Подробный гайд по настройке аудита событий безопасности в ПМДЗ ViPNet SafeBoot
Гайд по архитектуре, настройке и анализу аудита событий безопасности в программном модуле доверенной загрузки ViPNet SafeBoot от компании «ИнфоТеКС».
1. Введение и назначение системы
ViPNet SafeBoot — это сертифицированный программный модуль доверенной загрузки (ПМДЗ), который устанавливается непосредственно в UEFI BIOS различных производителей. Его главная цель — создание аппаратно-программной точки доверия к платформе и автоматическое выявление инцидентов на основе непрерывного анализа событий информационной безопасности.
2. Архитектура журнала событий и его защита
Вся история значимых событий безопасности и действий пользователя привычно хранится в соответствующем разделе «Журнал событий».
* Доверенное хранение:
Важнейшей архитектурной задачей продукта является обеспечение доверенного хранения самого журнала событий и базы настроек. Это необходимо для защиты от компрометации и исключения угрозы подделки записей журнала регистрации (в модели угроз ФСТЭК это УБИ.124).
* До-ОС аудит:
Платформа ведет детальный журнал событий, происходящих на этапе загрузки системы, задолго до старта основной операционной среды.
3. Типы регистрируемых событий
Система фиксирует широкий спектр инцидентов и действий, среди которых:
- Аутентификация: Все значимые события безопасности, включая успешные и неуспешные попытки авторизации пользователей перед загрузкой ОС.
- Нарушения целостности: Попытки несанкционированного изменения конфигурации BIOS/UEFI, перехвата управления или выполнения привилегированных команд, которые блокируются защитой на уровне SMM.
- Изменение конфигурации: Факты экспорта и импорта настроек ViPNet SafeBoot, а также обновления модуля.
- Сетевая загрузка: События, связанные с организацией доверенной загрузки операционной системы по сети.
4. Режимы аудита и детализация
Для удобства администрирования и оптимизации размера хранилища в ПМДЗ предусмотрено несколько режимов ведения журнала с разным уровнем детализации. Администратор может настроить систему как на фиксацию только критических инцидентов, так и на детальное протоколирование каждого шага пользователя и процесса самотестирования.
5. Ролевая модель доступа
Для работы с журналом в ViPNet SafeBoot применяется строгое разграничение прав доступа:
- Администратор: Обладает полными правами на настройку ПМДЗ, управление политиками, пользователями и самим процессом журналирования.
- Аудитор: Специальная роль, созданная для безопасного мониторинга. Аудитору предоставляется доступ исключительно к просмотру и выгрузке журнала событий без права изменения конфигурации узла, что исключает риск умышленного сокрытия следов инцидентов.
6. Централизованный сбор логов и интеграция
В корпоративных средах ручной просмотр журналов на каждом узле неэффективен, поэтому ИнфоТеКС предлагает инструменты для централизации аудита:
- ViPNet SafeBoot MC: Специализированное ПО, предназначенное для централизованного лицензирования и автоматического сбора журналов с продуктов SafeBoot (в частности, версий 1.4 и 2.0).
- Удаленный аудит (SafeBoot 4): Новое поколение продукта расширяет возможности аудита, позволяя администратору удаленно запрашивать журнал событий, считывать настройки и обновлять версии ПМДЗ на всем парке машин по сети.
- Интеграция с ViPNet EndPoint Protection (EPP): Управление модулями SafeBoot доступно напрямую из консоли ViPNet EPP. При этом события могут дублироваться в системные журналы ОС (Windows Event Log) и журнал самотестирования ViPNet EPP, что позволяет интегрировать их в SIEM-системы, такие как ViPNet TIAS.
7. Рекомендации по мониторингу
- Настройте регулярный экспорт: Используйте учетную запись Аудитора для периодической выгрузки журналов на защищенный внешний носитель или сетевое хранилище.
- Реагирование на инциденты: Настройте алертинг в системах мониторинга на события отказа в авторизации на этапе пре-бута (Pre-boot) и срабатывания механизмов контроля целостности UEFI.
- Используйте интеграцию с SIEM: Если в инфраструктуре используется ViPNet EndPoint Protection, обязательно настройте проброс событий SafeBoot в системный журнал Windows для их последующей агрегации и анализа на сервере безопасности.
Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.