Меры ограничения программной среды

ОПС.0 Разработка политики ограничения программной среды

Для реализации данной меры необходимо разработать и утвердить регламент управления программной средой. В нём следует определить, кто и на каких основаниях согласует установку и запуск программного обеспечения, устанавливает требования к его проверке и контролирует их соблюдение. Также необходимо закрепить порядок оформления исключений, сроки их действия, ответственных за согласование и периодический пересмотр выданных разрешений.

ОПС.1 Управление запуском (обращениями) компонентов программного обеспечения

Мера предусматривает применение в информационной системе механизма контроля запуска программного обеспечения. Механизм должен предотвращать выполнение неавторизованных объектов, включая вредоносные и неразрешённые программы, исполняемые файлы, скрипты и библиотеки.

Реализация с помощью KICS for Nodes

В рамках меры используются следующие задачи:

«Контроль запуска программ» — для отслеживания и ограничения возможности запуска программ пользователями и группами пользователей. Правила контроля позволяют определять, каким пользователям и группам разрешён запуск программного обеспечения. Администратор формирует и поддерживает перечень разрешённых объектов, в который могут включаться исполняемые файлы, библиотеки DLL и скрипты. После настройки политики контроля попытки запуска объектов, отсутствующих в перечне разрешённых, блокируются.
«Формирование правил контроля запуска программ» — для автоматизированного составления перечня программ и исполняемых файлов, обнаруженных в системе, и сохранения этого перечня в XML-файл.

Для эффективной работы механизма необходимо регулярно актуализировать перечень разрешённых объектов, проверять корректность применяемых правил и контролировать события блокировки. Добавление нового программного обеспечения в перечень следует выполнять после проверки и согласования в установленном организацией порядке. При необходимости временного исключения из правил следует определить основание, срок действия и ответственных за его согласование и пересмотр.

Реализация с помощью KICS for Linux Nodes

Мера реализуется в части:

отслеживания и ограничения доступа пользователей к запуску программ с помощью задачи «Контроль приложений». Администратор формирует и поддерживает перечень разрешённых объектов, в который могут включаться исполняемые файлы и скрипты. После настройки политики контроля попытки запуска объектов, отсутствующих в перечне разрешённых, блокируются.;
возможности автоматизированного формирования перечня программ и исполняемых файлов с помощью задачи «Инвентаризация».

ОПС.2 Управление установкой (инсталляцией) компонентов программного обеспечения

Приказ ФСТЭК № 239 требует, чтобы в информационной системе были реализованы механизмы, предотвращающие несанкционированную установку ПО, ограничивающие круг лиц, имеющих право на установку, и контролирующие источники установки.

Реализация с помощью KICS for Nodes

В рамках меры используются следующие задачи:

«Контроль запуска программ» — для отслеживания и ограничения возможности запуска программ пользователями и группами пользователей. Правила контроля позволяют определять, каким пользователям и группам разрешён запуск программного обеспечения. Также в компоненте присутствует возможность осуществлять Контроль пакетов установки.
Модуль «Контроль пакетов установки» использует отдельный список исключений. Добавление пакета в этот список присваивает ему статус доверенного: его распаковка разрешается, а установленным или обновлённым из него программам разрешается запускаться автоматически. Извлечённые файлы также могут наследовать доверенный статус родительского пакета.

Основным пакетом установки считается пакет, внесённый в список исключений и получивший статус доверенного.
«Формирование правил контроля запуска программ» — для автоматизированного составления перечня программ и исполняемых файлов, обнаруженных в системе, и сохранения этого перечня в XML-файл.

KICS for Linux Nodes

В среде Linux установка ПО — это, по сути, запуск исполняемого файла (скрипта .sh, .run, бинарного файла) или вызов пакетного менеджера (rpm, dpkg, apt, yum). KICS for Linux Nodes контролирует именно эти действия

Мера реализуется в части отслеживания и ограничения возможности пользователей по установке программ с помощью задачи «Контроль приложений».
Компонент контроль целостности файлов осуществляет мониторит критических системных каталогов (/bin, /sbin, /usr/bin, /opt). Если каким-то образом файл был изменен или добавлен без ведома системы, KICS зафиксирует это как инцидент нарушения целостности.

KICS for Networks

Мера реализуется в части выполнения контроля конфигураций установленных компонентов программного обеспечения путем сравнения их перечня с перечнем разрешенных процессов (эталонная конфигурация) и выявления отклонения от разрешенных значений.

Kaspersky Security Center

Мера реализуется в части:

автоматизации установки и централизованного управления программными продуктами АО «Лаборатория Касперского»;
возможности удаленной установки программ на защищаемые устройства с установленным агентом администрирования;
возможности централизованного просмотра реестра программ на узлах с установленным агентом администрирования.

ОПС.3 Управление временными файлами

Для реализации данной меры следует использовать встроенные средства защиты операционной системы и приложений. Необходимо ограничить права доступа к временным каталогам, настроить регулярную очистку и определить политики хранения и удаления временных файлов. При необходимости очистку можно автоматизировать с помощью централизованных сценариев, а выполнение установленных требований — контролировать средствами управления конечными устройствами. При настройке сроков хранения следует учитывать, что временные файлы могут быть необходимы для работы активных приложений.