Управление событиями Event Management
Простыми словами
Повседневная работа с потоком, а не реакция на беду. Три требования разд. 5.6 стоит читать как порядок построения: сначала журналы консолидировать и хранить по заранее описанной стратегии; затем события «aggregated, normalized, and analyzed regularly to provide a baseline» — смысл анализа именно в том, чтобы получить норму, с которой потом сравнивать; и только третьим шагом оповещения, направленные нужным людям. Граница с управлением инцидентами проходит здесь же: «if the event represents an immediate or imminent security threat, then incident management processes must be invoked». Отдельная путаница — с управлением событиями безопасности из разд. 5.2: в чек-листе прил. B это две разные строки, и различаются они адресатом, а не предметом — здесь повседневная эксплуатация, там видимость для группы информационной безопасности.
Примеры
«Security logs must be consolidated and maintained. A strategy for storage and maintenance of log files must be defined and implemented» — стратегия требуется до того, как журналы начнут накапливаться.
O-ESA (The Open Group Guide G112), разд. 5.6 — управление событиями
Вслед за нормой издание требует «An event console strategy must be defined and implemented»: куда сводить события и как их показывать — часть процесса, а не настройка продукта.
Поток порождают «a variety of devices across the operational environment, including security, network, storage, and host devices»: сетевое оборудование и хранилища дают события наравне с межсетевыми экранами.
O-ESA (The Open Group Guide G112), разд. 5.6 и 2.2 — состав источников событий
Определение из первоисточника
дословная выпискаEvent management provides a process for day-to-day management of the security-related events generated and logged from a variety of sources within the operational environment, including security, network, storage, and host devices. The following processes are required: Security logs must be consolidated and maintained. A strategy for storage and maintenance of log files must be defined and implemented. Events must be aggregated, normalized, and analyzed regularly to provide a baseline. An event console strategy must be defined and implemented. Alerts must be generated and routed to the approp…
Управление событиями даёт процесс повседневного управления событиями, связанными с безопасностью, которые порождаются и заносятся в журнал разными источниками эксплуатируемой среды, включая устройства безопасности, сетевые устройства, устройства хранения и хосты. Требуются следующие процессы: журналы безопасности должны сводиться воедино и сопровождаться. Должна быть определена и внедрена стратегия хранения и сопровождения файлов журналов. События должны регулярно агрегироваться, нормализоваться и анализироваться, чтобы дать базовый уровень. Должна быть определена и внедрена стратегия консоли…
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Разд. 2.2 даёт то же короче. Три требуемых процесса перечислены в самом определении. Разд. 5.7 добавляет: событие и инцидент связаны, и при непосредственной или надвигающейся угрозе запускаются процессы управления инцидентами.
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormРеестр процессовИмитационное моделированиеАрхитектура систем и интеграций