Scenariusz: Inspekcja dostępu do plików

Inspekcja zabezpieczeń to jedno z najbardziej zaawansowanych narzędzi ułatwiających utrzymanie bezpieczeństwa przedsiębiorstwa. Jednym z kluczowych celów inspekcji zabezpieczeń jest zgodność z przepisami. Standardy branżowe, takie jak Sarbanes Oxley, Health Insurance Portability and Accountability Act (HIPAA) i Payment Card Industry (PCI) wymagają, aby przedsiębiorstwa przestrzegały ścisłego zestawu zasad związanych z bezpieczeństwem i prywatnością danych. Inspekcje zabezpieczeń pomagają ustalić obecność takich zasad i udowodnić zgodność z tymi standardami. Ponadto inspekcje zabezpieczeń pomagają wykrywać nietypowe zachowanie, identyfikować i ograniczać luki w zasadach zabezpieczeń oraz odstraszać nieodpowiedzialne zachowanie, tworząc ślad aktywności użytkownika, który może być używany do analizy śledczej.

Wymagania dotyczące zasad inspekcji są zwykle oparte na następujących poziomach:

• Bezpieczeństwo informacji. Dzienniki inspekcji dostępu do plików są często używane do analizy kryminalistycznej i wykrywania nieautoryzowanego dostępu. Możliwość uzyskiwania ukierunkowanych zdarzeń dotyczących dostępu do informacji o wysokiej wartości pozwala organizacjom znacznie poprawić szybkość reakcji i dokładność analizy.

• Zasady organizacyjne. Na przykład organizacje regulowane standardami PCI mogą mieć centralne zasady monitorowania dostępu do wszystkich plików oznaczonych jako zawierające informacje o karcie kredytowej i dane osobowe.

• Polityka działów. Na przykład dział finansowy może wymagać, aby możliwość modyfikowania niektórych dokumentów finansowych (takich jak kwartalny raport zarobków) był ograniczony do działu finansowego, a tym samym dział chciał monitorować wszystkie inne próby zmiany tych dokumentów.

• Zasady biznesowe. Na przykład właściciele firm mogą chcieć monitorować wszystkie nieautoryzowane próby wyświetlenia danych należących do ich projektów.

Ponadto dział zgodności może chcieć monitorować wszystkie zmiany centralnych zasad autoryzacji i konstrukcji zasad, takich jak atrybuty użytkowników, komputerów i zasobów.

Jednym z największych zagadnień związanych z inspekcjami zabezpieczeń jest koszt zbierania, przechowywania i analizowania zdarzeń inspekcji. Jeśli zasady inspekcji są zbyt szerokie, liczba zebranych zdarzeń inspekcji wzrasta i zwiększa to koszty. Jeśli polityki audytu są zbyt wąskie, istnieje ryzyko pominięcia ważnych zdarzeń.

W systemie Windows Server 2012 można tworzyć zasady inspekcji przy użyciu oświadczeń i właściwości zasobów. Prowadzi to do bogatszych, bardziej ukierunkowanych i łatwiejszych w zarządzaniu zasadami inspekcji. Umożliwia scenariusze, które do tej pory były niemożliwe lub zbyt trudne do wykonania. Poniżej przedstawiono przykłady zasad inspekcji, które administratorzy mogą tworzyć:

• Przeprowadź inspekcję wszystkich, którzy nie mają pozwolenia na dostęp do informacji niejawnych i próbują uzyskać dostęp do dokumentu HBI. Na przykład Audyt | Wszyscy | All-Access | Resource.BusinessImpact=HBI AND User.SecurityClearance!=High.

• Przeprowadź inspekcję wszystkich dostawców, gdy próbują uzyskać dostęp do dokumentów związanych z projektami, nad którymi nie pracują. Na przykład Inspekcja | Wszyscy | All-Access | User.EmploymentStatus=Dostawca AND User.Project Not_AnyOf Resource.Project.

Te zasady pomagają regulować ilość zdarzeń inspekcji i ograniczyć je tylko do najbardziej odpowiednich danych lub użytkowników.

Po utworzeniu i zastosowaniu zasad inspekcji przez administratorów kolejną kwestią jest zebranie znaczących informacji z zebranych zdarzeń inspekcji. Zdarzenia audytowe oparte na wyrażeniach pomagają zmniejszyć liczbę audytów. Jednak użytkownicy potrzebują sposobu wykonywania zapytań dotyczących tych zdarzeń w celu uzyskania znaczących informacji i zadawania pytań, takich jak "Kto uzyskuje dostęp do moich danych HBI?" lub "Czy nastąpiła nieautoryzowana próba uzyskania dostępu do poufnych danych?"

System Windows Server 2012 rozszerza istniejące zdarzenia dostępu do danych za pomocą oświadczeń użytkowników, komputerów i zasobów. Te zdarzenia są generowane dla poszczególnych serwerów. Aby zapewnić pełny widok zdarzeń w całej organizacji, firma Microsoft współpracuje z partnerami w celu zapewnienia narzędzi do zbierania i analizy zdarzeń, takich jak usługi Audit Collection Services w programie System Center Operation Manager.

Rysunek 4 przedstawia omówienie centralnych zasad inspekcji.

Rysunek 4 Centralne doświadczenia audytowe

Konfigurowanie i korzystanie z inspekcji zabezpieczeń zwykle obejmuje następujące ogólne kroki:

1. Identyfikowanie prawidłowego zestawu danych i użytkowników do monitorowania

2. Tworzenie i stosowanie odpowiednich zasad inspekcji

3. Zbieranie i analizowanie zdarzeń inspekcji

4. Zarządzanie utworzonymi zasadami i ich monitorowanie

W tym scenariuszu

Poniższe tematy zawierają dodatkowe wskazówki dotyczące tego scenariusza:

• Planowanie inspekcji dostępu do plików

• Wdrażanie inspekcji zabezpieczeń za pomocą centralnych zasad inspekcji (demonstracyjne kroki)

Role i funkcje uwzględnione w tym scenariuszu

W poniższej tabeli wymieniono role i funkcje, które są częścią tego scenariusza i opisano sposób ich obsługi.