Службы обнаружения Detection Services
Простыми словами
Зонтик над четырьмя подслужбами: обнаружение вторжений, обнаружение аномалий, оценка уязвимостей и журналирование. Отличие от аудита проводится по времени и цели: обнаружение работает по текущему потоку событий ради предотвращения ущерба, аудит разбирает уже сведённые журналы ради расследований и соответствия. Обнаружение при этом не пассивно — в определении стоит и реакция. Самая необычная часть — проектное требование: при атаке или катастрофе доступ к службам полагается понижать плавно, потом восстанавливаться после отказов и возвращать доступ по мере ослабления помех. Это отсылка к принципу устойчивости из главы о губернансе, где сказано и жёстче: компоненты безопасности должны отказывать закрыто. Ошибка — свести обнаружение к системе оповещений и потерять требование о восстановлении.
Примеры
«Detection services assist in the enforcement of security policy through the ongoing creation, capture, and monitoring of security-relevant events.» И следом: «The goal is to detect and respond to threats and vulnerabilities in a way that prevents damage or loss.»
Open Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security (The Open Group Guide, April 2011, G112), разд. 4.6.6 — служ…
Принцип устойчивости в главе о губернансе формулирует и обратную сторону: «Security components should fail closed; in other words, failure should result in denial of access rather than increased accessibility.»
Open Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security (The Open Group Guide, April 2011, G112), разд. 3.5.6 — прин…
«Policy-based management of detection services generally involves vendor-proprietary solutions for centralized detection engines, with various means for collecting logs from many sources.» Сведённые журналы затем разбираются по образцам и эвристикам.
Open Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security (The Open Group Guide, April 2011, G112), разд. 4.6.6 — поли…
Определение из первоисточника
дословная выпискаDetection services assist in the enforcement of security policy through the ongoing creation, capture, and monitoring of security-relevant events. The goal is to detect and respond to threats and vulnerabilities in a way that prevents damage or loss. One of the design requirements is to gracefully degrade access to services in the event of an attack or disaster, to recover from the resulting failures, and to efficiently restore access as impeding circumstances wane.
Службы обнаружения содействуют обеспечению исполнения политики безопасности через непрерывное создание, захват и мониторинг событий, значимых для безопасности. Цель — обнаружить угрозы и уязвимости и отреагировать на них так, чтобы предотвратить ущерб или потери. Одно из проектных требований — плавно понижать доступ к службам при атаке или катастрофе, восстанавливаться после возникших отказов и результативно восстанавливать доступ по мере ослабления мешающих обстоятельств.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Разд. 4.3 и 4.6.6: политико-управляемое управление службами обнаружения сегодня опирается на проприетарные решения с централизованными движками обнаружения, куда разными способами собираются журналы; сводные журналы анализируются по образцам и эвристикам для выявления попыток вторжения.
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийГраф связей реестраРеестр процессов