ISMS信息监控系统访问与使用.docVIP

ISMS信息监控系统访问与使用

目标：检测未授权的行为

应该对系统进行监控，以发现和访问控制方针相背离之处，并记录可监控事件，以便于在发生安全事故时提供线索。

系统监控允许审查所采用的控制措施的有效性，和证实与访问方针模型的一致性

1.事件日志

应建立记录意外事件和其他与安全相关事件的审核日志，并将其保留已经同意的一段时间，以协助以后的调查和访问控制控工作。审核日志应包括：

用户身份标识符；

登录和退出系统的日期和时间；

如有可能，终端的身份和位置；

成功的和被拒绝的系统访问尝试的记录；

成功的和被拒绝的数据和其他资源的访问尝试的记录。

确定的审核日志应作为记录保留方针的一部分加以存档，或因为收集证据的需要而进行存档。

2.监控系统的使用

(1)流程和风险区

应建立监控信息处理设备使用情况的流程。为确保用户只进行被授权的操作，这些流程是必须的。不同设备所需的监督级别应有风险评估来确定。应该给予考虑的方面有：

授权访问，包括如下的详细情况：

用户ID；

关键事件的日期和时间；

事件类型；

被访问的文件；

使用的程序和应用软件；

所有的特权操作，如：

使用系统管理员的账号；

系统启动和中止；

输入/输出设备的连接与拆卸；

未授权的访问尝试，如：

失败的尝试；

违反访问方针，网关和防火墙的通告；

入侵检测系统的报警

系统警报或故障，如：

控制台警报或信息；

系统登录异常；

网络管理警报；

(2)风险因素

应经常检查监控行为的结果。检查的频繁程度要由所涉及的风险来决定。应给予考虑的风险因素包括：

应用程序的关键程度；

所涉及的信息的价值、敏感性或关键性；

系统渗透和误用的历史记录；

系统互连的广度（特别是公众网）；

(3)日志和审查事件

日志审查包括了解系统所面临的威胁和威胁发生的方式。在9.7.1中给出了在发生安全事件时，需要深入调查的事件的例子。

系统日志包括大量的信息，其中很多信息和安全控无关。为帮助辨认出对安全监控目的有意义的事件，应考虑将适当的信息类型自动的复制到第二日志中，或使用适当的系统工具软件或审核工具来执行文件审查工作。

分配日志审查责任时，应考虑在执行审查工作的人员和被监督人员之间进行角色划分。

应特别关注记录设备的安全，因为设备遭到损害，将会提供对安全的错误判断。控制措施应针对防止其受到未授权更改和操作问题，此类问题包括：

记录设备无效；

更改记录的信息类型；

日志文件被编辑或删除；

日志文件的媒体被耗尽，不能记录事件，自身不可重写；

3.时钟同步

对计算机时钟的正确设置对于确保审核日志的准确性是很重要的，因为这些日志是调查所需要的，或是法律事件或违规事件的证据。不准确的审核日志会妨碍调查和毁坏这些证据的可信性。

计算机或通信设备有能力运行时钟的情况下，它应被设置成公认的标准，如都用协调时间，或标准时间。有些时钟会随时间出现偏差，应有流程来检查和矫正一切明显的偏差。