«ДиалогНаука» внедрила в ОАО «МТС» систему мониторинга событий информационной безопасности HP ArcSight

Компания «ДиалогНаука», системный интегратор в области информационной безопасности, являющийся единственным пока в России платиновым партнером Hewlett-Packard по направлению Enterprise Security, завершила проект по поставке и внедрению системы управления событиями информационной безопасности на базе HP ArcSight для ОАО «Мобильные ТелеСистемы», крупнейшего оператора сотовой связи в России и странах СНГ.

Эффективная защита многофункциональной и территориально-распределённой корпоративной сети крупнейшего сотового оператора России от современных угроз информационной безопасности требует строго соблюдения политик информационной безопасности, а также обеспечения мониторинга событий информационной безопасности, своевременного выявления возможных инцидентов и функционирования в реальном времени механизма реагирования на инциденты информационной безопасности. Только реализация такого комплексного подхода для управления процессами информационной безопасности может обеспечить адекватный уровень защиты.

Поэтому для обеспечения комплексной защиты ОАО «Мобильные ТелеСистемы» техническими специалистами было принято решение по внедрению одного из ведущих мировых SIEM-решений.

«При выборе технологического решения мы развертывали пилотные проекты, изучали материалы вендоров и накопленный опыт успешных внедрений SIEM-решений у ряда системных интеграторов. После анализа предложений от возможных поставщиков было принято решение приобрести и внедрить систему мониторинга HP ArcSight» - дал комментарий Михаил Курзин, начальник отдела обеспечения информационной безопасности ОАО «Мобильные ТелеСистемы».

Система HP ArcSight ESM позволяет автоматизировать процесс сбора и анализа информации о событиях безопасности, а также повысить эффективность принятия решений по реагированию на инциденты, связанные с нарушением безопасности. Основными источниками событий информационной безопасности для HP ArcSight ESM в рамках проекта ОАО «Мобильные ТелеСистемы» были выбраны: прикладное программное обеспечение, сетевые устройства, межсетевые экраны, средства антивирусной защиты, система анализа уязвимостей и операционные системы серверов.

Выбор «ДиалогНауки» был обусловлен большим опытом внедрения систем HP ArcSight на территории России и СНГ, наличием высокого партнерского статуса по продуктам HP ArcSight в России и штата сертифицированных специалистов.

«Статус ведущего сотового оператора, осуществляющего огромный объем операций с клиентами, обязывает нас уделять вопросам информационной безопасности особое внимание, – отмечает Михаил Курзин, начальник отдела обеспечения информационной безопасности ОАО «Мобильные ТелеСистемы». – Поэтому среди важнейших задач внедрения HP ArcSight была организация непрерывного контроля за всеми аспектами безопасности корпоративной сети МТС и внешних периметров МТС через интеграцию с критичными ИТ-системами и системами ИТ-безопасности с реализацией механизма контроля за исполнением политик информационной безопасности компании. Система планировалась для использования в качестве единой точки мониторинга ИТ и ИБ-инфраструктуры для обеспечения функционирования в реальном времени процесса реагирования на инциденты информационной безопасности. Также для нас была важна организация долгосрочного хранения событий информационной безопасности и развёртывание процесса регулярной отчётности на основании получаемых событий аудита с визуализацией журналов для проактивного мониторинга обстановки».

Далее согласно плану началось внешнее тестирование на проникновение, проведенное на начальном этапе проекта специалистами ЗАО «ДиалогНаука» при помощи различных средств инструментального аудита, оно позволило определить реальный уровень защищенности информационных систем (ИС) заказчика, предположить возможные варианты реализации активных и пассивных действий злоумышленника и выработать общие рекомендации для борьбы с действиями потенциального нарушителя.

На первом этапе по внедрению системы мониторинга событий ArcSight ESM в московском регионе было проведено обследование с целью сбора информации по подключаемым источникам событий и для настройки необходимых режимов аудита на источниках событий, определяющих перечень регистрируемых инцидентов. Был уточнен перечень требуемых от системы отчетов и определены источники событий, для которых необходима разработка коннекторов. Также были разработаны технические решения по созданию системы мониторинга и спроектирована архитектуры системы, созданы программы и методики приемосдаточных испытаний.

Непосредственно внедрение HP ArcSight ESM включало установку и настройку всех его программных компонент, а также интеграцию с корпоративными системами, подключение источников событий информационной безопасности и разработку коннекторов для источников событий, не поддерживаемых штатно. Последовавшая опытная и промышленная эксплуатация HP ArcSight ESM включала в себя настройку правил корреляции для выявления критичных событий и инцидентов, а также создание экранных форм и отчетов для службы информационной безопасности. Также в завершении этапа было проведено комплексное обучение специалистов ОАО «МТС», которые будут эксплуатировать HP ArcSight ESM.

На втором этапе внедрения по уже отработанной технологии для сбора и хранения событий в остальных шести макро-регионах ОАО «МТС» было использовано решение HP ArcSight Logger.

Таким образом, платформа HP ArcSight ESM выступила в качестве ядра системы мониторинга, а решения HP ArcSight Logger в макро-регионах использовались как подсистемы сбора, хранения и анализа событий. При этом центральный сервер хранения событий информационной безопасности HP ArcSight ESM принимает и обрабатывает только те события, которые используются в корреляционном анализе для генерации инцидентов информационной безопасности. В отличие от него сервера HP ArcSight Logger используются в каждом макро-регионе для долгосрочного хранения событий, в том числе и событий, которые не передаются сразу на ArcSight ESM по тем или иным причинам.

«За счёт использования такой архитектуры из двух систем HP внедрение решило три глобальные задачи: длительное хранение, быстрый поиск и корреляция в реальном времени, – отмечает Михаил Курзин, начальник отдела обеспечения информационной безопасности ОАО «Мобильные ТелеСистемы». – Внедрение системы позволило существенно снизить риски ИТ-безопасности, проактивно реагировать на инциденты ИБ, предотвращая их ещё на этапе зарождения, осуществлять быстрый поиск событий за длительные периоды времени. За счёт автоматизации корреляционных действий существенно увеличилась эффективность работы отдела обеспечения информационной безопасности и скорость расследования инцидентов».

«На сегодняшний день продуктовая линейка HP ArcSight является одной из наиболее эффективных решений, предназначенных для мониторинга событий информационной безопасности. Наши специалисты, совместно с сотрудниками ОАО «МТС», провели полный цикл комплексных работ по автоматизации процесса сбора и анализа информации о событиях безопасности, включающих в себя проведение обследования, поставку и настройку решений HP, а также обучение специалистов. Результаты внедрения HP ArcSight ESM в ОАО «МТС» с нашей точки зрения позволят обеспечить более эффективное управление инцидентами информационной безопасности. Мы благодарим ОАО «МТС» за оказанное доверие и надеемся на дальнейшее взаимовыгодное сотрудничество» – отмечает Виктор Сердюк, генеральный директор компании «ДиалогНаука».