Шаг 1. Создайте необходимые решения инцидентов

В разделе Настройки инцидентов ➜ Решения инцидентов нажмите добавить, укажите название и описание создаваемого решения и нажмите кнопку Сохранить.

Шаг 2. Создайте типы инцидентов

В разделе Настройки инцидентов ➜ Типы инцидентов нажмите добавить, укажите название и описание создаваемого типа и нажмите кнопку Сохранить.

Шаг 3. Создайте состояния инцидентов

В разделе Настройки инцидентов ➜ Состояния инцидентов нажмите добавить, укажите название, описание и группу создаваемого состояния. Группа состояние определяет положение данного состояние в схеме состояний. Возможно 3 варианта:

• Открыто — данная группа назначается состояниям инцидентов, по которым еще не начата работа или она приостановлена. Как правило, это начальные состояния инцидентов, например Создан. Все состояния данной группы помечаются синим цветом в веб-консоли.

• В работе — данная группа назначается состояниям инцидентов, по которым ведется, но еще не завершена работа. Это промежуточные состояния инцидентов, например, В работе, Расследование. Все состояния данной группы помечаются желтым цветом в веб-консоли.

• Закрыто — данная группа назначается состояниям инцидентов, по которым завершена работа. Это конечные состояния инцидентов, например, Завершено, Закрыто. При переходе в состояние этой группы необходимо обязательно указать решение инцидента, например, Ложная атака, Подтвержденная атака, Выполнено. Все состояния данной группы помечаются зеленым цветом в веб-консоли.

После определения всех полей нажмите кнопку Сохранить.

Шаг 4. Создайте схему инцидентов

В разделе Настройки инцидентов ➜ Схемы инцидентов нажмите добавить и укажите следующие параметры:

• Сделать активной — делает данную схему активной. Только одна схема может быть активной, если была активна другая схема, то данное действие сделает ее не активной, и все новые и существующие инциденты перейдут на работу по новой схеме.

• Схема — название схемы.

• Префикс — префикс, который будет использован при назначении идентификаторов создаваемым инцидентам. Идентификатор будет иметь вид Префикс — порядковый номер, например INC-99.

• Описание — необязательное описание данной схемы.

• Состояния рабочего процесса — описывает все состояния, которые может принимать инцидент в своем жизненном цикле. Добавьте сюда все состояния инцидентов, созданные на предыдущем шаге.

• Начальное состояние — указывает начальное состояние, которое принимает инцидент при его создании.

• Переходы — необходимо указать все возможные переходы между состояниями и дать им названия. Например, создать переход под названием Взять в работу для перехода из состояния Открыто в состояние В работе. Перевод инцидента между состояниями возможен только для тех состояний, между которыми определены переходы.

• Решения инцидентов — указывает список возможных решений инцидентов. Решение является обязательным при завершении работы по расследованию тикета, то есть при переводе его в состояние, относящееся к группе закрыто. Выберите все необходимые решения, которые были созданы ранее.

• Типы инцидентов — укажите типы инцидентов, которые могут быть использованы в этой схеме.

Шаг 5. Активируйте схему инцидентов

После создания схемы инцидентов ее необходимо активировать. Для этого активируйте чекбокс Сделать активной в настройках схемы инцидентов.

Название

Название виджета, которое будет отображено в Дашборд.

Диаграмма

Тип представления данных:

• Число.

• Вертикальная гистограмма.

• Таблица.

Запрос фильтра

SQL-подобная строка запроса, позволяющая ограничить объем информации, используемой при построении виджета.

Описание

Описание виджета.

Количество записей

Максимальное количество записей для отображения.

Создан

date

Дата и время создания инцидента.

Изменён

updateDate

Дата и время последнего изменения.

Индекс

incidentPrefix

Префикс инцидента (INC-N, где N — порядковый номер инцидента; нумерация начинается с 0).

Имя

incidentName

Название инцидента.

Правило

rule

Название правила аналитики, в результате срабатывания которого автоматически был создан инцидент, т.е. при настройке правила аналитики было задано действие реагирования Создать инцидент.

Статус

status

Статус инцидента.

Существует 3 группы состояний, которые определяют положение данного состояние в схеме состояний:

• Открыто — данная группа назначается состояниям инцидентов, по которым еще не начата работа или она приостановлена. Как правило, это начальные состояния инцидентов, например Создан. Все состояния данной группы помечаются синим цветом в веб-консоли.

• В работе — данная группа назначается состояниям инцидентов, по которым ведется, но еще не завершена работа. Это промежуточные состояния инцидентов, например, В работе, Расследование. Все состояния данной группы помечаются желтым цветом в веб-консоли.

• Закрыто — данная группа назначается состояниям инцидентов, по которым завершена работа. Это конечные состояния инцидентов, например, Завершено, Закрыто. При переходе в состояние этой группы необходимо обязательно указать решение инцидента, например, Ложная атака, Подтвержденная атака, Выполнено. Все состояния данной группы помечаются зеленым цветом в веб-консоли.

По умолчанию в UserGate создана схема Incident, которая содержит переходы между всеми состояниями. Схемы инцидентов можно добавить в разделе Настройки ➜ Настройка инцидентов ➜ Схема инцидентов.

Дополнительные состояния инцидентов можно задать во вкладке Настройки ➜ Настройка инцидентов ➜ Состояния инцидентов. Подробнее читайте в разделе Настройки инцидентов.

Решение

resolution

Решение инцидента. По умолчанию созданы:

• False positive: ложная атака.

• True positive: подтверждённая атака.

• Duplicate: проблема повторяет другую проблему.

• Won’t do: задача не выполнима.

• Done: проблема решена.

Дополнительные решения инцидентов можно создать во вкладке Настройки ➜ Настройка инцидентов ➜ Решения инцидентов. Подробнее читайте в разделе Настройки инцидентов.

Тип

type

Тип инцидента. По умолчанию доступны 2 типа: инцидент безопасности и задача. Дополнительно типы инцидентов можно создать в разделе Настройки ➜ Настройка инцидентов ➜ Типы инцидентов. Подробнее читайте в разделе Настройки инцидентов.

Приоритет

priority

Приоритет инцидента:

• Низкий.

• Нормальный.

• Важный.

• Критический.

Инициатор

reporter

Имя администратора, который создал инцидент.

Последнее изменение

lastChangeBy

Имя администратора, который внёс последнее изменение.

Назначен

assignee

Имя администратора, назначенного на инцидент.

Активность

Количество комментариев, срабатываний правил аналитики и журналов событий, добавленных в инцидент.

Имя

Указать название инцидента информационной безопасности.

Тип

Указать тип инцидента.

По умолчанию созданы 2 типа инцидентов: инцидент безопасности и задача. Дополнительно типы инцидентов могут быть созданы в разделе Настройки ➜ Настройка инцидентов ➜ Типы инцидентов. Подробнее читайте в разделе Настройки инцидентов.

Приоритет

Назначить приоритет

• Низкий.

• Нормальный.

• Важный.

• Критический.

Назначен

Назначить ответственного на инцидент.

Наблюдатели

Указать список сотрудников для наблюдения за инцидентом. При любых изменениях инцидента они будут получать уведомление.

Вложения

Прикрепить файлы, относящиеся к инциденту.

Описание

Ввести описание инцидента.

Тип улики

Возможен выбор одного из следующих типов улик:

• Автономная система: система IP-сетей и маршрутизаторов, находящихся под единым управлением.

• Домен: имя сайта в Интернете.

• Файл: файл, о котором необходимо собрать информацию.

• Имя файла: название файла, о котором необходимо собрать информацию.

• FQDN: полное доменное имя.

• Хэш: хэш какого-либо файла, например, добавленного в инцидент.

• Имя хоста: метка устройства, подключённого к компьютерной сети и использующаяся для идентификации устройства.

• IP: уникальный адрес, идентифицирующий устройство в компьютерной сети.

• Почта: адрес электронной почты.

• Тема письма: часть письма, указанная в поле subject.

• Реестр: ключ реестра Microsoft Windows — каталог, в котором хранятся настройки и параметры операционной системы.

• Путь URI: последовательность символов, идентифицирующая абстрактный или физический ресурс.

• URL: индивидуальный адрес ресурса в сети Интернет.

• Агент пользователя: буквенно-цифровая строка, идентифицирующая программу, которая отправляет запрос на сервер и одновременно запрашивает доступ к web-сайту.

• Другое.

Значение

Необходимо указать объект, с которым будет производиться работа: IP-адрес, домен, и т.п.

Тип атаки

Для указания доступны следующие типы атаки:

• Ботнет — сеть заражённых компьютеров, удалённо управляемых преступниками.

• Фишинг — вид интернет-мошенничества, целью которого является получение доступа к конфиденциальным данным пользователей — логинам и паролям.

• Вредоносное ПО — любое программное обеспечение, которое пытается заразить компьютер или мобильное устройство.

• DDoS — способ заблокировать работу сайта путем подачи большого количества запросов, превышающих пропускную способность сети.

• Угон трафика — злоумышленное перенаправление трафика.

• Сетевое сканирование — сканирование узлов сети для определения уязвимостей.

• Брутфорс — метод взлома учётных записей путём подбора паролей к ним.

• Компроментация — факт несанкционированного доступа к защищенной информации, а также подозрение осуществления такого доступа.

• Спам — массовая рассылка с использованием специальных программ, коммерческой, политической и иной рекламы или иного вида сообщений людям, не выразившим желания их получать.

• Другое.

TLP

Отображена маркировка конфиденциальной информации (Traffic Light Protocol). Возможны следующие маркировки:

• RED: информация является крайне конфиденциальной.

• AMBER: информацией можно поделиться в рамках своей организации, при условии, что этой информацией нужно поделиться.

• GREEN: информация может быть широко распространена в пределах определённого сообщества.

• WHITE: информация в свободном распространении, но не нарушает авторские права.

Индикатор компроментации?

Чекбокс необходимо отметить, если объект является потенциальным индикатором компроментации.

Сервисы

Отображён список сервисов, которые используются для получения дополнительной информации об объектах наблюдения. Список сервисов отображается автоматически после выбора типа улики. Список сервисов доступен в разделе Настройки ➜ Библиотеки ➜ Внешние сервисы обогащений. Подробнее читайте в разделе Внешние сервисы обогащений.

Обновлено

Показаны дата и время последнего обновления сервиса.

Организация

Название организации.

Категория

Категория уведомления:

• уведомление о компьютерном инциденте;

• уведомление о компьютерной атаке;

• уведомление о наличии уязвимости.

Тип события ИБ

Тип события информационной безопасности:

• вовлечение контролируемого ресурса в инфраструктуру ВПО;

• замедление работы ресурса в результате DDoS-атаки;

• заражение ВПО;

• захват сетевого трафика;

• использование контролируемого ресурса для фишинга;

• компрометация учётной записи;

• несанкционированное изменение информации;

• несанкционированное разглашение информации;

• публикация на ресурсе запрещённой законодательством РФ информации;

• рассылка спам-сообщений с контролируемого ресурса;

• успешная эксплуатация уязвимости.

Статус реагирования на инцидент

Статус реагирования на инцидент:

• меры приняты;

• проводятся мероприятия по реагированию;

• возобновлены мероприятия по реагированию.

Необходимость привлечения сил ГосСОПКА

Отметьте флаг в случае необходимости привлечения сил ГосСОПКА.

Краткое описание события ИБ

Описание события информационной безопасности.

Сведения о средстве или способе выявления инцидента

Информация о способе и устройстве/ПО, посредством которого был выявлен инцидент.

Дата и время выявления инцидента

Дата и время выявления инцидента заполняются автоматически.

Дата и время завершения инцидента

Дата и время завершения инцидента заполняются автоматически.

Ограничительный маркер TLP

Маркировка конфиденциальной информации (Traffic Light Protocol). Возможны следующие маркировки:

• RED: информация является крайне конфиденциальной;

• AMBER: информацией можно поделиться в рамках своей организации, при условии, что этой информацией нужно поделиться;

• GREEN: информация может быть широко распространена в пределах определённого сообщества;

• WHITE: информация в свободном распространении, но не нарушает авторские права.

Влияние на доступность

Потенциальное влияние на доступность информационных ресурсов:

• отсутствует;

• низкое;

• высокое.

Влияние на целостность

Потенциальное влияние на целостность ресурсов информационной системы:

• отсутствует;

• низкое;

• высокое.

Влияние на конфиденциальность

Потенциальное влияние на конфиденциальность (ограничение доступа к информационным ресурсам, разрешения доступа к системе только авторизованным пользователям, предотвращение раскрытия информации неуполномоченным лицам):

• отсутствует;

• низкое;

• высокое.

Краткое описание иной формы последствий компьютерного инцидента

Описание последствий инцидента, кроме тех, что были указаны ранее.

Наименование контролируемого ресурса, на котором был выявлен компьютерный инцидент

Наименование контролируемого информационного ресурса объекта КИИ, на котором выявлен компьютерный инцидент, компьютерная атака или уязвимость.

Информация о категорировании ОКИИ

Присвоенная объекту КИИ категория значимости:

• Информационный ресурс не является объектом КИИ;

• Объект КИИ без категории значимости (объект признан незначимым);

• Объект КИИ третьей категории значимости (самая низкая);

• Объект КИИ второй категории значимости;

• Объект КИИ первой категории значимости (самая высокая).

Сфера функционирования субъекта

Сфера функционирования объекта КИИ (например, банковская сфера, здравоохранение и т.п.).

Наличие подключения к сети Интернет

Наличие подключения к сети Интернет:

• Да;

• Нет.

Страна/регион

Код в соответствии с ISO-3166-2.

Населенный пункт или геокоординаты

Название населённого пункта или его географические координаты.

Географические координаты указываются в формате: широта — С.Ш, долгота - В.Д.