Расследование компьютерных инцидентов. Как научиться расследованию компьютерных инцидентов. Отчет об инциденте информационной безопасности

Руководители и сотрудники служб безопасности и защиты информации
Специалисты по поисковым мероприятиям

В курсе осуществляется обучение руководителей и специалистов правовым, организационным и практическим вопросам расследования компьютерных инцидентов (КИ) в сфере обращения компьютерной информации. В курсе подробно разбираются все аспекты деятельности службы безопасности (отдела информационной безопасности) организации при реагировании на инциденты в информационной системе, в том числе методика предупреждения таких инцидентов, ликвидации нанесенного ими ущерба, пресечения хакерской активности, перекрытия каналов незаконного съема информации и выявления виновных лиц. Обучение вопросам расследования инцидентов направлено на устранения недостатков в деятельности службы безопасности, создающие предпосылки для появления уязвимостей в информационной инфраструктуре организации, разбираются основные способы обеспечения непрерывности функционирования информационной системы в случае возникновения КИ и скорейшего устранения их последствий, рассматриваются основные аспекты технической политики организации, направленные на минимизацию, нанесенного КИ ущерба. Рассматриваются методика и средства осуществления сбора и обработки информации по КИ.

Правовые и нормативные документы по защите информации в Российской Федерации, общие вопросы защиты информации
- Нормативно-правовые акты в сфере защиты информации, их структура и основные положения. Государственная система защиты информации.
- Лицензирование деятельности в области защиты информации. Государственная система сертификации средств защиты информации.
- Понятие и классификация КИ. Основные стадии КИ (подготовка, развитие, скрытие следов).
Угрозы безопасности информации и основные виды атак
- Уязвимости сетевых протоколов, операционных систем и приложений.
- Типовые сценарии различных видов атак на канальном, сетевом, транспортном и прикладном уровнях: сбор информации, сканирование сети, перехват и взлом паролей учетных записей, атака на переполнение буфера, атака перехвата сеанса, взлом веб-серверов, SQL-инъекции, атаки на беспроводные сети.
- DoS- атаки, особенности и разновидности атак, приводящих к отказам в обслуживании. Механизмы реализации DDoS-атак на транспортном и прикладном уровнях.
- Теория и практика атак «человек посередине».
Факторы угроз для информации в организации и их классификация
- Неправильно составленная или ненадлежаще неисполняемая политика безопасности организации. Отсутствие подготовленного персонала и ответственных лиц по вопросам работы с информацией ограниченного доступа. Использование нелицензионного программного обеспечения.
- Внутренние нарушители правил хранения и доступа к информации из числа персонала организации (инсайдеры). Различные категории нарушителей требований политики безопасности. Методы предотвращения вредных последствий от их деятельности.
- Внешние нарушители правил доступа к информации - хакеры. Цели и методы их деятельности. Возможные последствия.
- Другие внешние нарушители правил доступа к информации - воры, рэкетиры, террористы и возможные последствия их действий.
- Внешние нарушители - представители государственных органов. Возможные причины интереса со стороны контролирующих органов. Налоговые проверки, "крышевание", действия в интересах конкурентов. Методы минимизации возможного ущерба от этой неправомерной деятельности.
- Несчастные случаи и стихийные бедствия. Возможные последствия и методы минимизации ущерба.
Основные предпосылки для возникновения КИ
- Неправильно составленная политика безопасности организации.
- Ненадлежаще неисполняемая службой безопасности (СБ) политика безопасности организации.
- Проблемы в работе с персоналом. Отсутствие подготовленного персонала. Поручение работ по защите информации случайным лицам. Отсутствие единой политики информационной безопасности. Недочеты в работе с персоналом, в том числе с уволившимися сотрудниками.
- Уязвимости в программном обеспечении (ПО). Наличие скрытых уязвимостей в используемых программных средствах, в том числе, вследствие использования нелицензионного ПО. Несоблюдение процедур инсталляции и обслуживания ПО. Консультации со случайными лицами и их последствия.
- Халатность ответственных сотрудников. Игнорирование предупреждений со стороны компетентных государственных органов и персонала. Непринятие мер к своевременному расследованию КИ. Игнорирование сигналов от защитных программных и аппаратных средств.
Расследование КИ в РФ
- Компетентные государственные органы, осуществляющие расследование КИ в РФ: подразделения «К» БСТМ МВД РФ, ФСБ РФ. Интерпол. Некоторые возможности этих организаций в расследовании КИ.
- Негосударственные организации, занимающиеся расследованием КИ на территории РФ, и их возможности. Профессиональные ассоциации, охранно-детективные структуры, службы безопасности провайдерских компаний.
Основные меры по минимизации нанесенного КИ ущерба
- Комплексная система безопасности на предприятии. Объединение в едином комплексе организационно-административных, программно-технических, физических и технических мер как необходимое условие для минимизации нанесенного КИ ущерба.
- План обеспечения непрерывности работы и восстановления работоспособности АС организации (ОНРВ). Необходимость предварительной подготовки плана действий в случае КИ с учетом различных видов КИ. Автоматизм в исполнении плана.
- Адекватная политика информационной безопасности. Повышение осведомленности сотрудников организации в вопросах информационной безопасности.
Юридические предпосылки для минимизации нанесенного КИ ущерба
- Законы "Об информации, информатизации и защите информации", "О правовой охране программ для ЭВМ и баз данных", "О коммерческой тайне" и предъявляемые ими требования. Уголовный кодекс и Кодекс об административных правонарушениях РФ.
- Использование криптографических средств. Правовое регулирование работ с криптографическими средствами защиты информации в РФ.
- Правовая защита информации в организации. Реализация режима коммерческой тайны на предприятии в отношении существенной информации. Ознакомление с этим фактом всех заинтересованных лиц.
- Организация взаимодействия с правоохранительными органами. Предварительное установление и поддержка контакта с правоохранительными органами.
Технические предпосылки для минимизации нанесенного КИ ущерба
- Использование средства протоколирования. Использование средств протоколирования всех подозрительных действий, мониторинга активности пользователей и использование систем обнаружения вторжений для выявления КИ на ранней стадии. Обеспечение доказательственного значения файлов протоколов.
- Перекрытие технических каналов снятия информации. Основные методы несанкционированного съема информации (активные и пассивные радиозакладки, отражатели, электронно-оптические преобразователи, направленные микрофоны, стетоскопы, средства внешнего контроля). Нестандартные приемы съема информации (волноводы, тайники, ВЧ-навязывание). Некоторые средства защиты. Непрофессиональный подход к технической защите информации и его последствия.
- Обеспечение резервного копирования данных. Периодическое полное и дифференциальное копирование. Обеспечение защищенных зон для хранения информации.
- Доказательственное значение файлов протоколов в случае официального и частного расследования.
Практические методы контроля работы с информацией в организации
- Контроль рабочих мест сотрудников. Использование программ слежения за обрабатываемой информацией и сетевой активностью. Внедрение контрольного ПО на рабочие места. Обеспечение "невидимости" контрольного ПО для антивирусных программ. Снятие файлов протоколов, в том числе удалённо.
- Контроль активности сотрудников в отношении утечки конфиденциальной информации. Использование методики honey pot. Отслеживание обращений к критичным файлам. Протоколирование действий сотрудников с помощью специальных программных средств и средств аудита в ОС MS Windows.
- Контроль трафика электронной почты и обращения к Web-сайтам. Виды активности, которые требуется контролировать.
- Контроль телефонных переговоров сотрудников. Использование стандартного программного обеспечения мини-АТС.
- Использование результатов контрольных мероприятий. Анализ файлов протоколов. Построение профилей активности сотрудников. Методика реагирования на недопустимые действия сотрудников. "Мягкое" и "жесткое" пресечение недозволенной активности.
Действия в случае возникновения КИ
- Неотложные действия. Алгоритм действий при возникновении инцидентов. Рекомендации NIPC США и возможность их адаптации к российским условиям.
- Взаимодействие с государственными и негосударственными органами. Решение вопроса об обращении в правоохранительные органы. Взаимодействие с негосударственными организациями и специалистами по информационной безопасности.
- Выявление и устранение предпосылок, способствовавших возникновению КИ
- Восстановление работоспособности системы после КИ согласно плану ОНРВ
- Специфика реагирования при возникновения КИ вследствие неправомерных действий отдельных представителей государственных органов. Обеспечение правовой и физической защиты информации. Документирование неправомерных действий.
Действия после обращения в государственные органы
- Взаимодействие с правоохранительными органами в ходе расследования. Официальное обращение в государственные органы. Возбуждение уголовного дела.
- Выявление злоумышленника. Оценка нанесенного злоумышленником ущерба с учетом морального вреда и упущенной выгоды организации.
- Сбор доказательств преступной деятельности злоумышленника. Недопустимость применения незаконных методов сбора доказательств. Различие между служебным расследованием в рамках организации и оперативно-розыскной деятельностью. Участие правоохранительных органов.
- Представительство интересов организации на предварительном следствии и в суде. Некоторые сложности, которые могут при этом возникнуть.
- Использование статуса потерпевшего для получения информации об истинных мотивах и методах действий злоумышленника. Необходимость полного и окончательного расследования КИ. Раскрытие возможных пособников злоумышленника внутри организации.
- Устранение причин, способствовавших возникновению КИ. Обеспечение невозможности возникновения КИ в будущем.
Изъятие и исследование компьютерной техники и носителей информации
- Правовые основы для изъятия и исследования компьютерной техники в административном порядке (осмотр). Правовой статус специалиста.
- Методика изъятия компьютерной техники и носителей информации. Обеспечение доказательственного значения изъятых материалов. Описание и пломбирование техники.
- Методика исследования компьютерной техники. Общие принципы исследования техники. Компьютерная модель расследования (оценка ситуации, накапливание данных, анализ данных, подготавливают отчета о проведенном расследовании). Программные средства для проведения расследования (DEFT, EnCase Forensic, NST, OSForensics, TSK, COFEE-Microsoft tools и др.). Выводы эксперта и экспертное заключение.

Слушатели изучают факторы риска, представляющие наибольшую опасность для информационных систем организации. На основе обобщения большого числа компьютерных инцидентов (КИ) даются рекомендации по снижению их вероятности. На конкретных примерах рассматриваются недочеты деятельности службы безопасности, создающие предпосылки для появления уязвимостей в информационной инфраструктуре организации, разбираются основные способы обеспечения непрерывности функционирования информационной системы в случае возникновения КИ и скорейшего устранения их последствий, рассматриваются основные аспекты технической политики организации, направленные на минимизацию, нанесенного КИ ущерба. Подробно изучается весь комплекс неотложных юридических, технических и организационных мероприятий, проводимых немедленно после выявления КИ. В ходе практической работы слушателям предлагается самостоятельно выстроить оптимальную последовательность действий в ходе решения ситуационных задач, провести полный цикл расследования с составлением необходимых документов.

Особое внимание уделяется юридическим основам расследования КИ, обсуждению проблемы доказательной значимости материалов, полученных в ходе расследования КИ, вопросам взаимодействия с правоохранительными органами и специализированными организациями. Слушатели знакомятся с различиями в юридической практике РФ и других государств, а также связанными с этим сложностями применения западных методик расследования КИ в России.

По окончании курса вы приобретете знания по:

классификации и видам компьютерных инцидентов (КИ)
наиболее существенным угрозам для компьютерной информации организации и методам защиты от них
основным предпосылкам возникновения КИ в организации и методам их предупреждения
методам расследования КИ в РФ и за рубежом, основным государственным и частным организациям, осуществляющим такое расследование, и о конструктивном взаимодействии с ними
юридическим основам успешного расследования КИ и привлечения виновных к ответственности в соответствии с действующим законодательством
основным способам обеспечения непрерывности функционирования информационной системы организации в случае возникновения КИ и скорейшего устранения их последствий

Вы сможете:

Комплексно подходить к проблеме защиты информации и увязывать вопросы защиты компьютерной информации с другими аспектами деятельности службы безопасности предприятия
Планировать действия по поддержанию и восстановлению работоспособности автоматизированных систем организации при возникновении КИ
В случае возникновения КИ эффективно взаимодействовать с правоохранительными органами и специализированными организациями в процессе расследования КИ и выявления виновных.

Целевая аудитория

Руководители и ответственные сотрудники служб безопасности, руководители подразделений автоматизации и технической защиты информации организаций, в обязанности которых входит выявление и перекрытие каналов утечки информации, расследование попыток несанкционированного доступа к информации, составляющей коммерческую тайну, разработка необходимых нормативно-методических и организационно-распорядительных документов по вопросам защиты информации.

Необходимая подготовка

Базовые знания о современных информационных технологиях и распределенных автоматизированных системах.

Комплексное обучение руководителей и специалистов правовым, организационным и практическим вопросам расследования инцидентов в сфере обращения компьютерной информации. В курсе подробно разбираются все аспекты деятельности службы безопасности (отдела информационной безопасности) организации при реагировании на инциденты в информационной системе, в том числе методика предупреждения таких инцидентов, ликвидации нанесенного ими ущерба, пресечения хакерской активности, перекрытия каналов незаконного съема информации и выявления виновных лиц.

Входит в комплексные программы

БТ155

Аудитория

Предварительная подготовка

Базовые знания о современных информационных технологиях и распределенных автоматизированных системах.

По окончании обучения

Вы приобретете знания по:

о классификации и видах КИ;
о наиболее существенных угрозах для компьютерной информации организации и методах защиты от них;
об основных предпосылках возникновения КИ в организации и методам их предупреждения;
о методах расследования КИ в РФ и за рубежом, государственных и частных организациях, осуществляющих такие расследования, и конструктивном взаимодействии с ними;
о юридических основах успешного расследования КИ и привлечения виновных к ответственности в соответствии с действующим законодательством;
об основных способах обеспечения непрерывности функционирования информационной системы организации в случае возникновения КИ и скорейшего устранения их последствий.

Вы сможете:

Комплексно подходить к проблеме защиты информации и увязывать вопросы защиты компьютерной информации с другими аспектами деятельности службы безопасности предприятия
Планировать действия по поддержанию и восстановлению работоспособности автоматизированных систем организации при возникновении КИ
В случае возникновения КИ эффективно взаимодействовать с правоохранительными органами и специализированными организациями в процессе расследования КИ и выявления виновных.

Пакет слушателя

Фирменное учебное пособие
Подборка юридических и технических документов, справочная информация, а также образцы основных документов в электронном виде, составляемых в ходе расследования КИ

Дополнительно

После успешной сдачи зачета выпускники получают свидетельства об обучении Учебного центра "Информзащита".

Обучение на данном курсе учитывается при получении документов установленного образца в области информационной безопасности в Учебном центре «Информзащита» в соответствии с Положением об условиях получения специалистами документов о повышении квалификации в области защиты информации.

Выпускники Учебного центра могут получать бесплатные консультации специалистов центра в рамках пройденного курса.

Программа учебного курса

Раздел 1. Информация и ее роль в бизнесе. Понятие компьютерного инцидента

Основные понятия в сфере оборота информации. Возможные последствия несанкционированного доступа к критически важной информации. Некоторые примеры инцидентов.
Понятие и классификация КИ. Узкое и расширенное толкование КИ. Неизбежность КИ как следствие невозможности создания абсолютной защиты. Основные стадии КИ (подготовка, развитие, скрытие следов).

Раздел 2. Факторы угроз для информации в организации и их классификация

Ненадлежащая политика руководства организации. Отсутствие подготовленного персонала. Отсутствие формально ответственных лиц. Использование "пиратского" программного обеспечения. Игнорирование рекомендаций службы безопасности, непринятие профилактических мер. Возможные последствия такой политики на примере некоторых организаций.
Нарушители правил из числа персонала организации. Различные категории нарушителей требований политики безопасности. Методы предотвращения вредных последствий от их деятельности.
Деятельность хакеров. Социальный состав хакеров. Цели и методы их деятельности. Возможные последствия. Некоторые мифы и суеверия о хакерах.
"Традиционные" злоумышленники. Воры, рэкетиры, террористы и возможные последствия их действий. Изменение некоторых концепций в сфере информационной безопасности в свете роста количества террористических актов.
Неправомерная деятельность отдельных представителей государственных органов. Возможные причины интереса со стороны контролирующих органов. Налоговые проверки, "крышевание", действия в интересах конкурентов. Методы минимизации возможного ущерба от неправомерной деятельности.
Несчастные случаи и стихийные бедствия. Возможные последствия. Методы минимизации ущерба.

Раздел 3. Основные предпосылки для возникновения КИ

"Однобокая" или неправильно сбалансированная служба безопасности (СБ). Некоторые типичные недочеты при комплектовании СБ организаций и последствия этих недочетов. Нарушение взаимодействия трех компонентов СБ. Неверный выбор имиджа СБ в организации.
Проблемы в работе с персоналом. Отсутствие подготовленного персонала. Поручение работ по защите информации случайным лицам. Отсутствие единой политики информационной безопасности. Недопустимость использования IT-специалистов для обеспечения информационной безопасности. Недочеты в работе с персоналом, в том числе с уволившимися сотрудниками.
Уязвимости в программном обеспечении (ПО). Наличие скрытых уязвимостей в используемых программных средствах, в том числе, вследствие использования пиратского ПО. Несоблюдение процедур инсталляции и обслуживания ПО. Консультации со случайными лицами и их последствия.
Беспечность ответственных сотрудников. Игнорирование предупреждений со стороны компетентных государственных органов и персонала. Непринятие мер к своевременному расследованию КИ. Игнорирование сигналов от защитных программных и аппаратных средств.

Раздел 4. Расследование КИ в РФ и за рубежом

Компетентные государственные органы, осуществляющие расследование КИ в РФ и США. Подразделения «К» БСТМ МВД РФ. ФСБ РФ. Секретная служба Министерства финансов США. ФБР США. Интерпол. Некоторые возможности этих организаций в расследовании КИ.
Существенные различия в юридической системе РФ и США. Влияние этих различий на расследование КИ. Ограничения в применении в РФ западных методик предотвращения и расследования КИ.
Международное взаимодействие в расследовании КИ. Доказательственное значение материалов, полученных из-за границы. Типичные ошибки при сборе информации за рубежом.
Негосударственные организации, занимающиеся расследованием КИ на территории РФ, и их возможности. Профессиональные ассоциации, охранно-детективные структуры, службы безопасности провайдерских компаний.

Раздел 5. Основные меры по минимизации нанесенного КИ ущерба

Комплексная система безопасности на предприятии. Увязка в едином комплексе организационно-административных, программно-технических, физических и технических мер как необходимое условие для минимизации нанесенного КИ ущерба. Невозможность решения проблем безопасности каким-либо одним способом. Примеры таких попыток и их последствия.
План обеспечения непрерывности работы и восстановления работоспособности АС организации (ОНРВ). Необходимость предварительной подготовки плана действий в случае КИ с учетом различных видов КИ. Автоматизм в исполнении плана.
Адекватная политика информационной безопасности. Недопустимость политики реагирования "по факту" КИ. Повышение осведомленности сотрудников организации в вопросах информационной безопасности.

Раздел 6. Юридические предпосылки для минимизации нанесенного КИ ущерба

Законодательство РФ. Законы "Об информации, информатизации и защите информации", "О правовой охране программ для ЭВМ и баз данных", "О коммерческой тайне" и предъявляемые ими требования. Уголовный кодекс и Кодекс об административных правонарушениях РФ.
Криптографические средства. Правовое регулирование работ с криптографическими средствами защиты информации в РФ.
Правовая защита информации в организации. Реализация режима коммерческой тайны на предприятии в отношении существенной информации. Ознакомление с этим фактом всех заинтересованных лиц. Размещение предупреждений на сервере организации.
Обеспечение представительства интересов организации. Выдача постоянно действующей доверенности на право представления интересов предприятия и заверенных копий всех правоустанавливающих документов лицам, ответственным за информационную безопасность. Возможность внесения соответствующих изменений в устав организации.
Организация взаимодействия с правоохранительными органами. Предварительное установление и поддержка контакта с правоохранительными органами.

Раздел 7. Технические предпосылки для минимизации нанесенного КИ ущерба

Средства протоколирования. Использование средств протоколирования всех подозрительных действий, мониторинга активности пользователей для выявления КИ на ранней стадии. Обеспечение доказательственного значения файлов протоколов.
Перекрытие технических каналов снятия информации. Основные методы несанкционированного съема информации (активные и пассивные радиозакладки, отражатели, электронно-оптические преобразователи, направленные микрофоны, стетоскопы, средства внешнего контроля). Нестандартные приемы съема информации (волноводы, тайники, ВЧ-навязывание). Некоторые средства защиты. Непрофессиональный подход к технической защите информации и его последствия.
Обеспечение резервного копирования данных. Периодическое полное и дифференциальное копирование. Обеспечение защищенных зон для хранения информации.
Доказательственное значение файлов протоколов в случае официального и частного расследования .
Дистанционная работа сотрудников как средство обеспечения безопасности информации. Диверсификация информационных ресурсов предприятия.

Раздел 8. Практические методы контроля коммуникаций в организации

Контроль рабочих мест сотрудников. Использование кейлоггеров и "троянских" программ. Внедрение контрольного ПО на рабочие места. Обеспечение "невидимости" контрольного ПО для антивирусных программ. Снятие файлов протоколов.
Контроль активности сотрудников. Использование методики honey pot. Отслеживание обращений к критичным файлам. Протоколирование действий сотрудников с помощью специальных программных средств.
Контроль трафика электронной почты и обращения к Web-сайтам. Виды активности, которые требуется контролировать.
Контроль телефонных переговоров сотрудников. Использование стандартного программного обеспечения мини-АТС.
Использование результатов контрольных мероприятий. Анализ файлов протоколов. Построение профилей активности сотрудников. Методика реагирования на недопустимые действия сотрудников. "Мягкое" и "жесткое" пресечение недозволенной активности.

Раздел 9. Действия в случае возникновения КИ

Неотложные действия. Алгоритм действий при возникновении инцидентов. Рекомендации NIPC США и возможность их адаптации к российским условиям.
Взаимодействие с государственными и негосударственными органами. Решение вопроса об обращении в правоохранительные органы. Взаимодействие с негосударственными организациями и специалистами по информационной безопасности.
Выявление и устранение предпосылок, способствовавших возникновению КИ
Восстановление работоспособности системы после КИ согласно плану ОНРВ
Специфика реагирования при возникновения КИ вследствие неправомерных действий отдельных представителей государственных органов. Обеспечение правовой и физической защиты информации. Документирование неправомерных действий.

Раздел 10. Действия после обращения в государственные органы

Взаимодействие с правоохранительными органами в ходе расследования. Официальное обращение в государственные органы. Возбуждение уголовного дела.
Выявление злоумышленника. Оценка нанесенного злоумышленником ущерба с учетом морального вреда и упущенной выгоды организации.
Сбор доказательств преступной деятельности злоумышленника. Недопустимость применения незаконных методов сбора доказательств. Различие между служебным расследованием в рамках организации и оперативно-розыскной деятельностью. Участие правоохранительных органов.
Представительство интересов организации на предварительном следствии и в суде. Некоторые сложности, которые могут при этом возникнуть.
Использование статуса потерпевшего для получения информации об истинных мотивах и методах действий злоумышленника. Необходимость полного и окончательного расследования КИ. Раскрытие возможных пособников злоумышленника внутри организации.
Устранение причин, способствовавших возникновению КИ. Обеспечение невозможности возникновения КИ в будущем.

Раздел 11. Изъятие и исследование компьютерной техники и носителей информации

Правовые основы для изъятия и исследования компьютерной техники. Основные принципы изъятия имущества в ходе расследования уголовного дела (обыск, выемка, осмотр, добровольная выдача) и в административном порядке (осмотр). Правовой статус специалиста.
Методика изъятия компьютерной техники и носителей информации. Обеспечение доказательственного значения изъятых материалов. Описание и пломбирование техники.
Методика исследования компьютерной техники. Общие принципы исследования техники. Программное средство EnCase. Выводы эксперта и экспертное заключение.

Раздел 12. Практическая работа - расследование реального инцидента

Постановка задачи. Вводная информация о выявлении инцидента в сфере информационной безопасности.
Планирование расследования. Самостоятельное планирование хода расследования слушателями. Групповое обсуждение и корректировка плана.
Пошаговое расследование инцидента. Самостоятельное поэтапное проведение полного цикла расследования с использованием информации, добытой на каждом этапе. Исследование зараженного компьютера. Составление всех необходимых документов. Использование технических средств и организация поисковых мероприятий в сети Интернет.

Итоговый зачет

Обучение руководителей и специалистов правовым, организационным и практическим вопросам расследования компьютерных инцидентов.

Прослушайте бесплатный вебинар про этот курс. Вебинар доступен в записи в любое удобное время.
Для просмотра перейдите по ссылке и запустите кнопку Play в левом нижнем углу.
http://m.mirapolis.ru/m/miravr/0074524156

Описание образовательной программы

В курсе подробно разбираются все аспекты деятельности уполномоченных органов (подразделений, лиц) организации при реагировании на инциденты в информационной системе.

Слушатели изучают и анализируют факторы и предпосылки, приводящие к компьютерным инцидентам, и представляющие наибольшую опасность для информационных систем организации. На конкретных примерах разбираются основные способы обеспечения непрерывности функционирования информационной системы в случае возникновения КИ и скорейшего устранения их последствий, рассматриваются основные аспекты технической политики организации, направленные на минимизацию, нанесенного КИ ущерба.

Подробно изучается весь комплекс юридических, технических и организационных мероприятий, проводимых немедленно после выявления КИ. В ходе практической работы слушателям предлагается самостоятельно разработать ряд организационно-распорядительных документов и выстроить оптимальную последовательность действий в ходе решения ситуационных задач, провести полный цикл расследования с составлением необходимых документов.

Рассматриваются современные технологии и средства, применяемые для расследования КИ. В ходе практических занятий слушатели знакомятся с рядом инструментальных средств (продуктов).

Особое внимание уделяется юридическим основам расследования КИ, обсуждению проблемы доказательной значимости материалов, полученных в ходе расследования КИ, вопросам взаимодействия с правоохранительными органами, специализированными организациями и судами. Слушатели знакомятся с различиями в юридической практике РФ и других государств, а также связанной с ними сложностью применения западных методик расследования КИ в России.
Практические занятия проводятся с использованием технологии виртуальных машин на специально сконфигурированных стендах.

После изучения курса слушатель будет

Знать:

основные положения правовой, нормативной и методической базы, регламентирующей деятельность по расследованию компьютерных инцидентов;
юридические основы успешного расследования КИ и привлечения виновных к ответственности в соответствии с действующим законодательством;
порядок, содержание и правила разработки необходимой организационно-распорядительной документации;
основные методы и средства по идентификации, сбору, получению и хранению свидетельств, представленных в цифровой форме;
основные правила выбора и последующей эксплуатации необходимых средств, применяемых в ходе расследования компьютерных инцидентов;
методы расследования КИ в РФ и за рубежом, государственных и частных организациях, осуществляющих такие расследования, и конструктивном взаимодействии с ними

Уметь:

разрабатывать внутренние организационно-распорядительные документы, необходимые для проведения мероприятий по расследованию компьютерных инцидентов;
использовать методы и средства (программные) в интересах идентификации, сбора, получения и хранения свидетельств, представленных в цифровой форме с приданием им юридической значимости

Владеть:

навыками разработки необходимых документов в интересах организации и проведения расследований компьютерных инцидентов;
навыками применения инструментальных средств, используемых для идентификации, сбора, получения и хранения свидетельств, представленных в цифровом виде.

Успешное обучение по программе позволит специалистам:

комплексно подходить к проблеме защиты информации и увязывать вопросы защиты компьютерной информации с другими аспектами деятельности различных обеспечивающих и бизнес-подразделений организации;
самостоятельно разрабатывать требуемую организационно-распорядительную документацию;
планировать действия по поддержанию и восстановлению работоспособности информационных (автоматизированных) систем организации при возникновении КИ
в случае возникновения КИ эффективно взаимодействовать с правоохранительными органами и специализированными организациями в процессе расследования КИ и выявления виновных.

Цель курса

Формирование знаний и навыков, необходимых для организации и проведения внутренних (внутрикорпоративных) расследований компьютерных инцидентов.

Целевая аудитория

руководители организаций и предприятий (независимо от организационно-правовой формы и формы собственности)
руководители подразделений и уполномоченные сотрудники организаций (предприятий), в обязанности которых входит выявление и перекрытие каналов утечки информации, расследование попыток несанкционированного доступа к информации ограниченного доступа, разработка необходимых нормативно-методических и организационно-распорядительных документов по вопросам защиты информации;
сотрудники, отвечающие за администрирование информационных систем и сетей (системные администраторы);
администраторы информационной безопасности;
специалисты по защите информации;
аналитики по вопросам компьютерной безопасности.

Необходимая подготовка

базовые знания о современных информационных технологиях и распределенных информационных (автоматизированных) системах;
навыки работы на персональном компьютере в ОС MS Windows 7 (Windows Server 2008) и выше;
навыки работы в пакете MS Office 2010 и выше.

1. Правовая и нормативно-методическая база расследования компьютерных инцидентов

Актуальность проблемы обеспечения информационной безопасности. Понятие компьютерного инцидента. Термины и определения.
Управление инцидентами информационной безопасности
Правовые и нормативно-методические основы расследования компьютерных инцидентов.
Компьютерная криминалистика и международная практика.
Ответственность за нарушения требований действующего законодательства

2. Источники компьютерных инцидентов

Внутренние факторы и предпосылки
Внешние факторы и предпосылки

3. Технологии и средства, используемые для расследования компьютерных инцидентов

Компьютер, как хранилище свидетельств компьютерного инцидента
Практическая работа: Выявляем компьютерный инцидент.
Инструментальные средства идентификации, сбора, получения и хранения свидетельств, представленных в цифровой форме
Практическая работа: Изучение инструментальных средств, применяемых при расследовании компьютерных инцидентов
Технологии и средства обнаружения вторжений, предотвращения утечек информации, «ловушек» и выявления уязвимостей компьютерных систем и сетей
Практическая работа: Выявление уязвимостей компьютерных систем и сетей

4. Основные мероприятия по организации и проведению расследований компьютерных инцидентов

Организация управления инцидентами информационной безопасности
Разработка внутрикорпоративных организационно-распорядительных документов, необходимых для проведения расследования компьютерных инцидентов
Практическая работа: Разработка Частной политики управления инцидентами информационной безопасности и Регламента расследования компьютерного инцидента.
Проведение расследований компьютерных инцидентов
Практическая работа: Проведение расследования компьютерного инцидента.
Взаимодействие с правоохранительными органами, специализированными организациями и представительство интересов организации в суде.

Каждые сутки обрабатываются полтора миллиона событий ИБ, поступающих от различных систем и устройств: IDS, IPS, межсетевых экранов, сканеров состояния защищённости, антивирусов, сетевых устройств. Автоматизированная обработка выявляет события, влияющие на безопасность, для последующего детального анализа. Аналитики компании вручную исследуют 180–200 событий. Каждое такое подозрительное событие является потенциальным инцидентом ИБ, с которым связана вероятность компрометации данных и нарушения конфиденциальности, целостности и доступности.

Инцидент - негативное событие с финансовыми, правовыми и репутационными последствиями для жертвы компьютерной атаки. Если организация хочет быть готовой противостоять злоумышленникам, она должна реагировать на каждый такой случай. И мы можем в этом помочь.

Наша работа по расследованию инцидентов состоит из 5 этапов.

Выявление инцидента информационной безопасности

Инцидент информационной безопасности может обнаружить дежурная смена Центра мониторинга. Или к нам может обратиться непосредственно владелец ресурса, если в его информационной системе есть подозрительная активность, при которой внедрённые ранее средства защиты информации «молчат». При этом у объекта атаки может быть недостаточно ресурсов или опыта для расследования инцидента.

Мы также можем определить, подвергалась ли организация атакам в прошлом и был ли какой-либо ущерб, проанализировав имеющиеся записи журналов различных систем.

Сдерживание

Главная задача после обнаружения инцидента - не допустить компрометации данных и снизить влияние на бизнес-процессы. Для этого заказчик локализует атакованный узел и блокирует вредоносную активность.

Мы взаимодействуем с ведомственными и корпоративными центрами реагирования на кибератаки , чтобы получать информацию об угрозах и методах противодействия в реальном времени.

Сбор доказательств

На этом этапе мы находим и документируем любые сведения, связанные с инцидентом, чтобы ответить на следующие вопросы:

Что произошло?
Когда произошло?
Объект атаки?
Откуда «пришла» атака?
Каковы цели и мотивация атакующего?
Кто был вовлечён в проведение атаки со стороны жертвы?
Какие методы, уязвимости и инструменты использовал атакующий?

Ликвидация последствий

После того, как мы соберём информацию об инциденте, заказчик расследования может запускать процессы восстановления после инцидентов ИБ. Если таких процессов нет, мы поможем восстановить работоспособность затронутых атакой информационных систем и ресурсов.

Недопущение повторения

После анализа результатов расследования компьютерного инцидента мы даём рекомендации по изменению настройки и состава средств защиты информации, которые могут предотвратить повторение инцидента в будущем или закрывают наиболее критичный вектор атак.

Результаты

Заключение по результатам расследования инцидента.
Документированная информация об инциденте и собранные доказательства.
Результаты анализа причин, развития и последствий инцидента, предположения о виновных лицах.
Рекомендации по недопущению подобных инцидентов в будущем.