Международный стандарт iso 17799
Ведение и просмотр журнала событий
жүктеу/скачать 0.79 Mb. Pdf көрінісі
|
- Бұл бет үшін навигация:
- 9.7.3 Синхронизация часов
| 9.7.2.3 Ведение и просмотр журнала событий
При просмотре журнала необходимо понимать угрозы, с которыми сталкивается система, и способы, которыми эти угрозы могут проявиться. Примеры событий, которые могут потребовать дополнительного расследования в случае инцидентов, приводятся в разделе 9.7.1. Системные журналы часто содержат большие объемы информации, значительная часть которых не относится к мониторингу безопасности. Чтобы упростить обнаружение значительных событий, относящихся к мониторингу безопасности, рекомендуется рассмотреть средства автоматического копирования сообщений определенных типов в отдельный журнал и/или о применении подходящих системных утилит или аудиторских средств для анализа файлов. При распределении обязанностей по просмотру журнала следует постараться, чтобы лица, просматривающие журнал, не входили в круг тех лиц, информация о действиях которых просматривается. Следует обратить особое внимание на защиту средств ведения журнала, поскольку в случае их подделки может возникнуть ложное чувство безопасности. Необходимо реализовать средства защиты от несанкционированных изменений и от проблем в работе, в том числе от следующих проблем: a) деактивация системы ведения журнала; b) изменение перечня записываемых типов сообщений; c) редактирование или удаление файлов журнала; d) недостаток свободного места для записи журнала, в результате чего события могут быть либо перезаписаны, либо не записаны вообще. 9.7.3 Синхронизация часов Правильная установка часов компьютеров необходима для того, чтобы гарантировать точность контрольных журналов, которые могут потребоваться для расследований или в качестве улик при уголовном или административном преследовании. Неточность контрольных журналов может затруднить расследование и снизить достоверность этих улик. Если в компьютере или коммуникационном устройстве имеются часы истинного времени, эти часы необходимо установить в соответствии в принятым стандартом (например, всемирным координированным временем – UCT) или в соответствии с местным временем. Поскольку некоторые часы со временем отстают или уходят вперед, необходимо ввести процедуру проверки и коррекции значительных отклонений. |