В статье предложен подход к формальному описанию инцидента информационной безопасности (ИБ). Сформированы критерии перехода от события ИБ к инциденту: событие → нарушение политики ИБ → нарушение ИБ → инцидент. Проведен анализ существующих методов и подходов к описанию инцидента ИБ, которые позволяют ранжировать, группировать, объединять действия злоумышленника в отношении атакуемого объекта, выстраивать корреляции, обосновывать момент начала применения активного реагирования. Предложено описание инцидента в виде упорядоченного кортежа, предназначенного для объединения атомарных инцидентов и подозрений в цепочки атаки с учетом динамики последствий и допустимого ущерба организации. Предложенный подход позволит объединять атомарные инциденты, реагирование на которые во многих случаях не требуется, в сложные цепочки атаки, продуктивно реализовать реагирование на возникающие инциденты с учетом динамики их развития в рамках цепочки атаки. Объединение атомарных инцидентов позволяет оптимизировать ресурсы, затрачиваемые подразделениями ИБ на противостояние атакам злоумышленников, акцентируя внимание только на те действия, которые непосредственно представляют угрозу в текущий момент времени, а не являются гипотетически возможными, что в результате смещает фокус подразделений ИБ на обеспечение практической защищенности организации. В качестве возможностей практического применения предложенного подхода рассмотрен пример с проведением атаки на домен через фишинг. На текущий момент модель имеет концептуальный характер, ожидаемые эффекты для автоматизации действий аналитиков в SOAR и оптимизации ресурсов требуют дополнительного тестирования.
The article proposes an approach to formally describing an information security (IS) incident. The criteria for transitioning from an IS event to an incident are formulated: event → IS policy violation → IS violation → incident. An analysis is conducted of existing methods and approaches to describing an IS incident, which make it possible to rank, group, and combine the attacker’s actions against the target object, establish correlations, and justify the moment when active response measures should be initiated. A description of the incident is proposed in the form of an ordered tuple, intended to combine atomic incidents and suspicions into attack chains, taking into account the dynamics of the consequences and the permissible damage to the organization. The proposed approach makes it possible to combine atomic incidents, the response to which in many cases is not required, into complex attack chains, and to effectively implement a response to emerging incidents, taking into account the dynamics of their development within the chains.
The authors declare that there are no conflicts of interest present.