ISO 27002:2022 – Kontrolle 8.16 – Überwachungsaktivitäten

Zweck der Kontrolle 8.16

Die Netzwerküberwachung ist der Grundstein für jeden erfolgreichen IT-Support und Informationssicherheitsbetrieb.

Für Unternehmen ist es von entscheidender Bedeutung, einen proaktiven Überwachungsansatz zu fördern, der darauf abzielt, Vorfälle zu verhindern, bevor sie auftreten, und der mit reaktiven Bemühungen einhergeht, um eine durchgängige Strategie für Informationssicherheit und Vorfallbehebung zu entwickeln, die alle Kriterien erfüllt.

Attributtabelle der Steuerung 8.16

Control 8.16 dient zwei Zwecken Detektiv und korrigierend Kontrolliere das verändert das Risiko durch die Optimierung von Überwachungsaktivitäten zur Identifizierung anomalen Verhaltens und hilft bei der zeitnahen Analyse von Ereignissen und Vorfällen im Bereich der Informationssicherheit.

Eigentum an der Kontrolle 8.16

Control 8.16 befasst sich mit IKT-Vorgängen, die über Systemadministratorzugriff ausgeführt werden und unter das Dach der Netzwerkverwaltung und -wartung fallen.

Daher sollte die Verantwortung für Control 8.16 beim IT-Leiter oder einer gleichwertigen Organisation liegen.

Allgemeine Richtlinien zur Compliance

Die Überwachung sollte in erster Linie im Einklang mit allen behördlichen Anforderungen oder der geltenden Gesetzgebung erfolgen und alle Aufzeichnungen sollten im Einklang mit den Aufbewahrungsrichtlinien des Unternehmens aufbewahrt werden.

Verdächtige Ereignisse sollten allen relevanten Mitarbeitern gemeldet werden, um die Netzwerkintegrität aufrechtzuerhalten und die Geschäftskontinuität neben den folgenden Prozessen zu verbessern (siehe Kontrolle 5.25):

• Auditing
• Sicherheits- und Risikobewertung
• Scannen von Sicherheitslücken
• Netzwerk Performance

Organisationen sollten Folgendes in ihre Überwachungsmaßnahmen einbeziehen:

1. Beide eingehender und ausgehender Netzwerkverkehr, einschließlich Daten zu und von Anwendungen
2. Zugriff auf geschäftskritische Plattformen, einschließlich, aber nicht beschränkt auf):
• Systeme und Techniken
• Fertige Server
• Netzwerkhardware
• Das Überwachungssystem selbst
3. Konfigurationsdateien
4. Ereignisprotokolle von Sicherheitsausrüstung und Softwareplattformen
5. Codeprüfungen die sicherstellen, dass alle ausführbaren Programme sowohl autorisiert als auch fehlerfrei sind
6. Computing, Storage und Networking Ressourcenverwendung

Anleitung – Verhaltensanalyse

Organisationen sollten ein fundiertes Verständnis davon erlangen normale Benutzeraktivität und Netzwerkverhalten, und verwenden Sie dies als Baseline um anomales Verhalten im gesamten Netzwerk zu identifizieren, einschließlich:

1. Plötzliches Schließen oder Beenden von Prozessen und Anwendungen
2. Netzwerkverkehr, von dem erkannt wird, dass er von und/oder ausgeht problematische IP-Adressen und/oder externe Domänen
3. Bekannte Einbruchsmethoden (z. B. DDoS)
4. Schädliches Systemverhalten (z. B. Schlüsselprotokollierung)
5. Netzwerkengpässe und hohe Ping- und/oder Latenzzeiten
6. Unbefugter oder unerklärlicher Zugriff auf und/oder Scannen von Daten, Domänen oder Anwendungen
7. Alle Versuche, auf geschäftskritische IKT-Ressourcen zuzugreifen (z. B. Domänencontroller, DNS-Server, Dateiserver und Webportale)

Um eine erfolgreiche Basislinie festzulegen, sollten Unternehmen die Netzwerkauslastung und Zugriffszeiten auf normalem Arbeitsniveau überwachen.

Anleitung – Überwachungstools

Die Organisationen sollten ihre Überwachungsbemühungen mithilfe spezieller Überwachungstools optimieren, die für die Art des Netzwerks und den Datenverkehr geeignet sind, mit denen sie täglich zu tun haben.

Überwachungstools sollten in der Lage sein:

1. Verarbeiten Sie große Mengen an Überwachungsdaten
2. Reagieren Sie auf verdächtige Daten-, Verkehrs- und Benutzerverhaltensmuster sowie einmalige Aktivitäten
3. Ändern Sie alle Überwachungsaktivitäten, um auf unterschiedliche Risikostufen zu reagieren
4. Benachrichtigen Sie Organisationen über anomale Aktivitäten in Echtzeit durch eine Reihe proaktiver Warnungen, die eine minimale Anzahl falsch positiver Ergebnisse enthalten (siehe Kontrolle 5.26).
5. Verlassen Sie sich auf ein angemessenes Maß an Anwendungsredundanz, um einen kontinuierlichen Überwachungsbetrieb aufrechtzuerhalten

Leitfaden – Sicherheitsüberwachung

Die Sicherheitsüberwachung sollte optimiert werden durch:

1. Dedizierte Threat-Intelligence-Systeme (siehe Kontrolle 5.7) und Intrusion-Protection-Plattformen
2. Plattformen für maschinelles Lernen
3. Whitelists, Blacklists, Blocklisten und Zulassungslisten auf IP-Verwaltungsplattformen und E-Mail-Sicherheitssoftware
4. Kombination von Protokollierungs- und Überwachungsaktivitäten in einem End-to-End-Ansatz
5. Ein dedizierter Ansatz für bekannte Eindringungsmethoden und böswillige Aktivitäten wie die Verwendung von Botnets oder Denial-of-Service-Angriffe

Unterstützende Kontrollen

• 5.25
• 5.26
• 5.7

Änderungen und Unterschiede zu ISO 27002:2013

ISO 27002:2022-8.16 ist eine neue Kontrolle, die in ISO 27002:2003 nicht enthalten ist.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISMS.online erleichtert die Implementierung von ISO 27002, indem es eine Reihe von Tools bereitstellt, die Sie bei der Verwaltung der Informationssicherheit in Ihrem Unternehmen unterstützen. Es hilft Ihnen, Risiken zu identifizieren und Kontrollen zu entwickeln, um diese Risiken zu mindern, und zeigt Ihnen dann, wie Sie diese innerhalb der Organisation umsetzen können.

Kontaktieren Sie uns noch heute zu Demo buchen.