Организация аудита информационной безопасности

Диплом 2023 года. Оригинальность высокая.

Цель работы - проведение аудита информационной безопасности организации.

Задачи работы:

- рассмотрение основных понятий и принципов информационной безопасности в контексте цифровой экономики;

- анализ существующих методов и подходов к аудиту и анализу информационной безопасности организации;

- оценка эффективности применения различных методов аудита и анализа информационной безопасности;

- разработка рекомендаций по улучшению процессов аудита и анализа информационной безопасности с учетом специфики цифровой экономики;

- проведение аудита службы каталогов Active Directory.

Объект исследования: методы и средства аудита информационной безопасности организации в условиях цифровой экономики.

Предмет исследования: процесс реализации анализа и аудита информационной безопасности службы каталогов Active Directory, с использованием инструментальных средств.

Список сокращений 3

Введение 4

1 Теоретические основы аудита информационной безопасности организации 6

1.1 Концепции и терминология в области анализа и аудита информационной безопасности организации 6

1.2 Законадательство и нормы, регулирующие методы анализа и аудита информационной безопасности организации 11

1.3 Угрозы и уязвимости информационной безопасности организации 14

2 Методические аспекты аудита информационной инфраструктуры организации 21

2.1 Теоретические и практические аспекты аудита информационной безопасности 21

2.2 Технические средства аудита информационной безопасности службы Active Directory 35

2.3 Алгоритм проведения аудита инфраструктуры Active Directory с использованием PingCastle 39

3 Практические аспекты аудита IT-инфраструктуры организации использующую MS Active Directory 45

3.1 Общая характеристика IT-инфраструктуры организации 45

3.2 Реализация методики аудита инфраструктуры Active Directory 48

3.3 Результат аудита Active Directory и предъявление требований к IT-инфраструктуре организации 54

Заключение 61

Список литературы 62

1. About BloodHound. Режим доступа: https://github.com/BloodHoundAD/BloodHound свободный (дата обращения: 03.04.2023).

2. Moeller R. R. IT Audit, Control, and Security. – Hoboken: John Wile & Sons, Inc., 2010. – 667 p.

3. Netwrix Active Directory change reporter user guide. – Режим доступа: https://www.netwrix.com/download/documents/NetWrix_Active_Directory_Change_Reporter_User_Guide.pdf свободный. (дата обращения: 03.04.2023).

4. PingCastle Documentation. – Режим доступа: https://www.pingcastle.com/documentation/ свободный (дата обращения: 03.04.2023).

5. Аверичников В. И., Рытов М. Ю., Кувылкин А. В., Рудановский М. В. Аудит информационной безопасности органов исполнительной власти: учебное пособие. – М.: Флинта, 2011. – 100 с.

6. Астахов А. Введение в аудит информационной безопасности [Доклад] // GlobalTrust Solutions [Электронный ресурс]. 2018. – URL: http://globaltrust.ru (дата обращения: 23.03.2023). – Режим доступа: свободный.

7. Аудит системы обеспечения информационной безопасности. [Электронный ресурс] / URL: https://mpei.space/oib/theory/13/ (дата обращения: 04.04.2023). Режим доступа: свободный.

8. Васильева И. Н. Расследование инцидентов информационной безопасности: учебное пособие / И. Н. Васильева. - издательство Санкт-Петербургского Государственного Экономического Университета 2019. – 5 – 14c.

9. Вострецова Е.В. Основы информационной безопасности: учебное пособие / Е.В. Вострецова. - Екатеринбург Издательство Уральского университета 2019. - 68 – 72c.

10. Голиков А.М. Основы информационной безопасности: учебное пособие / А.М. Голиков. – Томск: Томск. гос. ун-т систем упр. и радиоэлектроники, 2007. – 288 с.

11. ГОСТ Р 56045-2014 Национальный стандарт российской федерации: «Рекомендации для аудиторов в отношении мер и средств контроля и управления информационной безопасностью».

12. ГОСТ Р 56546-2015 Национальный стандарт российской федерации: «Уязвимости информационных систем».

13. ГОСТ Р ИСО 19011-2021 Национальный стандарт российской федерации: «Руководящие указания по проведению аудита систем менеджмента».

14. ГОСТ Р ИСО/МЭК 27005-2010 Национальный стандарт российской федерации: «Методы и средства обеспечения безопасности».

15. ГОСТ Р ИСО/МЭК 27006-2008 Национальный стандарт российской федерации: «Требования к органам, осуществляющим аудит и сертификацию систем менеджмента информационной безопасности».

16. ГОСТ Р ИСО/МЭК 27007-2014 Национальный стандарт российской федерации: «Методы и средства обеспечения безопасности» ГОСТ Р ИСО/МЭК 27007-2014.

17. ГОСТ Р ИСО/МЭК ТО 18044:2007 Национальный стандарт российской федерации: «Менеджмент инцидентов информационной безопасности».

18. Еременко В.Т. Аудит информационной безопасности органов исполнительной власти: Учебное пособие / В.Т Ерёменко. - ФГБОУ ВО 2016. – 22 – 28с.

19. Информационная безопасность. - Режим доступа: https://ru.wikipedia.org/wiki/Информационная_безопасность (дата обращения: 04.04.2023).

20. Котенко И. В., Степашин М. В. Анализ защищенности компьютерных сетей на основе моделирования действий злоумышленников и построения графа атак // Труды Института системного анализа РАН. 2007. Т. 31. С. 126-207.

21. Кульба В. В., Шелков А. Б., Гладков Ю. М., Павельев С. В. Мониторинг и аудит информационной безопасности автоматизированных систем. – М.: ИПУ им. В.А. Трапезникова РАН, 2009. – 94 с.

22. Курило А. П., Зефиров С. Л., Голованов В. Б. и др. Аудит информационной безопасности. – М.: Издательская группа «БДЦ-пресс», 2006. – 304 с.

23. Марков А. С., Цирлов В. Л., Барабанов А. В. Методы оценки несоответствия средств защиты информации / под ред. А.С. Маркова. – М.: Радио и связь, 2012. – 192 с.

24. Мысев А. Э., Морозов Н.В. Правовое регулирование информационной безопасности в российской федерации / Режим доступа: https://cyberleninka.ru/article/n/pravovoe-regulirovanie-informatsionnoy-bezopasnosti-v-rossiyskoy-federatsii/viewer (дата обращения: 02.04.2023).

25. Полное руководство по Active Directory, от установки и настройки до аудита безопасности. – Режим доступа: https://hackware.ru/?p=16316 – свободный (дата обращения: 02.04.2023).

26. Прохоров А., Коник Л. Цифровая трансформация. Анализ. Тренды. Мировой опыт. Корпоративное издание. [Текст] / А. Прохоров, Л. Коник // ООО «КомНьюс Груп». – 2019. – C. 18-19.

27. Скабцов Н. C. Аудит безопасности информационных систем. – СПб.: Питер, 2018. – 272 с.

28. Солодянников А. В. «Информационная безопасность автоматизированных систем»: Учебное пособие / Издательство Санкт-Петербургского Государственного Экономического Университета 2020. – 14 – 15с.

29. Угрозы информационной безопасности: обзор и оценка комплексная защита информации на предприятии. Режим доступа: http://rus.safensoft.com, свободный (дата обращения: 02.04.2023).

30. Фалеев М.И. Угрозы национальной безопасности государства в информационной сфере. / Г.С. Черных. Том 4, 2014. – 90с.