ГОСТ Р 59712-2022. Национальный стандарт Российской Федерации. Защита информации. Управление компьютерными инцидентами. Руководство по реагированию на компьютерные инциденты

6.4 Выявление последствий компьютерного инцидента

 

На этапе "выявление последствий компьютерного инцидента" специалистами, входящими в состав рабочей группы реагирования на компьютерный инцидент, должны выполняться действия, направленные на выявление признаков негативного воздействия на элементы информационной инфраструктуры, вовлеченные в компьютерный инцидент.

При выявлении признаков негативного воздействия на элементы информационной инфраструктуры, вовлеченные в компьютерный инцидент, специалисты, входящие в состав рабочей группы реагирования на компьютерный инцидент, должны провести детальный анализ имеющихся данных о компьютерном инциденте.

На рисунке 3 представлена схема организационного процесса этапа "выявление последствий компьютерного инцидента".

 

 

Рисунок 3 - Схема организационного процесса этапа

"выявление последствий компьютерного инцидента"

 

К примерам признаков негативного воздействия на элементы информационной инфраструктуры, вовлеченные в компьютерный инцидент, которые выявляются в ходе анализа имеющихся данных о компьютерном инциденте, можно отнести следующее:

- нештатная сетевая активность элемента информационной инфраструктуры;

- созданные, модифицированные, удаленные файлы, каталоги, параметры настройки ОС, средств защиты информации, прикладного ПО;

- отклонения от эталонных (допустимых) параметров конфигурации ОС, средств защиты информации, прикладного ПО;

- отклонения от эталонного (допустимого) состава прикладного ПО, установленного в ОС;

- отклонения от эталонного (допустимого) содержания системных и защищаемых файлов;

- выполненные потенциально вредоносные команды, в том числе расположенные в оперативной памяти;

- признаки, идентифицирующие источник компьютерной атаки;

- признаки сбоев, перезагрузок, остановок и других нарушений в штатной работе ОС, средств защиты информации, прикладного ПО;

- признаки нарушений функционирования сетевых служб, аномального использования системных ресурсов;

- другая информация, характерная для отдельных типов компьютерных инцидентов и компьютерных атак.