sibsutisВестник СибГУТИThe Herald of the Siberian State University of Telecommunications and Information Science1998-6920СибГУТИsibsutis-31Research ArticleСтатьиМетод экспресс-анализа событий, связанных с воздействиями на файлы, предназначенный для расследования инцидентов информационной безопасностиA method for rapid analysis of events related to impacts on files designed to investigate information security incidentsГайдамакинН. А.GaidamakinN. A.gaidamakin@urfu.ruГибилиндаР. В.GibilindaR. V.gibilinda@urfu.ruСинадскийН. И.SinadskyN. I.noemail@neicon.ruУрФУ им. первого Президента России Б. Н. ЕльцинаRussian Federation20201804202204310Copyright © Гайдамакин Н.А., Гибилинда Р.В., Синадский Н.И., 20222022Гайдамакин Н.А., Гибилинда Р.В., Синадский Н.И.Gaidamakin N.A., Gibilinda R.V., Sinadsky N.I.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://vestnik.sibsutis.ru/jour/article/view/31

В статье предложен метод экспресс-анализа событий информационной безопасности (ИБ), основанный на представлении инцидента как совокупности событий, состоящих из воздействий на файлы. Метод предполагает применение базы данных шаблонов идентифицированных воздействий, исходными данными для которых являются записи журнала изменений тома файловой системы NTFS - $UsnJml. Рассмотрен алгоритм поиска и классификации воздействий на файлы с использованием шаблонов. Предлагаемый метод экспресс-анализа позволяет определить порядок событий в рамках расследуемого инцидента ИБ, сократив количество анализируемых массивов данных до одного - журнала $UsnJml.

The article offers a method for rapid analysis of information security events based on the representation of an incident as a set of events consisting of impacts on files. The method involves using a database of identified impact templates, where initial data is the NTFS volume change log entries - SUsnJrnl. An algorithm for searching and classifying impacts on the files using templates is considered. The proposed method of rapid analysis allows you to determine the order of events within the framework of the incident under investigation, reducing the number of analyzed data arrays to one - SUsnJrnl log.

расследование инцидентов информационной безопасностисобытие информационной безопасностивоздействие на файлшаблон воздействия на файлinformation security incident investigationinformation security eventfile impactfile impact patternReferencesГОСТ Р 53114-2008. Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения. М.: ФГУП «Стандартинформ», 2008. 30 с.ГОСТ Р 53114-2008. Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения. М.: ФГУП «Стандартинформ», 2008. 30 с.ГОСТ Р 51275-2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. М.: ФГУП «Стандартинформ», 2006. 12 с.ГОСТ Р 51275-2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. М.: ФГУП «Стандартинформ», 2006. 12 с.ГОСТ 33707-2016 (ISO/IEC 2382:2015). Информационные технологии (ИТ). Словарь. М.: ФГУП «Стандартинформ», 2016. 548 с.ГОСТ 33707-2016 (ISO/IEC 2382:2015). Информационные технологии (ИТ). Словарь. М.: ФГУП «Стандартинформ», 2016. 548 с.Стандарт Банка России СТО БР ИББС-1.3-2016 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Сбор и анализ технических данных при реагировании на инциденты информационной безопасности при осуществлении переводов денежных средств» [Электронный ресурс]. URL: http://gar-ant. ru/products/ipo/prime/doc/714 57 690 (дата обращения: 06.06.2020).Стандарт Банка России СТО БР ИББС-1.3-2016 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Сбор и анализ технических данных при реагировании на инциденты информационной безопасности при осуществлении переводов денежных средств» [Электронный ресурс]. URL: http://gar-ant. ru/products/ipo/prime/doc/714 57 690 (дата обращения: 06.06.2020).Гайдамакин Н. А., Гибилинда Р. В., Синадский Н. И. Событийная модель процесса идентификации воздействий на файлы при расследовании инцидентов информационной безопасности, основанная на математическом аппарате сетей Петри // Вестник СибГУТИ. 2020. № 1. С. 73-88.Гайдамакин Н. А., Гибилинда Р. В., Синадский Н. И. Событийная модель процесса идентификации воздействий на файлы при расследовании инцидентов информационной безопасности, основанная на математическом аппарате сетей Петри // Вестник СибГУТИ. 2020. № 1. С. 73-88.Jigsaw Ransomware Decrypted: Will delete your files until you pay the Ransom [Электронный ресурс]. URL: https ://bleepingcomputer. com/news/security/jigsaw-ransom-ware-decrypted-will-delete-your-files-until-you-pay-the-ransom (дата обращения: 06.06.2020).Jigsaw Ransomware Decrypted: Will delete your files until you pay the Ransom [Электронный ресурс]. URL: https ://bleepingcomputer. com/news/security/jigsaw-ransom-ware-decrypted-will-delete-your-files-until-you-pay-the-ransom (дата обращения: 06.06.2020).Dwyer J., Marius Truta T. Finding Anomalies in Windows Event Logs Using Standard Deviation // 9th IEEE International on Collaborative Computing: Networking, Applications and Worksharing. 2013. P. 563-570.Dwyer J., Marius Truta T. Finding Anomalies in Windows Event Logs Using Standard Deviation // 9th IEEE International on Collaborative Computing: Networking, Applications and Worksharing. 2013. P. 563-570.Бакланов В. В., Князева Н. С., Хорьков Д. А. Анализ временных отметок файловой системы NTFS в операционной системе Microsoft Windows XP // Проблемы информационной безопасности. Компьютерные системы. 2012. № 4. С. 25-32.Бакланов В. В., Князева Н. С., Хорьков Д. А. Анализ временных отметок файловой системы NTFS в операционной системе Microsoft Windows XP // Проблемы информационной безопасности. Компьютерные системы. 2012. № 4. С. 25-32.UsnJrnl Parsing for File System History Project Report [Электронный ресурс]. URL: https://delaat.net/rp/2015-2016/p18/report. pdf (дата обращения: 06.06.2020).UsnJrnl Parsing for File System History Project Report [Электронный ресурс]. URL: https://delaat.net/rp/2015-2016/p18/report. pdf (дата обращения: 06.06.2020).USN_RECORD_V2 - Win32 apps [Электронный ресурс]. URL: https://docs.micro soft.com/en-us/windows/win32/api/winioctl/ns-winioctl-usn record v2 (дата обращения: 06.06.2020).USN_RECORD_V2 - Win32 apps [Электронный ресурс]. URL: https://docs.micro soft.com/en-us/windows/win32/api/winioctl/ns-winioctl-usn record v2 (дата обращения: 06.06.2020).

The authors declare that there are no conflicts of interest present.