---
title: "\"Требования по безопасности информации к средствам обнаружения и реагирования на уровне узла (Выписка)\""
number: "58"
issuer: "Федеральная служба по техническому и экспортному контролю"
status: действует
canonical: "https://bukva.ai/docs/prikaz-58-fstek-rossii-federalnaya"
---

## "Требования по безопасности информации к средствам обнаружения и реагирования на уровне узла (Выписка)"

# "Требования по безопасности информации к средствам обнаружения и реагирования на уровне узла (Выписка)"

(утв. Приказом ФСТЭК России от 26.02.2025 N 58)

> [!IMPORTANT]
> Текст документа приведен в соответствии с публикацией на сайте http://fstec.ru по состоянию на 04.07.2025.


<div align="right">

<a id="p100001"></a>Утверждены<br>
приказом ФСТЭК России<br>
от 26 февраля 2025 г. N 58

</div>


<div align="center">

<a id="p100002"></a>**ТРЕБОВАНИЯ**<br>
**ПО БЕЗОПАСНОСТИ ИНФОРМАЦИИ К СРЕДСТВАМ ОБНАРУЖЕНИЯ**<br>
**И РЕАГИРОВАНИЯ НА УРОВНЕ УЗЛА**<br>
(ВЫПИСКА)

</div>


1. <a id="p100003"></a>Требования по безопасности информации к средствам обнаружения и реагирования на уровне узла являются обязательными в области технического регулирования к продукции, используемой в целях защиты информации ограниченного доступа <1> (далее - Требования), предъявляемыми к программным средствам, предназначенным для обнаружения на узлах информационной (автоматизированной) системы (далее - узлах) признаков вредоносного программного обеспечения и компьютерных атак, а также их нейтрализации (далее - средства обнаружения и реагирования на уровне узла).

<a id="p100004"></a>

---

<a id="p100005"></a><1> [Статья 5](https://bukva.ai/docs/zakon-184-fz-2002/statya-5#p180) Федерального закона от 27 декабря 2002 г. N 184-ФЗ "О техническом регулировании".

2. <a id="p100006"></a>Выполнение настоящих Требований является обязательным при проведении работ по оценке соответствия (включая работы по сертификации) средств технической защиты информации и средств обеспечения безопасности информационных технологий, организуемых ФСТЭК России в пределах своих полномочий в соответствии с [Положением](https://bukva.ai/docs/prikaz-55-2018-fstek-rossii-federalnaya#p100018) о системе сертификации средств защиты информации, утвержденным приказом ФСТЭК России от 3 апреля 2018 г. N 55 (зарегистрирован Минюстом России 11 мая 2018 г., регистрационный N 51063) (с изменениями, внесенными приказом ФСТЭК России от 5 августа 2021 г. N 121 (зарегистрирован Минюстом России 27 октября 2021 г., регистрационный N 65594) и от 19 сентября 2022 г. N 172 (зарегистрирован Минюстом России 19 октября 2022 г., регистрационный N 70614).
3. <a id="p100007"></a>К средствам обнаружения и реагирования на уровне узла устанавливается 3 класса защиты.
<a id="p100008"></a>Средства обнаружения и реагирования на уровне узла, соответствующие 6 классу защиты, применяются в значимых объектах критической информационной инфраструктуры третьей категории значимости <2>, в государственных информационных системах 3 класса защищенности <3>, в автоматизированных системах управления производственными и технологическими процессами 3 класса защищенности <4>, в информационных системах персональных данных при необходимости обеспечения 3 и 4 уровня защищенности персональных данных <5>.

<a id="p100009"></a>

---

<a id="p100010"></a><2> [Статья 7](https://bukva.ai/docs/zakon-187-fz-2017/statya-7#p100067) Федерального закона от 26 июля 2017 г. N 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации", [Правила](https://bukva.ai/docs/postanovlenie-127-2018#p100011) категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденные постановлением Правительства Российской Федерации от 8 февраля 2018 г. N 127 "Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации".
<a id="p100011"></a><3> [Требования](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100010) о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом ФСТЭК России от 11 февраля 2013 г. N 17 (зарегистрирован Минюстом России 31 мая 2013 г., регистрационный N 28608), (с изменениями, внесенными приказом ФСТЭК России от 15 февраля 2017 г. N 27 (зарегистрирован Минюстом России 14 марта 2017 г., регистрационный N 45933), приказом ФСТЭК России от 28 мая 2019 г. N 106 (зарегистрирован Минюстом России 13 сентября 2019 г., регистрационный N 55924) и приказом ФСТЭК России от 28 августа 2024 г. N 159 (зарегистрирован Минюстом России 24 октября 2024 г., регистрационный N 79900).
<a id="p100012"></a><4> [Требования](https://bukva.ai/docs/prikaz-31-2014-fstek-rossii-federalnaya#p100009) к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, утвержденные приказом ФСТЭК России от 14 марта 2014 г. N 31 (зарегистрирован Минюстом России 30 июня 2014 г., регистрационный N 32919), (с изменениями, внесенными приказом ФСТЭК России от 23 марта 2017 г. N 49 (зарегистрирован Минюстом России 25 апреля 2017 г., регистрационный N 46487), приказом ФСТЭК России от 9 августа 2018 г. N 138 (зарегистрирован Минюстом России 5 сентября 2018 г., регистрационный N 52071) и приказом ФСТЭК России от 15 марта 2021 г. N 46 (зарегистрирован Минюстом России 1 июля 2021 г., регистрационный N 64063).
<a id="p100013"></a><5> [Требования](https://bukva.ai/docs/postanovlenie-1119-2012#p100009) к защите персональных данных при их обработке в информационных системах персональных данных, утвержденные постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119.

<a id="p100014"></a>Средства обнаружения и реагирования на уровне узла, соответствующие 5 классу защиты, применяются в значимых объектах критической информационной инфраструктуры второй категории значимости, в государственных информационных системах 2 класса защищенности, в автоматизированных системах управления производственными и технологическими процессами 2 класса защищенности, в информационных системах персональных данных при необходимости обеспечения 2 уровня защищенности персональных данных.
<a id="p100015"></a>Средства обнаружения и реагирования на уровне узла, соответствующие 4 классу защиты, применяются в значимых объектах критической информационной инфраструктуры первой категории значимости, в государственных информационных системах 1 класса защищенности, в автоматизированных системах управления производственными и технологическими процессами 1 класса защищенности, в информационных системах персональных данных при необходимости обеспечения 1 уровня защищенности персональных данных, в информационных системах общего пользования II класса <6>.

<a id="p100016"></a>

---

<a id="p100017"></a><6> [Требования](https://bukva.ai/docs/prikaz-416-2010-2#p100014) о защите информации, содержащейся в информационных системах общего пользования, утвержденные приказом ФСБ России и ФСТЭК России от 31 августа 2010 г. N 416/489 (зарегистрирован Минюстом России 13 октября 2010 г., регистрационный N 18704).

4. <a id="p100018"></a>Требования по безопасности информации предъявляются к:
<a id="p100019"></a>уровню доверия средства обнаружения и реагирования на уровне узла;
<a id="p100020"></a>управлению доступом в средстве обнаружения и реагирования на уровне узла;
<a id="p100021"></a>идентификации и аутентификации пользователей средства обнаружения и реагирования на уровне узла;
<a id="p100022"></a>получению данных мониторинга средством обнаружения и реагирования на уровне узла;
<a id="p100023"></a>обнаружению признаков вредоносного программного обеспечения и компьютерных атак средством обнаружения и реагирования на уровне узла;
<a id="p100024"></a>реагированию средства обнаружения и реагирования на уровне узла;
<a id="p100025"></a>тестированию средства обнаружения и реагирования на уровне узла;
<a id="p100026"></a>управлению установкой обновлений (актуализации) служебных баз данных средства обнаружения и реагирования на уровне узла;
<a id="p100027"></a>регистрации событий безопасности в средстве обнаружения и реагирования на уровне узла;
<a id="p100028"></a>взаимодействию с иными средствами защиты информации;
<a id="p100029"></a>централизованному управлению средством обнаружения и реагирования на уровне узла.
5. <a id="p100030"></a>Средство обнаружения и реагирования на уровне узла должно соответствовать [Требованиям](https://bukva.ai/docs/prikaz-76-fstek-rossii-federalnaya) по безопасности информации, устанавливающим уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий, утвержденным приказом ФСТЭК России от 2 июня 2020 г. N 76 (зарегистрирован Минюстом России 11 сентября 2020 г., регистрационный N 59772) (с изменениями, внесенными приказом ФСТЭК России от 18 апреля 2022 г. N 68 (зарегистрирован Минюстом России 20 июля 2022 г., регистрационный N 69318).
<a id="p100031"></a>Устанавливается следующее соответствие классов защиты средств обнаружения и реагирования на уровне узла уровням доверия:
<a id="p100032"></a>средства обнаружения и реагирования на уровне узла 6 класса защиты должны соответствовать 6 уровню доверия;
<a id="p100033"></a>средства обнаружения и реагирования на уровне узла 5 класса защиты должны соответствовать 5 уровню доверия;
<a id="p100034"></a>средства обнаружения и реагирования на уровне узла 4 класса защиты должны соответствовать 4 уровню доверия.
6. <a id="p100035"></a>К управлению доступом в средстве обнаружения и реагирования на уровне узла предъявляются следующие требования:
<a id="p100036"></a>6.1. В средстве обнаружения и реагирования на уровне узла 6, 5, 4 классов защиты должен быть реализован ролевой метод управления доступом с двумя ролями пользователей средства обнаружения и реагирования на уровне узла: администратор безопасности информационной (автоматизированной) системы и администратор средства обнаружения и реагирования на уровне узла.
<a id="p100037"></a>6.2. В средстве обнаружения и реагирования на уровне узла 6, 5, 4 классов защиты должна быть реализована возможность наделения администратора безопасности информационной (автоматизированной) системы следующими правами:
<a id="p100038"></a>выбирать события безопасности, подлежащие регистрации в журнале (журналах) событий безопасности средства обнаружения и реагирования на уровне узла;
<a id="p100039"></a>осуществлять управление журналом (журналами) событий безопасности;
<a id="p100040"></a>получать оповещения о событиях обнаружения признаков вредоносного программного обеспечения на узле;
<a id="p100041"></a>получать оповещения о событиях обнаружения признаков компьютерных атак на узле;
<a id="p100042"></a>настраивать параметры выгрузки информации о событиях безопасности, зарегистрированных в средстве обнаружения и реагирования на уровне узла, в том числе в системы управления событиями безопасности;
<a id="p100043"></a>осуществлять выборочный просмотр событий безопасности (поиск, сортировка событий безопасности) в средстве обнаружения и реагирования на уровне узла;
<a id="p100044"></a>изменять назначенный своей учетной записи пароль.
<a id="p100045"></a>6.3. В средстве обнаружения и реагирования на уровне узла 6, 5, 4 классов защиты должна быть реализована возможность наделения администратора средства обнаружения и реагирования на уровне узла следующими правами:
<a id="p100046"></a>создавать учетные записи других пользователей средства обнаружения и реагирования на уровне узла;
<a id="p100047"></a>управлять (изменять, блокировать, разблокировать и уничтожать) учетными записями пользователей средства обнаружения и реагирования на уровне узла;
<a id="p100048"></a>назначать права пользователям средства обнаружения и реагирования на уровне узла, определяемые их ролями;
<a id="p100049"></a>изменять назначенный своей учетной записи пароль;
<a id="p100050"></a>устанавливать обновления (актуализировать) служебных баз данных, необходимые для функционирования средства обнаружения и реагирования на уровне узла;
<a id="p100051"></a>создавать, редактировать и удалять задания по проверке узла, определяющие перечень объектов контроля, подлежащих проверке, действия по реагированию, принимаемые в случае выявления признаков вредоносного программного обеспечения и компьютерных атак, и расписание запуска задания;
<a id="p100052"></a>включать и отключать задания по проверке узла;
<a id="p100053"></a>создавать, изменять и удалять правила выявления признаков вредоносного программного обеспечения и компьютерных атак;
<a id="p100054"></a>включать и отключать правила выявления признаков вредоносного программного обеспечения и компьютерных атак;
<a id="p100055"></a>выполнять действия по реагированию;
<a id="p100056"></a>получать данные об узле для проведения дополнительного анализа выявленного признака вредоносного программного обеспечения или компьютерной атаки;
<a id="p100057"></a>осуществлять выборочный просмотр событий безопасности (поиск, сортировка событий безопасности) в средстве обнаружения и реагирования на уровне узла;
<a id="p100058"></a>обновлять программное обеспечение средства обнаружения и реагирования на уровне узла;
<a id="p100059"></a>тестировать средство обнаружения и реагирования на уровне узла;
<a id="p100060"></a>обеспечивать возможность управления сетевыми настройками для организации взаимодействия между компонентами средства обнаружения и реагирования на уровне узла;
<a id="p100061"></a>обеспечивать возможность управления сетевыми настройками для организации взаимодействия средства обнаружения и реагирования на уровне узла с системой управления событиями безопасности информации;
<a id="p100062"></a>обеспечивать возможность управления сетевыми настройками для организации взаимодействия средства обнаружения и реагирования на уровне узла с замкнутой системой (средой) предварительного выполнения программ;
<a id="p100063"></a>обеспечивать возможность управления сетевыми настройками для организации получения индикаторов компрометации и индикаторов компьютерных атак из баз данных, содержащих сведения об угрозах безопасности информации, полученные из различных источников.
<a id="p100064"></a>6.4. В средстве обнаружения и реагирования на уровне узла должна быть реализована возможность определения полномочий для пользователей средства обнаружения и реагирования на уровне узла в пределах назначенных им ролей.
7. <a id="p100065"></a>К идентификации и аутентификации пользователей средства обнаружения и реагирования на уровне узла предъявляются следующие требования:
<a id="p100066"></a>7.1. Первичная идентификация пользователей средства обнаружения и реагирования на уровне узла 6 класса защиты должна осуществляться администратором средства обнаружения и реагирования на уровне узла.
<a id="p100067"></a>В средстве обнаружения и реагирования на уровне узла должна отсутствовать возможность установления одинаковых идентификаторов для разных пользователей средства обнаружения и реагирования на уровне узла.
<a id="p100068"></a>Идентификация и аутентификация пользователей средства обнаружения и реагирования на уровне узла осуществляется в соответствии с требованиями разделов 3 - 7 национального стандарта Российской Федерации ГОСТ Р 58833-2020 "Защита информации. Идентификация и аутентификация. Общие положения", утвержденного и введенного в действие [приказом](https://bukva.ai/docs/prikaz-159-st-2020) Федерального агентства по техническому регулированию и метрологии от 10 апреля 2020 г. N 159-ст.
<a id="p100069"></a>В случае неуспешной идентификации и аутентификации пользователя средства обнаружения и реагирования на уровне узла ему должно быть отказано в доступе в средство обнаружения и реагирования на уровне узла.
<a id="p100070"></a>В средстве обнаружения и реагирования на уровне узла должна осуществляться идентификация и аутентификация пользователей средства обнаружения и реагирования на уровне узла при предъявлении идентификатора и пароля пользователя средства обнаружения и реагирования на уровне узла.
<a id="p100071"></a>Пароль пользователя средства обнаружения и реагирования на уровне узла для первичной аутентификации должен назначаться администратором средства обнаружения и реагирования на уровне узла.
<a id="p100072"></a>В средстве обнаружения и реагирования на уровне узла должна быть реализована возможность изменения пользователем средства обнаружения и реагирования на уровне узла установленного пароля после его первой аутентификации.
<a id="p100073"></a>При попытке ввода неправильного значения идентификатора или пароля пользователя средства обнаружения и реагирования на уровне узла должно выводиться сообщение на экран средства вычислительной техники пользователя с приглашением ввести правильный идентификатор и пароль.
<a id="p100074"></a>При исчерпании установленного максимального количества неуспешных попыток ввода неправильного пароля учетная запись пользователя средства обнаружения и реагирования на уровне узла должна быть заблокирована средством обнаружения и реагирования на уровне узла с возможностью ее разблокирования администратором средства обнаружения и реагирования на уровне узла или автоматически по истечении временного интервала, устанавливаемого администратором средства обнаружения и реагирования на уровне узла.
<a id="p100075"></a>Защита пароля пользователя средства обнаружения и реагирования на уровне узла должна обеспечиваться при его вводе за счет исключения отображения символов вводимого пароля или за счет отображения вводимых символов условными знаками.
<a id="p100076"></a>Пароль пользователя средства обнаружения и реагирования на уровне узла 6 класса защиты должен содержать не менее 6 символов при алфавите пароля не менее 60 символов. Максимальное количество попыток ввода неправильного пароля до блокировки - 10.
<a id="p100077"></a>В средстве обнаружения и реагирования на уровне узла должна быть реализована возможность хранения аутентификационной информации пользователя средства обнаружения и реагирования на уровне узла в защищенном от несанкционированного доступа виде.
<a id="p100078"></a>В средстве обнаружения и реагирования на уровне узла должна быть реализована возможность использования результатов идентификации и аутентификации пользователей в информационной (автоматизированной) системе (в службе каталогов или в средстве централизованной идентификации и аутентификации).
<a id="p100079"></a>7.2. Пароль пользователя средства обнаружения и реагирования на уровне узла 5 класса защиты наряду с требованиями, установленными в [подпункте 7.1 пункта 7](#p100066) настоящих Требований, дополнительно должен содержать не менее 6 символов при алфавите пароля не менее 70 символов. Максимальное количество попыток ввода неправильного пароля до блокировки - 8.
<a id="p100080"></a>В средстве обнаружения и реагирования на уровне узла 5 класса защиты должна быть обеспечена взаимная идентификация и аутентификация пользователя средства обнаружения и реагирования на уровне узла и средства обнаружения и реагирования на уровне узла.
<a id="p100081"></a>7.3. Пароль пользователя средства обнаружения и реагирования на уровне узла 4 класса защиты наряду с требованиями, установленными в [подпунктах 7.1](#p100066) и [7.2 пункта 7](#p100079) настоящих Требований, дополнительно должен содержать не менее 8 символов при алфавите пароля не менее 70 символов. Максимальное количество попыток ввода неправильного пароля до блокировки - 4.
8. <a id="p100082"></a>К получению данных мониторинга средством обнаружения и реагирования на уровне узла предъявляются следующие требования:
<a id="p100083"></a>8.1. В средстве обнаружения и реагирования на уровне узла 6, 5 классов защиты должно осуществляться получение следующих данных мониторинга с узла:
<a id="p100084"></a>информация об операционной системе узла (наименование, версия, архитектура);
<a id="p100085"></a>информация о составе программного и аппаратного обеспечения узла;
<a id="p100086"></a>идентификаторы узла (сетевой и аппаратный адрес, логическое имя);
<a id="p100087"></a>сведения об операциях, связанных с идентификацией и аутентификацией объектов контроля в операционной системе;
<a id="p100088"></a>сведения об операциях, связанных с созданием, изменением, блокированием, разблокированием, удалением учетных записей в операционной системе на узле, и результат их выполнения на узле;
<a id="p100089"></a>сведения об операциях, связанных с файлами (в том числе создание, чтение, изменение, удаление), и результат их выполнения на узле;
<a id="p100090"></a>сведения об операциях, связанных с процессами (в том числе запуск, приостановка, завершение), и результат их выполнения на узле;
<a id="p100091"></a>сведения об операциях, связанных с задачами планировщика задач операционной системы (создание, изменение, удаление);
<a id="p100092"></a>сведения об операциях, связанных со списком автозапуска программного обеспечения в операционной системе (добавление в список, удаление из списка);
<a id="p100093"></a>сведения о выполненных командах в командной строке;
<a id="p100094"></a>сведения об операциях, связанных с загрузкой программных библиотек (модулей) в адресное пространство процессов операционной системы, и результат их выполнения на узле;
<a id="p100095"></a>сведения об операциях, связанных с системными процессами (установка, запуск, приостановка, завершение, удаление), и результат их выполнения на узле;
<a id="p100096"></a>сведения об операциях, связанных с изменением параметров настройки системного программного обеспечения, и результат их выполнения на узле;
<a id="p100097"></a>события безопасности, регистрируемые в журнале (журналах) событий безопасности операционной системы;
<a id="p100098"></a>сведения об операциях, связанных с изменением аппаратной и программной конфигурации узла, и результат их выполнения на узле;
<a id="p100099"></a>сведения о входящем и исходящем сетевом трафике узла;
<a id="p100100"></a>сведения об обращении к сетевым ресурсам узла.
<a id="p100101"></a>В средстве обнаружения и реагирования на уровне узла должно быть обеспечено сохранение следующих данных о входящем и исходящем сетевом трафике узла:
<a id="p100102"></a>сетевые адреса источника и назначения;
<a id="p100103"></a>используемые сетевые протоколы;
<a id="p100104"></a>продолжительность передачи информационного потока (время начала и завершения передачи информационного потока);
<a id="p100105"></a>наименование процесса или системного процесса, осуществляющего сетевое соединение;
<a id="p100106"></a>статус сетевого соединения (активное, завершенное).
<a id="p100107"></a>В средстве обнаружения и реагирования на уровне узла должны храниться полученные с узла данные мониторинга, а также результаты проведенных проверок данных мониторинга, в том числе если по результатам проверок не было выявлено вредоносных и (или) несанкционированных действий на узле, а также обеспечивать возможность ротации хранимых данных (запись новых данных мониторинга взамен старых). В средстве обнаружения и реагирования на уровне узла должна предоставляться возможность настройки ротации данных в зависимости от срока хранения данных мониторинга или от объемов занимаемой памяти.
<a id="p100108"></a>В средстве обнаружения и реагирования на уровне узла должна обеспечиваться возможность получения данных мониторинга посредством перехвата системных вызовов операционной системы средства вычислительной техники.
<a id="p100109"></a>8.2. В средстве обнаружения и реагирования на уровне узла 4 класса защиты наряду с требованиями, установленными в [подпункте 8.1 пункта 8](#p100083) настоящих Требований, дополнительно должно осуществляться получение с узла сведений об операциях, связанных с метаданными (атрибутами) файлов, и результат их выполнения на узле.
<a id="p100110"></a>К данным мониторинга, относящимся к операциям, связанным с метаданными (атрибутами) файлов, относятся данные о:
<a id="p100111"></a>переименовании файла, в том числе об изменении расширения файла;
<a id="p100112"></a>изменении прав доступа;
<a id="p100113"></a>изменении даты и времени создания файла (если файловая система поддерживает и осуществляет хранение данной информации);
<a id="p100114"></a>изменении даты и времени последнего изменения и чтения;
<a id="p100115"></a>изменении сведений о владельце файла.
<a id="p100116"></a>В составе данных мониторинга, относящихся к операциям, связанным с процессами (запуск, приостановка, завершение), дополнительно должны содержаться данные о:
<a id="p100117"></a>родительском (основном) процессе, его идентификатор и параметры запуска;
<a id="p100118"></a>дочерних (производных) процессах, их идентификаторы и параметры запуска.
9. <a id="p100119"></a>К обнаружению признаков вредоносного программного обеспечения и компьютерных атак средством обнаружения и реагирования на уровне узла предъявляются следующие требования:

#### <a id="p100120"></a>9.1 В средстве обнаружения и реагирования на уровне узла 6 класса защиты должны:

<a id="p100121"></a>обнаруживаться признаки вредоносного программного обеспечения путем анализа полученных данных мониторинга с использованием индикаторов компрометации, представляющих собой известную информацию об объектах контроля и (или) операциях на узле, которая свидетельствует о том, что на узле реализованы вредоносные операции;
<a id="p100122"></a>обнаруживаться признаки компьютерных атак путем анализа полученных данных мониторинга с использованием индикаторов компьютерных атак, представляющих собой известную информацию (или правила) о подозрительных операциях на узле, которая свидетельствует о том, что в отношении узла могла осуществляться компьютерная атака;
<a id="p100123"></a>обнаруживаться признаки вредоносного программного обеспечения путем анализа полученных данных мониторинга с использованием правил выявления признаков вредоносного программного обеспечения;
<a id="p100124"></a>обнаруживаться признаки компьютерных атак путем анализа полученных данных мониторинга с использованием правил выявления признаков компьютерных атак.
<a id="p100125"></a>В средстве обнаружения и реагирования на уровне узла должна обеспечиваться запись следующих данных о сетевом трафике узла, в котором были обнаружены признаки компьютерных атак:
<a id="p100126"></a>сетевые адреса источника и назначения;
<a id="p100127"></a>используемые сетевые протоколы;
<a id="p100128"></a>продолжительность передачи информационного потока (время начала и завершения передачи информационного потока);
<a id="p100129"></a>наименование процесса или системного процесса, осуществляющего сетевое соединение;
<a id="p100130"></a>статус сетевого соединения (активное сетевое соединение, завершенное сетевое соединение).
<a id="p100131"></a>В средстве обнаружения и реагирования на уровне узла должна обеспечиваться возможность использования следующих атрибутов при создании правил выявления признаков вредоносного программного обеспечения:
<a id="p100132"></a>часть информации или последовательность байтов, содержащаяся в объекте контроля файловой системы или процессе операционной системы;
<a id="p100133"></a>метаданные объекта файловой системы, включая имя, расширение имени и расположение этого объекта, версию сборки объекта, загружаемые объектом программные библиотеки, контрольную сумму объекта, размер объекта.
<a id="p100134"></a>В средстве обнаружения и реагирования на уровне узла должны позволять создаваться правила выявления признаков вредоносного программного обеспечения на основе данных, указывающих на внедрение вредоносного программного обеспечения, в том числе данных из индикаторов компрометации, а также условий, выраженных с использованием переменных и логических выражений, содержащих логические операторы, реляционные операторы, побитовые операторы.
<a id="p100135"></a>В средстве обнаружения и реагирования на уровне узла должны позволять создаваться правила выявления признаков компьютерных атак на основе данных, указывающих на реализацию компьютерных атак, в том числе данных из индикаторов компьютерных атак, а также условий, выраженных с использованием переменных и логических выражений, содержащих логические операторы, реляционные операторы, побитовые операторы.
<a id="p100136"></a>В средстве обнаружения и реагирования на уровне узла должна быть предусмотрена возможность проверки узла на наличие признаков вредоносного программного обеспечения и компьютерных атак следующими способами:
<a id="p100137"></a>динамически (при изменениях данных мониторинга);
<a id="p100138"></a>периодически (по расписанию) или по запросу (команде) администратора средства обнаружения и реагирования на уровне узла.
<a id="p100139"></a>Механизмы обнаружения должны позволять обнаруживать признаки:
<a id="p100140"></a>получения первоначального доступа к узлу;
<a id="p100141"></a>внедрения и исполнения вредоносного программного обеспечения на узле;
<a id="p100142"></a>закрепления (сохранения доступа) на узле с возможностью получения повторного доступа к нему;
<a id="p100143"></a>управления вредоносным программным обеспечением и его компонентами;
<a id="p100144"></a>повышения привилегий по доступу на узле;
<a id="p100145"></a>сокрытия действий на узле;
<a id="p100146"></a>получения доступа к другим узлам (распространение доступа);
<a id="p100147"></a>сбора и вывода информации с узла;
<a id="p100148"></a>несанкционированного доступа или воздействия.
<a id="p100149"></a>В средстве обнаружения и реагирования на уровне узла должны обнаруживаться связи в последовательности операций (событий), выполняемых до и после обнаружения признака вредоносного программного обеспечения и компьютерных атак на узле.
<a id="p100150"></a>В средстве обнаружения и реагирования на уровне узла должна осуществляться проверка синтаксиса созданных администратором средства обнаружения и реагирования на уровне узла правил выявления признаков вредоносного программного обеспечения и правил выявления признаков компьютерных атак.
<a id="p100151"></a>9.2. В средстве обнаружения и реагирования на уровне узла 5, 4 классов защиты наряду с требованиями, установленными в [подпункте 9.1 пункта 9](#p100120) настоящих Требований, дополнительно должны:
<a id="p100152"></a>предоставляться возможность применения правил выявления признаков компьютерных атак для проведения ретроспективного анализа (по историческим данным мониторинга, отражающим события предыдущих временных периодов);
<a id="p100153"></a>сопоставляться (коррелироваться) между собой результаты работы разных механизмов обнаружения признаков вредоносного программного обеспечения и компьютерных атак на узле.
10. <a id="p100154"></a>К реагированию средства обнаружения и реагирования на уровне узла предъявляются следующие требования:

#### <a id="p100155"></a>10.1 В средстве обнаружения и реагирования на уровне узла 6 класса защиты должны обеспечиваться:

<a id="p100156"></a>уведомление администратора безопасности информационной (автоматизированной) системы и администратора средства обнаружения и реагирования на уровне узла об обнаруженном признаке вредоносного программного обеспечения и компьютерных атак на узле;
<a id="p100157"></a>блокирование сетевого трафика узла.
<a id="p100158"></a>10.2. В средстве обнаружения и реагирования на уровне узла 5 класса защиты наряду с требованиями, установленными в [подпункте 10.1 пункта 10](#p100155) настоящих Требований, дополнительно должны обеспечиваться:
<a id="p100159"></a>блокирование сеанса доступа в операционной системе на узле;
<a id="p100160"></a>блокирование учетной записи пользователя операционной системы на узле;
<a id="p100161"></a>завершение процессов, а также блокирование их запуска;
<a id="p100162"></a>завершение системных процессов, а также блокирование их запуска;
<a id="p100163"></a>блокирование операций с объектом контроля;
<a id="p100164"></a>получение копии объекта контроля администратором средства обнаружения и реагирования на уровне узла для дополнительного анализа;
<a id="p100165"></a>отключение (изоляция) узла от сети передачи данных информационной (автоматизированной) системы.
<a id="p100166"></a>В эксплуатационной документации средства обнаружения и реагирования на уровне узла должны быть указаны типы объектов контроля, для которых обеспечивается получение копий объектов контроля администратором средства обнаружения и реагирования на уровне узла для дополнительного анализа.
<a id="p100167"></a>Действия по реагированию должны выполняться по запросу (команде) администратора средства обнаружения и реагирования на уровне узла.
<a id="p100168"></a>10.3. В средстве обнаружения и реагирования на уровне узла 4 класса защиты наряду с требованиями, установленными в [подпунктах 10.1](#p100155) и [10.2 пункта 10](#p100158) настоящих Требований, дополнительно должны обеспечиваться:
<a id="p100169"></a>логическая изоляция средства вычислительной техники узла от сети передачи данных информационной (автоматизированной) системы с сохранением возможности проведения администратором средства обнаружения и реагирования на уровне узла действий по реагированию на узле с использованием сети передачи данных информационной (автоматизированной) системы;
<a id="p100170"></a>блокирование выполнения команд, определенных администратором средства обнаружения и реагирования на уровне узла, в командной строке на заданный промежуток времени;
<a id="p100171"></a>копирование программного обеспечения или командного сценария на узел для реагирования на вредоносное программное обеспечение или компьютерные атаки;
<a id="p100172"></a>запуск программного обеспечения или командного сценария на узле для реагирования на вредоносное программное обеспечение или компьютерные атаки;
<a id="p100173"></a>автоматическое блокирование сетевого трафика от источника, определенного администратором средства обнаружения и реагирования на уровне узла, на установленный промежуток времени;
<a id="p100174"></a>получение данных об узле для проведения дополнительного анализа выявленного признака вредоносного программного обеспечения или компьютерных атак администратором средства обнаружения и реагирования на уровне узла по его запросу (команде);
<a id="p100175"></a>завершение сеанса доступа в операционной системе на узле и выключение средства вычислительной техники.
<a id="p100176"></a>В средстве обнаружения и реагирования на уровне узла должна обеспечиваться возможность получения следующих данных об узле для проведения дополнительного анализа выявленного признака вредоносного программного обеспечения и компьютерных атак администратором средства обнаружения и реагирования на уровне узла по его запросу (команде):
<a id="p100177"></a>сведения о запущенных процессах операционной системы;
<a id="p100178"></a>сведения об активных сетевых соединениях;
<a id="p100179"></a>сведения об авторизованных учетных записях в операционной системе;
<a id="p100180"></a>сведения о программном обеспечении, автозапуск которого осуществляется при загрузке операционной системы (точки автозапуска);
<a id="p100181"></a>перечень объектов контроля в файловой системе;
<a id="p100182"></a>дамп памяти процесса операционной системы;
<a id="p100183"></a>дамп оперативной памяти.
<a id="p100184"></a>При выполнении завершения сеанса доступа в операционной системе на узле или выключении средства вычислительной техники в средстве обнаружения и реагирования на уровне узла должна обеспечиваться возможность предупреждения пользователя информационной (автоматизированной) системы о предстоящем завершении сеанса доступа и предоставлять время для сохранения обрабатываемых данных. Средство обнаружения и реагирования на уровне узла должно предоставлять возможность настройки времени, которое дается пользователю для сохранения обрабатываемых данных.
<a id="p100185"></a>В средстве обнаружения и реагирования на уровне узла должна предоставляться возможность администратору средства обнаружения и реагирования на уровне узла настраивать перечень действий по реагированию, а также обеспечивать возможность их автоматического выполнения или выполнения после подтверждения администратором средства обнаружения и реагирования на уровне узла.
11. <a id="p100186"></a>К тестированию средства обнаружения и реагирования на уровне узла предъявляются следующие требования.
<a id="p100187"></a>В средстве обнаружения и реагирования на уровне узла 6, 5, 4 классов защиты должны:
<a id="p100188"></a>обеспечиваться тестирование механизмов безопасности средства обнаружения и реагирования на уровне узла;
<a id="p100189"></a>обеспечиваться информирование администратора средства обнаружения и реагирования на уровне узла о выявленных нарушениях функционирования средства обнаружения и реагирования на уровне узла.
12. <a id="p100190"></a>К управлению установкой обновлений (актуализации) служебных баз данных средства обнаружения и реагирования на уровне узла предъявляются следующие требования:
<a id="p100191"></a>12.1. В средстве обнаружения и реагирования на уровне узла 6, 5 классов защиты должно поддерживаться обновление служебных баз данных, включающих базы индикаторов компрометации и базы индикаторов компьютерных атак, по запросу администратора средства обнаружения и реагирования на уровне узла из следующих источников:
<a id="p100192"></a>из информационного ресурса, определяемого ФСТЭК России (при наличии);
<a id="p100193"></a>из информационного ресурса производителя (изготовителя) средства обнаружения и реагирования на уровне узла, расположенного на территории Российской Федерации;
<a id="p100194"></a>со съемного машинного носителя информации или с сетевого источника информационной (автоматизированной) системы.
<a id="p100195"></a>Правила, предоставляемые производителем (изготовителем) в составе базы индикаторов компрометации, базы индикаторов компьютерных атак и иных баз, необходимых для функционирования средства обнаружения и реагирования на уровне узла, должны содержать описание, позволяющее пользователю средства обнаружения и реагирования на уровне узла понять логику работы правила для определения необходимости применения правила в информационной (автоматизированной) системе.
<a id="p100196"></a>Производитель (изготовитель) должен предоставлять комплект типовых правил выявления признаков вредоносного программного обеспечения и компьютерных атак, на основе которых администратор средства обнаружения и реагирования на уровне узла должен иметь возможность создавать собственные правила выявления признаков вредоносного программного обеспечения и компьютерных атак.
<a id="p100197"></a>В эксплуатационной документации на средство обнаружения и реагирования на уровне узла должны содержаться инструкции по созданию администратором средства обнаружения и реагирования на уровне узла собственных правил выявления признаков вредоносного программного обеспечения и компьютерных атак на основе предоставляемых производителем (изготовителем) типовых правил выявления признаков вредоносного программного обеспечения и компьютерных атак.
<a id="p100198"></a>Производитель (изготовитель) должен размещать обновления базы индикаторов компрометации и базы индикаторов компьютерных атак, а также комплект типовых правил выявления признаков вредоносного программного обеспечения и компьютерных атак в информационном ресурсе служебных баз данных, поддерживаемом производителем (изготовителем), а также передавать их в информационный ресурс, определяемый ФСТЭК России (при наличии).
<a id="p100199"></a>Защита информации в канале связи, используемом для получения обновлений индикаторов компрометации и индикаторов компьютерных атак, а также типовых правил выявления признаков вредоносного программного обеспечения и компьютерных атак, должна обеспечиваться посредством защиты каналов связи от несанкционированного физического доступа (подключения) к ним и (или) посредством применения в соответствии с законодательством Российской Федерации средств криптографической защиты информации.
<a id="p100200"></a>12.2. В средстве обнаружения и реагирования на уровне узла 4 класса защиты наряду с требованиями, установленными в [подпункте 12.1 пункта 12](#p100191) настоящих Требований, дополнительно должно обеспечиваться получение индикаторов компрометации и индикаторов компьютерных атак в автоматизированном режиме по настроенному администратором средства обнаружения и реагирования на уровне узла расписанию.
13. <a id="p100201"></a>К регистрации событий безопасности в средстве обнаружения и реагирования на уровне узла предъявляются следующие требования.
<a id="p100202"></a>В средстве обнаружения и реагирования на уровне узла 6, 5, 4 классов защиты должны обеспечиваться:
<a id="p100203"></a>регистрация выбранных администратором безопасности информационной (автоматизированной) системы событий безопасности в журнале (журналах) событий безопасности средства обнаружения и реагирования на уровне узла;
<a id="p100204"></a>предоставление возможности просмотра всех событий безопасности в журнале (журналах) событий безопасности средства обнаружения и реагирования на уровне узла и выборочного просмотра событий безопасности (поиск, сортировка событий безопасности) в соответствии с ролью пользователя средства обнаружения и реагирования на уровне узла.
<a id="p100205"></a>В средстве обнаружения и реагирования на уровне узла должна реализовываться возможность регистрации следующих типов событий безопасности в соответствии с разделами 3 - 6 национального стандарта Российской Федерации ГОСТ Р 59548-2022 "Защита информации. Регистрация событий безопасности. Требования к регистрируемой информации", утвержденного и введенного в действие [приказом](https://bukva.ai/docs/prikaz-2-st-2022) Федерального агентства по техническому регулированию и метрологии от 13 января 2022 г. N 2-ст:
<a id="p100206"></a>события безопасности, связанные с обнаружением признаков вредоносного программного обеспечения;
<a id="p100207"></a>события безопасности, связанные с обнаружением признаков компьютерных атак;
<a id="p100208"></a>события безопасности, связанные с получением индикаторов компрометации и индикаторов компьютерных атак;
<a id="p100209"></a>события безопасности, связанные с идентификацией и аутентификацией пользователя средства обнаружения и реагирования на уровне узла;
<a id="p100210"></a>события безопасности, связанные с управлением (администрированием) средства обнаружения и реагирования на уровне узла;
<a id="p100211"></a>события безопасности, связанные с управлением журналом (журналами) событий безопасности;
<a id="p100212"></a>события безопасности, связанные с выполнением действий по реагированию;
<a id="p100213"></a>события безопасности, связанные со сбоями в работе средства обнаружения и реагирования на уровне узла.
<a id="p100214"></a>В средстве обнаружения и реагирования на уровне узла должна реализовываться возможность хранения журнала (журналов) событий безопасности с возможностью ротации событий безопасности (запись новых событий безопасности взамен старых). В средстве обнаружения и реагирования на уровне узла должна предоставляться возможность управления журналом (журналами) событий безопасности в части настройки ротации событий в зависимости от срока хранения событий безопасности или от объемов занимаемой памяти.
<a id="p100215"></a>В средстве обнаружения и реагирования на уровне узла при записи событий безопасности должно обеспечиваться получение информации о текущей дате, времени и часовом поясе от системных часов аппаратной платформы средства вычислительной техники, на котором оно установлено, или от операционной системы узла.
<a id="p100216"></a>В средстве обнаружения и реагирования на уровне узла должно обеспечиваться оповещение пользователей средства обнаружения и реагирования на уровне узла о событиях безопасности в соответствии с ролями пользователей средства обнаружения и реагирования на уровне узла.
14. <a id="p100217"></a>К взаимодействию с иными средствами защиты информации предъявляются следующие требования:
<a id="p100218"></a>14.1. В средстве обнаружения и реагирования на уровне узла 6 класса защиты должна обеспечиваться возможность передавать зарегистрированные им события безопасности в сертифицированную систему управления событиями безопасности информации.
<a id="p100219"></a>14.2. В средстве обнаружения и реагирования на уровне узла 5 и 4 классов защиты наряду с требованиями, установленными в [подпункте 14.1 пункта 14](#p100218) настоящих Требований, дополнительно должно обеспечиваться взаимодействие с сертифицированной замкнутой системой (средой) предварительного выполнения программ. В рамках взаимодействия в средстве обнаружения и реагирования на уровне узла должна обеспечиваться возможность передачи копии объекта контроля и получения результатов его динамического анализа следующими способами:
<a id="p100220"></a>автоматически, в случае идентификации средством обнаружения и реагирования на уровне узла потенциального вредоносного объекта контроля, потенциального вредоносного поведения объекта контроля;
<a id="p100221"></a>по запросу (команде) администратора средства обнаружения и реагирования на уровне узла.
15. <a id="p100222"></a>В состав средства обнаружения и реагирования на уровне узла 6, 5, 4 классов защиты должны входить компоненты, обеспечивающие возможность централизованного управления средствами обнаружения и реагирования на уровне узла, функционирующими в информационной (автоматизированной) системе, в соответствии с ролями пользователей средств обнаружения и реагирования на уровне узла.



<a id="p100223"></a>

---