אוטומטיות המזהות התקפות וחדירה של האקרים לרשת או מכשיר ומעוררות אזעקה. מניעת חדירות מערכות לוקחות את האוטומציה שלב קדימה על ידי תגובה אוטומטית לשיטות מסוימות של התקפה מזוהה, כגון סגירת יציאות רשת ספציפיות, באמצעות חומת אש, כדי לחסום תעבורת האקרים מזוהה. IDPS מתייחס לשני הסוגים של זה.

מערכת זיהוי תקריות (IDS) היא חומרה או תוכנה המשתמשת בחתימות חדירה ידועות כדי לזהות ולנתח תעבורת רשת נכנסת ויוצאת עבור פעילויות חשודות. IDS משיג זאת על ידי:

• השוואת קבצי מערכת לחתימות תוכנות זדוניות.
• תהליכי סריקה לזיהוי דפוסים מסוכנים.
• עקוב אחר פעולות משתמש למטרות זדוניות.
• בקרת תצורות ופרמטרים של מכשירים.

לאחר זיהוי פרצת אבטחה, וירוס או שגיאת תצורה, IDS יוציא משתמש פוגע מהרשת וישלח אזהרה לאנשי האבטחה.

למרות היתרון שלו, ל-IDS יש חסרונות אינהרנטיים. מכיוון שהוא משתמש בחתימות חדירות מבוססות כדי למצוא התקפות. איומים שהתגלו לאחרונה או איומים של יום אפס עשויים להישאר בלתי מזוהים. IDS מזהה רק התקפות פעילות, לא תקיפות נכנסות. יש צורך במערכת למניעת חדירה כדי לחסום את אלה.

מערכת למניעת חדירה (IPS) משלימה הגדרת IDS על ידי סקירה יזומה של תעבורה נכנסת כדי למנוע בקשות זדוניות. הגדרת IPS סטנדרטית משתמשת בחומת אש ובסינון תעבורה פתרונות להגנה על יישומים.

IPS נמנע מהתקפות על ידי הפלת מנות זדוניות, חסימת כתובות IP מפרות והתראה לצוות האבטחה על סיכונים. מכשיר זה משתמש בדרך כלל במסד נתונים קיים של זיהוי חתימות וניתן לעצב אותו כדי לזהות התקפות מבוססות תעבורה ואי סדרים בהתנהגות.

למרות שחסימה יעילה של וקטורי תקיפה ידועים, לחלק ממערכות ה-IPS יש מגבלות. אלה נגרמים בדרך כלל מהסתמכות יתר על חוקים מוגדרים מראש, מה שהופך אותם לפגיעים ל-false positive.

ההיסטוריה של ISO/IEC 27039:2015

ISO פרסמה תקן זה בשנת 2015. ISO 27039 פורסם כתחליף ל-ISO/IEC 18043:2006. בשנת 2016, התיקון הטכני שינה את תיאור התקן, והחזיר את המילים החסרות במיוחד "ומניעה".

ISO / IEC 18043: 2006

ISO/IEC 18043:2006 הוציא הנחיות לארגון שבוחר לספק זיהוי פריצות בתשתית ה-IT שלו. זה היה 'איך לעשות' עבור מנהלי מערכת ומשתמשים שרצו:

• כדי להבין את העלויות והיתרונות של IDS
• לקבוע מדיניות ותוכנית יישום עבור IDS
• לשלוט ביעילות בתפוקות ה-IDS
• לשלב את ניטור הפריצות בנהלי הבטיחות של הארגון
• לשקול את החששות המשפטיים והפרטיות הכרוכים בהכנסת ה-IDS

ISO/IEC 18043:2006 סיפק מידע שעזר לקדם שיתוף פעולה בין ארגונים המשתמשים ב-IDS. המבנה הקל על ארגונים לשתף מידע על פריצות חוצות גבולות ארגוניים.

תקן ISO/IEC 18043:2006 מסופק:

• תיאור קצר של תהליך גילוי הפריצה
• הסבר מה ה-IDS יכול ומה לא יכול לעשות
• רשימת בדיקה שעזרה לקבוע את תכונות ה-IDS הטובות ביותר עבור סביבת IT מסוימת
• הגדרה של אסטרטגיות פריסה שונות
• ייעוץ בניהול התראות IDS
• הסבר לחששות ניהוליים ומשפטיים

מהם היתרונות של ISO 27039?

לשתי המערכות יש יתרונות וחסרונות. ISO 27039 מכיל מידע והנחיה ספציפיים ליישום ויישום מוצלחים של IDPS עבור כל הארגונים.

פחות תקריות אבטחה.

למרות שבדרך כלל יחידות מקושרות אינן מבחינות בשינוי כלשהו, ​​ה-IPS מבטיח פחות הפרעות למערכות ארגוניות פחות אירועי אבטחה.

רישום סלקטיבי והגנה על הפרטיות

IPS עוקב רק אחר התנהגות הרשת בזמן שהיא נוקטת פעולה, ומגן על פרטיות משתמשי הרשת. IPS מתאם בין תעבורת רשת לתעבורה זדונית מבוססת, אך אינו מאחסן או ניגש לתוכן.

אבטחה מנוהלת בעלת מוניטין

ה-IPS מצייתת לרשימה מבוססת מוניטין של אתרים ודומיינים חשודים בזדון המשמשים באופן יזום לאבטחת החברה. לדוגמה: אם חבר צוות לוחץ על קונקשן בדוא"ל דיוג או מודעת תוכנה זדונית עבור אתר ברשימת ההכחשה של IPS של אתרים זדוניים מזוהים, המערכת תחסום את התנועה, והעובד יראה מסך ריק.

אבטחה מרובת איומים

IPS מציעה הגנה מפני התקפות אפס יום, מפחיתה התקפות סיסמאות בכוח גס, ומציעה הגנה מפני סיכונים לנגישות, כגון ניסיונות DDoS ו-DoS. לדוגמה, נניח שפושע מנסה לקבל גישה לחשבון בכוח גס (למשל ניסיונות כניסה חוזרים ונשנים). ה-IPS יעקוב אחר קנה המידה של תנועות הנתונים, יזהה דפוסים חשודים וימנע גישה.

סכנת תגובה דינמית

IPS מזהה ומגיב לאיומים ייחודיים, מה שמאפשר למוסדות להגיב לאיומים מוגדרים על החברה.

עם זאת, ליישום IDS יש יתרונות משלו. הטבות אלו כוללות:

• באמצעות מסד הנתונים של החתימות, IDS מבטיח זיהוי מהיר ויעיל של חריגות שזוהו עם סיכוי נמוך לאזעקות שווא.
• הוא מנתח סוגים שונים של איומים, מזהה מגמות של תוכן זדוני ומסייע למנהלי מערכת להתפשר, לנהל ולאכוף בקרות נאותות.
• זה עוזר להבטיח אכיפה רגולטורית ועמידה בתקנות הבטיחות מכיוון שהוא מציע נראות רבה יותר על פני הרשת כולה.
• בעוד ש-IDS הוא בדרך כלל התקן פסיבי, בזמן זיהוי והפקת אזהרות, חלק מה-IDS הפעילים יכולים לחסום כתובות IP או למנוע גישה למשאבים כאשר מזוהה חריגה.

מי יכול ליישם את ISO 27039?

תקן ISO 27039 עוזר לארגונים:

מנסה להיפגש ISO 27001 דרישות, במיוחד נספח א.16:

• הארגון מיישם נהלים ואמצעים אחרים המסוגלים לזיהוי מהיר ו תגובה לאירועים ביטחוניים
• כדי לזהות טוב יותר נסיונות ומוצלחים של פרצות ותקריות אבטחה, החברה תבצע נהלי ניטור והערכה ובקרות אחרות

מנסה לעמוד ביעדי האבטחה הבאים של ISO 27002

• איתור פעילויות לא חוקיות של עיבוד מידע;
• מערכות ניטור עם פעילויות אבטחת מידע מתועדות, באמצעות יומני מפעיל ורישום תקלות כדי לזהות בעיות במכשיר
• שואפת לעמוד בכל הקריטריונים המשפטיים הרלוונטיים לפעילויות הניטור והדיווח שלה
• ניטור מערכת כדי לאשר את היעילות של בקרות מיושמות ו לוודא עמידה במדיניות גישה מודל

עם זאת, ארגון צריך להבין שהטמעת IDPS אינה גישה אחת או מלאה לפתרון הדרישות. יתרה מכך, התקן הבינלאומי הזה גם לא נועד כהנחיות להערכת תאימות כלשהי, כגון הסמכת ISMS.