Меры аудита информационной безопасности АСУ ТП

АУД.0 Разработка политики аудита безопасности

Для реализации данной меры разрабатываются внутренние нормативные документы, которые описывают какие события регистрируются, как долго хранятся журналы, кто имеет к ним доступ и как проводится анализ.

АУД.1 Инвентаризация информационных ресурсов

KICS for Nodes

Мера реализуется посредством обеспечения следующих возможностей:

• автоматизированного формирования перечня программ и исполняемых файлов с помощью задачи «Формирование правил контроля запуска программ» и его сохранения в XML-файл;
• автоматизированного формирования перечня подключённых устройств с помощью задачи «Формирование правил контроля устройств» и его сохранения в XML-файл.

Kaspersky Endpoint Agent

Мера реализуется в части передачи в KICS for Networks данных телеметрии, включающих сведения об узле, на котором установлено Kaspersky Endpoint Agent.

KICS for Linux Nodes

Мера реализуется посредством автоматизированного формирования перечня программ и исполняемых файлов с помощью задачи «Инвентаризация». Для каждого обнаруженного приложения предоставляются сведения о пути к файлу, его хеш-сумме и типе, а также категории, если она задана.

KICS for Networks

Инвентаризация активов АСУ ТП в KICS for Networks обеспечивается следующими функциями:

• выявление и контроль активов с формированием таблицы устройств на основе данных об устройствах, полученных из трафика через точки мониторинга, а также от узлов с установленным Kaspersky Endpoint Agent;
• импорт результатов сканирования, выполненного с помощью портативного сканера KICS for Nodes Portable;
• сбор сведений об оборудовании промышленных устройств, а также устройств под управлением Windows и Linux;
• сбор сведений о пользователях, приложениях и установленных патчах;
• оценка рисков на основе данных сетевого трафика, включая выявление уязвимостей устройств по сведениям об их характеристиках;
• активный опрос устройств для получения наиболее полной и точной информации об устройствах и их конфигурациях с использованием протоколов прикладного уровня и протоколов общего назначения;
• построение карты сетевых взаимодействий на основе трафика, поступающего через точки мониторинга, с возможностью просматривать сведения о взаимодействиях устройств за разные периоды времени;
• построение топологической карты, включающей устройства из таблицы устройств и соединения, выявленные при активном опросе коммутаторов или добавленные вручную;
• мониторинг сетевых сеансов с формированием таблицы сетевых сеансов;
• KICS for Networks фиксирует появление новых устройств, исчезновение старых, изменение конфигурации — это критически важно для актуализации инвентаря.

Kaspersky Security Center

Мера реализуется посредством следующих функций:

• автоматического сбора на каждом узле сведений об установленном программном обеспечении, аппаратных компонентах и подключённых периферийных устройствах;
• регистрации сведений об устройствах, включая данные об установленном программном обеспечении и оборудовании;
• учёта программ и обновлений, установленных на устройствах.

АУД.2 Анализ уязвимостей и их устранение

Мера АУД.2 «Анализ уязвимостей и их устранение» предполагает, что организация не только выявляет уязвимости, но и обеспечивает последовательное выполнение полного цикла работ: выявление уязвимостей, оценка связанных с ними рисков, устранение уязвимостей или применение компенсирующих мер, а также проверка результатов. Платформа KICS лишь частично покрывает данную меру.

KICS for Nodes

Мера реализуется в части защиты памяти процессов от эксплуатации уязвимостей с помощью задачи «Защита от эксплойтов». Компонент предотвращает эксплуатацию определённых типов уязвимостей в процессах, выполняемых на защищаемых узлах. При этом блокирование попыток эксплуатации не устраняет саму уязвимость, а лишь снижает риск её использования.

Для полного выполнения меры необходимо дополнить защиту следующими процессами и средствами: анализом уязвимостей операционных систем и программного обеспечения, оценкой рисков и приоритизацией исправлений, управлением обновлениями, а также документированием результатов повторной проверки.

KICS for Linux Nodes

Мера реализуется в части защиты памяти процессов от эксплуатации уязвимостей с помощью задачи «Защита от эксплойтов». Компонент предотвращает эксплуатацию определённых типов уязвимостей в процессах, выполняемых на защищаемых узлах. При этом блокирование попыток эксплуатации не устраняет саму уязвимость, а лишь снижает риск её использования.

Для полного выполнения меры необходимо дополнить защиту следующими процессами и средствами: анализом уязвимостей операционных систем и программного обеспечения, оценкой рисков и приоритизацией исправлений, управлением обновлениями, а также документированием результатов повторной проверки.

KICS for Nodes Portable

Выявление уязвимостей на узле в рамках меры выполняется с помощью задачи аудита безопасности. Для анализа используются встроенная база данных уязвимостей Kaspersky ICS CERT для АСУ ТП, база OVAL-описаний из Банка данных угроз (уязвимостей) ФСТЭК России или пользовательские базы OVAL-правил.

Kaspersky Endpoint Agent

В рамках меры поиск уязвимостей на узле выполняется с помощью задачи аудита безопасности. Для этого используются база данных уязвимостей Kaspersky ICS CERT для АСУ ТП, база OVAL-описаний из Банка данных уязвимостей ФСТЭК России либо пользовательские базы OVAL-правил.

KICS for Networks

Мера реализуется с помощью следующих функций:

• Поиск уязвимостей на узлах — выполняется с помощью задачи аудита безопасности. При проверке могут использоваться:
  – База данных уязвимостей Kaspersky ICS CERT для АСУ ТП;
  – база OVAL-описаний из Банка данных угроз (уязвимостей) ФСТЭК России;
  – пользовательские базы OVAL-правил.
• Выявление уязвимостей промышленных устройств — выполняется в рамках функции «Контроль рисков» на основе известных сведений об устройстве: производителя, модели и версии аппаратной части, а также производителя, названия и версии программного обеспечения.

Kaspersky Security Center

Мера реализуется с помощью следующих задач:

• «Поиск уязвимостей и требуемых обновлений» — для централизованного сбора сведений об уязвимостях на контролируемых узлах.
• «Закрытие уязвимостей» — для централизованного устранения уязвимостей в программах на управляемых устройствах под управлением Windows.

АУД.3 Генерирование временных меток и (или) синхронизация системного времени

Мера требует, чтобы требует, чтобы все события безопасности в информационной системе имели точные, однозначные и синхронизированные временные метки. Это критически важно для корреляции событий, расследования инцидентов и юридической значимости журналов. Для реализации данного требования нужно использовать сервера NTP, а также приемников ГЛОНАС/GPS.

АУД.4 Регистрация событий безопасности

Информационная система должна не только обеспечивать штатную работу, но и регистрировать все значимые события, связанные с безопасностью, включая попытки доступа, изменения конфигурации, запуск программ, подключение устройств и выявленные сетевые аномалии.

KICS for Nodes

Мера реализуется в части детальной регистрации событий безопасности непосредственно в журналах локальной консоли KICS for Nodes, которые обеспечивают прозрачность всех процессов на защищаемом узле:

• Журнал выполнения задачи: Содержит информацию о текущем состоянии задач (например, работа компонента Постоянная защита файлов и других компонетов, обновление баз) и о всех событиях, возникших за время их выполнения. Это гарантирует аудируемость операционной деятельности средств защиты.
• События компонента «Контроль запуска программ»: Формирует детализированные события как об успешном запуске, так и о блокировке исполняемых файлов. Каждое такое событие в обязательном порядке содержит критически важные для расследования атрибуты: полный путь к файлу, его хэш-сумму и имя пользователя, инициировавшего действие.
• Журнал системного аудита: Содержит информацию о событиях, связанных с администрированием и управлением самим продуктом (например, изменение политик, вход в консоль, обновление компонентов). Это исключает возможность незаметного изменения настроек защиты.
• Журнал безопасности содержит информацию о событиях, связанных с нарушениями безопасности или с попытками нарушения безопасности на защищаемом устройстве

KICS for Linux Nodes

Мера реализуется в части обеспечения многоуровневого и отказоустойчивого журналирования событий безопасности на узлах под управлением ОС семейства Linux, что достигается за счет следующих механизмов:

• регистрации событий и отчетов в графическом пользовательском интерфейсе. Это обеспечивает возможность оперативного локального аудита без необходимости подключения к центральной инфраструктуре;
• регистрации событий безопасности в журнале событий приложения /var/opt/kaspersky/kics/private/storage/events.db. обытия записываются в структурированную локальную базу данных (SQLite), что гарантирует целостность записей и защищает их от простой текстовой подделки или повреждения, характерного для обычных текстовых логов;
• регистрации событий безопасности в журнале операционной системы syslog (через rsyslog или systemd-journald). Данная опция позволяет бесшовно интегрировать события KICS в корпоративные SIEM-системы или локальные средства мониторинга (Zabbix, Prometheus) через стандартные протоколы сбора логов.

KICS for Networks

Мера реализуется в части:

• регистрации событий и инцидентов, выявленных в сетевом трафике, а также полученных от KICS for Linux Nodes и KICS for Nodes (через Kaspersky Endpoint Agent);
• Формирования детализированных отчетов о событиях безопасности, отражающих динамику угроз и состояние защищенности сетевого сегмента;
• Регистрации служебных сообщений программы для контроля работоспособности самого продукта;
• Регистрации критических событий безопасности в стандартный системный журнал ОС (через rsyslog или systemd-journald).

Kaspersky Security Center

• Выбор конкретных типов регистрируемых событий (например, только критические инциденты или все события контроля устройств).
• Фильтрацию по уровням важности (Information, Warning, Error, Critical).
• Настройку политик ротации и сроков хранения журналов в центральной базе данных в соответствии с требованиями внутренних регламентов и нормативных актов (например, не менее 1 года).
• Защиту журналов от несанкционированной локальной модификации или очистки.

KUMA

• Сбор и нормализация: Агрегация сырых логов из разнородных источников (KICS, KSC, сетевое оборудование, ОС) и приведение их к единому нормализованному формату.
• Обогащение и корреляция: Глубокие возможности аналитики, включая использование правил корреляции и алгоритмов машинного обучения (ИИ) для выявления сложных многоэтапных атак, которые не видны при анализе изолированных событий.
• Долгосрочное хранение: Гарантированное архивное хранение событий в течение сроков, требуемых регулятором.
• Соответствие стандартам: Полная поддержка требований отечественных регуляторов (ФСТЭК России, ГосСОПКА), включая готовые пакеты правил корреляции и форматы выгрузки событий для взаимодействия с государственными системами мониторинга.

АУД.5 Контроль и анализ сетевого трафика

KICS for Nodes

• Анализ и блокировка сетевых атак (Задача «Защита от сетевых угроз»): Компонент осуществляет глубокую проверку входящего (и исходящего) сетевого трафика на уровне драйвера, до того как пакеты будут обработаны операционной системой или приложениями.
• Предотвращение несанкционированных каналов связи (Задача «Контроль Wi-Fi»): Компонент отслеживает состояние беспроводных сетевых адаптеров и попытки подключения защищаемого устройства к сетям Wi-Fi. Позволяет гибко настраивать политики: от полной блокировки всех беспроводных подключений (для стационарных АРМ АСУ ТП) до разрешения подключения исключительно к доверенным точкам доступа (по MAC-адресу или SSID)

KICS for Networks

KICS for Networks обеспечивает сквозную видимость и контроль всего, что происходит в промышленном сегменте сети, без риска нарушения технологического процесса (благодаря пассивному режиму работы). Мера реализуется в части непрерывного пассивного мониторинга, глубокого анализа (DPI) и контроля сетевого трафика в промышленном сегменте с помощью следующих механизмов:

• Глубокий анализ пакетов (DPI): Система распознает и декодирует десятки промышленных протоколов (Modbus TCP, OPC UA, Siemens S7Comm, DNP3, IEC 61850, Profinet и др.). А также осуществляется не просто контроль факта соединения, а анализ команд: система понимает, является ли команда «Чтение» допустимой, а команда «Запись» или «Изменение уставки» — несанкционированной для данного источника.
• Выявление сетевых аномалий: В режиме обучения KICS for Networks формирует эталонную модель («белый список») нормального сетевого взаимодействия для каждого устройства. Тем самым система автоматически выявляет и фиксирует отклонения: появление новых IP-адресов, использование нестандартных портов, необычные объемы трафика или изменение ролей устройств (например, ПЛК внезапно начинает инициировать исходящие соединения).
• Обнаружение сетевых угроз и атак: Выявление попыток сканирования сети, DoS/DDoS-атак, эксплуатации известных уязвимостей промышленного оборудования и активности вредоносного ПО (в т.ч. целевых атак на АСУ ТП, таких как Industroyer, Triton и др.).

АУД.6 Защита информации о событиях безопасности

Мера реализуется в части комплексной защиты информации о событиях безопасности за счет:

KICS for Nodes

Мера реализуется в части защиты доступа к функциям KICS for Nodes с помощью пароля. Настройка прав пользователей позволяет разграничить доступ к управлению приложением и зарегистрированными службами. Для дополнительной защиты критически важных операций в параметрах KICS for Nodes можно включить защиту паролем.

KICS for Linux Nodes

Мера реализуется в части реализации ролевой модели управления доступом к KICS for Linux Nodes. Также файл базы событий (/var/opt/kaspersky/kics/private/storage/events.db) и конфигурационные файлы хранятся в защищенном каталоге с правами доступа, разрешающими чтение/запись только процессу KICS и пользователю root. Это предотвращает модификацию журналов другими пользователями системы.

KICS for Networks

Мера реализуется в части реализации ролевой модели управления доступом к веб-интерфейсу KICS for Networks. Также журналы событий хранятся в защищенной базе данных сервера, доступ к которой возможен только через авторизованный веб-интерфейс или API с использованием токенов аутентификации.

Kaspersky Security Center

Мера реализуется в части реализации ролевой модели управления доступом к веб-консоли Kaspersky Security Center. Гибкая система ролей (Администратор безопасности, Оператор, Аудитор, Администратор установки и др.) позволяет разграничить права доступа к журналам. Например, роль «Аудитор» может просматривать все события, но не может изменять политики или очищать базу данных событий.

KSC ведет отдельный, защищенный журнал действий самих администраторов консоли (кто, когда и какую настройку изменил, кто просматривал события). Это обеспечивает неотрекаемость и позволяет выявить попытки фальсификации данных изнутри.

АУД.7 Мониторинг безопасности

KICS for Networks

Мера реализуется в части:

• мониторинга безопасности в онлайн-режиме в разделе «Мониторинг» через веб-интерфейс KICS for Networks;
• мониторинга событий безопасности и инцидентов в разделе «События» через веб-интерфейс KICS for Networks

KICS for Nodes

Мера реализуется в части:

• мониторинга статуса защиты узла и событий безопасности, выявленных по различным технологиям, через локальную консоль KICS for Nodes в журналах соответствующих компонентов (постоянная защита, контроль запуска программ и др.);
• мониторинга статуса защиты узла и статистики событий безопасности через диагностическое окно KICS for Nodes;
• обнаружения признаков нетипичного поведения в системе, которые могут свидетельствовать о попытках кибератак, путем анализа журналов Windows с помощью задачи «Анализ журналов».

Kaspersky Security Center

Мера реализуется в части отображения веб-виджетов о состоянии безопасности на панели мониторинга и формирования отчетов о состоянии безопасности.

АУД.8 Реагирование на сбои при регистрации событий безопасности

Требование предполагает, что при сбое — например, переполнении диска, остановке службы или потере связи — информационная система должна не просто прекратить запись журналов, а зафиксировать причину сбоя и оперативно уведомить администраторов, чтобы они могли принять необходимые меры.

KICS for Nodes

Мера реализуется за счет повышения отказоустойчивости подсистемы аудита и детализации локального журналирования.

KICS for Nodes ведет собственные защищенные журналы событий, в которых фиксируются не только события безопасности — например, блокировки и запуски, — но и диагностические события, связанные с работой агента. К ним относятся ошибки инициализации драйверов, нарушения связи с сервером администрирования, сбои записи на диск и нештатное завершение процессов.

Журналы событий содержат коды ошибок, имена модулей и временные метки. Эти данные помогают администратору оперативно установить причину сбоя при регистрации событий и отличить программную ошибку от возможного злонамеренного воздействия.

KICS for Linux Nodes

Мера реализуется за счет интеграции с подсистемой журналирования операционной системы, что повышает надежность регистрации событий и сбоев.

Дублирование записей. События приложения KICS for Linux Nodes фиксируются как в собственном журнале событий, так и в системном журнале операционной системы — syslog или systemd-journald.

Даже если собственный журнал приложения станет недоступен, например из-за повреждения файла, сведения о нештатном завершении службы или ошибке драйвера сохранятся в системном журнале операционной системы (syslog или systemd-journald). Таким образом обеспечивается резервный канал регистрации критически важных событий.

АУД.9 Анализ действий пользователей

Для реализации меры информационная система должна обеспечивать не только сбор журналов событий, но и привязку событий безопасности к конкретным учетным записям пользователей. Также должны быть доступны средства для последующего поиска, фильтрации и анализа этих событий.

KICS for Nodes

Мера реализуется в части:

• Сортировка событий по имени пользователя: В локальной консоли KICS for Nodes администратор может отсортировать события в журнале событий безопасности и журнале системного аудита по полю «Имя пользователя». Это позволяет оперативно выявить все действия, совершенные конкретной учетной записью, без необходимости обращения к центральной консоли KSC.
• Детализация действий: Для каждого события отображается полный контекст: время, тип действия (запуск приложения, подключение устройства, сетевое соединение), результат (разрешено/заблокировано), путь к файлу или устройству.
• Экспорт и передача данных: Отфильтрованные и отсортированные события могут быть экспортированы для последующего анализа или передачи в группу реагирования на инциденты.

KICS for Linux Nodes

Мера реализуется в части возможности фильтрации событий при отображении в командной строке с помощью логических выражений. Администратор может использовать командную строку для фильтрации событий безопасности с применением логических выражений (например, AND, OR, NOT, сравнения по полям).

Kaspersky Security Center

Kaspersky Security Center позволяет фильтровать события безопасности и формировать по ним отчёты, связывая события с конкретными учётными записями пользователей во всей инфраструктуре.

АУД.10 Проведение внутренних аудитов

Мера реализуется организационными процедурами: разработаны и утверждены Положение о внутреннем аудите, ежегодный План проверок, Программы (чек-листы) аудита, а также формы Акта и Плана корректирующих мероприятий.

KICS for Nodes Portable 

Мера реализуется в части поиска уязвимостей на узле с помощью задачи аудита безопасности с использованием встроенных баз для оценки настроек операционных систем или пользовательских баз OVAL-правил.

KICS for Networks

Мера реализуется с использованием компонента «Аудит безопасности», входящего в состав Kaspersky Industrial CyberSecurity for Networks. Система централизованно и в автоматизированном режиме проверяет сетевые устройства, ПЛК и узлы АСУ ТП на соответствие их конфигураций и версий программного обеспечения встроенным или пользовательским наборам описаний на языке OVAL (Open Vulnerability and Assessment Language).

Такой подход позволяет автоматизировать проверку соблюдения внутренних регламентов информационной безопасности, выявлять отклонения от эталонных конфигураций и уязвимости без существенного воздействия на технологический процесс. По результатам аудита формируются подробные отчёты о соответствии, которые могут использоваться в качестве доказательной базы при проведении внутренних и внешних проверок.

Kaspersky Security Center

Мера реализуется с помощью задачи «Аудит безопасности», которая обеспечивает централизованную и автоматизированную проверку контролируемых узлов на соответствие заданной базе описаний OVAL.

Запустить задачу можно только при наличии активного лицензионного ключа Kaspersky Industrial CyberSecurity for Nodes, включающего лицензионный объект ICS Audit.

АУД.11 Проведение внешних аудитов

Привлечение подрядных организаций для проведения аудита соответствия установленным требованиям.