1517/QĐ-BTTTT

Quyết định 1517/QĐ-BTTTT năm 2021 về Yêu cầu kỹ thuật cơ bản đối với sản phẩm Nền tảng tri thức mối đe dọa an toàn thông tin do Bộ trưởng Bộ Thông tin và Truyền thông ban hành BỘ THÔNG TIN VÀ TRUYỀN THÔNG ------- CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc --------------- Số: 1517 /QĐ-BTTTT Hà Nội, ngày 06 tháng 1 0 năm 2021 QUYẾT ĐỊNH BAN HÀNH YÊU CẦU KỸ THUẬT CƠ BẢN ĐỐI VỚI SẢN PHẨM NỀN TẢNG TRI THỨC MỐI ĐE DỌA AN TOÀN THÔNG TIN BỘ TRƯỞNG BỘ THÔNG TIN VÀ TRUYỀN THÔNG Căn cứ Luật An toàn thông tin mạng ngày 19 tháng 11 năm 2015; Căn cứ Nghị định số 17/2017/NĐ-CP ngày 17 tháng 02 n ă m 2017 của Chính phủ quy định chức n ă ng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bộ Thông tin và Truyền thông; Theo đề nghị của Cục trưởng Cục An toàn thông tin. QUYẾT ĐỊNH: Điều 1. Ban hành kèm theo Quyết định này Yêu cầu kỹ thuật cơ bản đối với sản phẩm N ề n t ả ng tri thức mối đe dọa an toàn thông tin (Threat Intelligence Platform - TIP). Điều 2. Khuyến nghị cơ quan, tổ chức nghiên cứu, phát triển, lựa chọn, s ử dụng sản phẩm TIP đáp ứng các yêu cầu kỹ thuật c ơ b ả n theo Điều 1 Quyết định này. Điều 3. Cục An toàn thông tin chủ trì, phối hợp với các cơ quan, tổ chức liên quan hướng dẫn việc áp dụng các yêu cầu trong Yêu cầu kỹ thuật cơ b ả n đối với sản phẩm TIP tại Điều 1 Quyết định này. Điều 4. Quyết định này có hiệu lực thi hành kể t ừ ngày ký. Điều 5. Chánh Văn phòng, Cục t rưở ng Cục An toàn thông tin, Thủ trưởng các đơn vị thuộc Bộ, các tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Quyết định này./. Nơi nhận: - Như Điều 5; - Bộ trưởng (để b/c); - Các Th ứ trư ở ng ; - Cổng thông tin điện tử của Bộ; - Lưu: VT, CATTT. KT. BỘ TRƯỞNG THỨ TRƯỞNG Nguyễn Huy Dũng YÊU CẦU KỸ THUẬT CƠ BẢN ĐỐI VỚI SẢN PHẨM NỀN TẢNG TRI THỨC MỐI ĐE DỌA AN TOÀN THÔNG TIN (Kèm theo Quyết định số 1517 /QĐ-BT TT T ngày 0 6 tháng 10 năm 2021 của Bộ trưởng Bộ Thông tin và Truyền thông) I. THÔNG TIN CHUNG 1. Phạm vi áp dụng Tài liệu này mô tả các yêu cầu kỹ thuật cơ b ả n đối với sản phẩm N ề n tản g tri thức mối đe dọa an toàn thông tin (Threat Intelligence Platform - TIP). Tài liệu bao gồm các nhóm yêu cầu là Yêu cầu về tài liệu, Yêu cầu về quản trị hệ thống, Yêu cầu về kiểm soát l ỗ i, Yêu cầu về log, Yêu cầu về hiệu năng xử lý, Y ê u cầu về chức năng tự bảo vệ, Yêu cầu về chức năng thống kê xu hướng và cảnh báo mối đe dọa. 2. Đối t ượ ng áp dụng Các c ơ quan, tổ chức có liên quan đến hoạt động nghiên cứu, phát triển; đánh giá, lựa chọn sản phẩm TIP khi đưa vào s ử dụng trong các hệ thống thông tin. 3. Khái niệm và thuật ngữ Trong tài liệu này các kh á i niệm và thuật ngữ đ ược hiểu như sau: 3.1. Nhật ký hệ thống (log) Sự kiện an toàn thông tin được hệ thống ghi lại, liên quan đến trạng thái hoạt động, thông báo, c ả nh báo, sự cố, cuộc tấn công, thông tin về các mối đe dọa thu thập được và các thông tin khác liên quan đến hoạt động của hệ thống (nếu có). 3.2. Thời gian duy trì phiên kết nối (session timeout) Khoảng thời gian được thiết lập để cho phép hệ thống hủy phiên kết nối đối với một máy khách, nếu trong kho ả ng thời gian này mà hệ thống không nhận được yêu cầu mới từ máy khách đó. II. YÊU CẦU CƠ BẢN 1. Yêu cầu về tài liệu TIP có tài liệu bao gồm các nội dung sau: a) Hướng dẫn triển khai và thiết lập cấu hình; b) Hướng dẫn sử dụng và quản trị. 2. Yêu cầu về quản trị hệ th ố ng 2.1. Quản lý vận hành TIP cho phép quản lý vận hành đáp ứng các yêu cầu sau: a) Cho phép thiết lập, thay đ ổ i, áp dụng v à hoàn tác sự thay đổi trong cấu h ì nh hệ thống, cấu hình quản trị từ xa, cấu hình tài khoản xác thực và phân quyền người dùng; b) Cho phép cấu hình thời gian hệ thống; c) Cho phép cấu hình thời gian duy trì phiên kết nối; d) Cho phép thiết lập, thay đ ổ i các tham số giới hạn đ ối với kết nối quản trị từ xa (ví dụ: giới hạn địa chỉ IP, gi ớ i hạn số phiên kết nối quản trị từ xa đồng thời,...); đ) Cho phép đăng xuất tài khoản người dùng có phiên kết nối còn hiệu lực; e) Cho phép t ì m kiếm d ữ liệu log bằng từ khóa đ ể xem lại; g) Cho phép x ó a log; h) Cho phép xem thời gian hệ thống chạy tính t ừ lần khởi độn g gần nhất. 2.2. Quản trị từ xa TIP cho phép quản trị từ xa an toàn đáp ứng các yêu c ầ u sau: a) Sử dụng giao thức có m ã hóa như TLS hoặc tương đương; b) Tự động đăng xuất tài kho ả n và hủy b ỏ phiên kết nối quản trị từ xa khi hết thời gian duy tr ì phiên kết n ố i. 2.3. Quản lý xác thực và phân quyền TIP cho phép quản lý cấu hình tài khoản xác thực và phân quyền người dùn g đáp ứng các yêu cầu sau: a) Hỗ trợ phương thức xác thực b ằ ng tài khoản - mật khẩu, tron g đó, quản trị viên có thể thiết lập và thay đổi dược độ phức tạp của mật khẩu; b) Hỗ trợ phân nhóm tài khoản tối thi ể u theo 02 nhóm là quản trị viên và người d ù ng thường với những quyền hạn cụ thể đối với từng nhóm. 2.4. Quản lý báo cáo TIP cho phép quản lý báo cáo thông qua giao diện đồ họa đáp ứng các yêu cầu sau: a) Cho phép tạo mới, xem lại và xóa báo cáo đã được tạo; b) Cho phép tạo báo cáo mới theo các mẫu báo cáo đã được định nghĩa trước; c) Cho phép áp dụng các quy tắc t ì m kiếm thông tin, d ữ liệu log để thêm, lọc, tinh chỉnh nội dung cho báo cáo; d) Cho phép lựa chọn định dạng tệp tin báo cáo xuất ra đáp ứng tối thiểu 02 trong các định dạng sau: WORD, EXCEL, PDF, HTML, XML; đ) Cho phép tải về tệp tin báo cáo đã đ ược xuất ra. 2.5. Chia s ẻ dữ liệu a) TIP cho phép kết nối với các loại hệ thống sau để chia sẻ dữ liệu: i) Các giải pháp và nền tảng khác loại (tối thiểu là SIEM); ii) Hệ thống TIP khác được phát triển bởi chính nhà sản xuất. b) TIP cho phép chia sẻ dữ liệu log thông tin mối đe dọa theo tối thiểu 01 trong các cách thức sau: i) Chuẩn quốc tế STIX/TAXII; ii) Đường dẫn URL (API). 3. Yêu cầu về kiểm soát lỗi 3.1. Bảo vệ cấu hình Trong trường hợp TIP phải khởi động lại do có l ỗ i phát sinh (ngoại trừ lỗi phần cứng), TIP đảm bảo các loại cấu hình sau mà đan g được áp dụng phải được lưu lại và không bị thay đ ổ i trong lần khởi độn g kế tiếp: a) Cấu hình hệ thống; b) Cấu hình qu ả n trị từ xa; c) Cấu h ì nh tài khoản xác thực và phân quyền người dùng. 3.2. Bảo vệ dữ liệu log Trong trường hợp TIP ph ả i khởi động lại do có lỗi phát sinh (ngoại trừ l ỗ i phần cứng), TIP đảm b ả o dữ liệu log đã được lưu lại phải không bị thay đổi trong lần khởi động kế tiếp. 3.3. Đ ồng bộ thời gian hệ thống Trong trường hợp TIP phải khởi động lại do có l ỗ i phát sinh (ngoại tr ừ lồi phần cứng), TIP đảm bảo thời gian hệ thống phải đ ược đ ồ ng bộ tự động đ ến thời điểm hiện tại. 4. Yêu cầu về log 4.1. Log quản trị hệ thống a) TIP cho phép ghi log qu ả n trị hệ thống về các loại sự kiện sau: i) Đăng nhập, đăng xuất tài khoản; ii) Xác thực trước khi cho phép truy cập vào tài nguyên, sử dụng chức năng của hệ thống; iii) Áp dụng, ho à n tác sự thay đổi trong cấu hình hệ thống, cấu hình quản trị từ xa, cấu hình tài khoản xác thực và phân quyền người dùng; iv) Kích hoạt lệnh khởi động lại, tắt hệ thống; v) Thay đổi thủ công thời gian hệ thống. b) TIP cho phép ghi log qu ả n trị hệ thống có các trường thông tin sau: i) Thời gian sinh log (bao gồm năm, tháng, ngày, giờ, phút và giây); ii) Địa ch ỉ IP hoặc định danh của máy trạm; iii) Định danh của tác nhân (ví dụ: tài khoản người dùng, tên hệ thống,...); iv) Thông tin về hành vi thực hiện (ví dụ: đ ă ng nhập, đ ăng xuất, thêm, sửa, xóa, cập nhật, hoàn tác,...); v) K ế t quả thực hiện hành vi (thành công hoặc thất bại); vi) Lý do gi ả i trình đối với hành vi thất bại (ví dụ: không t ì m thấy tài nguyên, không đ ủ quyền truy cập,...). 4.2. Log thông tin mối đe dọa a) TIP cho phép thu thập v à lưu trữ log thông tin mối de dọa từ phía nhà cung cấp sản phẩm TIP. b) TIP cho phép thu thập và lưu trữ log thông tin mối đe dọa có các loại thông tin sau: i) Mô tả t ổ ng quan mối đe dọa; ii) Mức độ nguy hiểm của mối đe dọa (severity level); iii) Mức độ tin cậy về dữ liệu của mối đe dọa (confidence level); iv) Các phân nhóm được gán cho mối đe dọa; v) Các thuộc tính mô tả chi tiết mối đe dọa. b) TIP cho phép thu thập log thông tin mối đe dọa qua hai cách thức thủ công và tự động. 4.3. Log c ả nh báo TIP cho phép ghi log cảnh báo được sinh ra bởi việc thực thi các thiết lập c ả nh báo mối đe dọa. 4.4. Định dạng log TIP cho phép chuẩn hóa log theo tối thiểu 01 định dạng đã được định nghĩa trước đ ể truyền d ữ liệu log cho các phần mềm quản lý, ph â n tích, điều tra log. 4.5. Quản lý log TIP cho phép quản lý log đáp ứng các yêu cầu sau: a) Cho phép thiết lập và cấu hình các cài đặt liên quan đến lưu trữ và hủy bỏ log (ví dụ: ngưỡng giới hạn dun g lượng lưu trữ, khoảng thời gian lưu tr ữ ,...); b) Cho phép tìm kiếm log theo từ khóa trên tất cả các trường thông tin bao gồm cả các trường thông tin cấp thấp hơn (nếu có); c) Cho phép tìm kiếm log thông tin mối đe dọa theo thời gian, gi á trị băm của m ã độc và phân nhóm; d) Cho phép truy xuất log thông tin mối đe dọa thông qua cảnh báo; đ) Cho phép xuất dữ liệu log ra để phục vụ cho việc tích hợp các dữ liệu này vào TIP khác hoặc giải pháp khác về quản lý, phân tích, điều tra log. 4.6. Phân nhóm log thông tin mối đe dọa TIP cho phép phân loại và g ắ n nh ã n tên phân nhóm cho log thông tin mối đe dọa theo các phân nhóm sau phục vụ cho mục đích tìm kiếm: a) Điểm yếu, l ỗ hổng an toàn thông tin đ ã được công bố; b) Họ mã độc; c) Kỹ thuật tấn công; d) Chiến dịch tấn công; d) Mục đí ch t ấ n công; e) Loại đối tượng, tổ chức bị tấn công; g) Đối tượng, tổ chức thực hiện tấn công; h) Tên miền, địa ch ỉ IP của khách hàng có kết nối đến cơ sở hạ tầng của đối tượng, tổ chức thực hiện tấn công; i) Điểm yếu, l ỗ h ổ ng an toàn thông tin đối với hệ thống của khách hàng. 5. Yêu cầu về hiệu năng xử lý TIP được triển khai thỏa mãn cấu hình tối thiểu theo hướng dẫn cài đặt và thiết lập cấu hình của nhà sản xuất phải đ ả m bảo đáp ứng các yêu cầu sau: a) TIP đảm bảo rằng độ trễ thời gian tìm kiếm log với độ phức tạp bất kỳ, có phản hồi trong khoảng thời gian tối đa là 02 phút; b) Dữ liệu tri thức các mối đe dọa của TIP có tối thiểu 100.000 bản ghi. 6. Yêu cầu về ch ứ c nă ng tự b ả o vệ 6.1. Phát hiện và ngăn chặn tấn công hệ thống TIP có khả năng tự b ả o vệ, ngăn chặn các dạng t ấ n công ph ổ biến sau vào giao diện ra bên ngo à i của hệ thống, bao gồm tối thiểu các dạng sau: a) SQL Injection; b) OS Command Injection; c) XPath Injection; d) Remote File Inclusion (RFI); đ) Local File Inclusion (LFI); e) Cross-Site Scripting (XSS); g) Cross-Site Request Forgery (CSRF). 6.2. C ậ p nhật b ả n vá hệ thống TIP có chức năn g cho phép cập nhật bản vá đ ể xử lý các điểm yếu, l ỗ h ổ ng bảo mật. 7. Yêu cầu về chức n ă ng thống k ê xu hướ ng và cảnh báo mối de d ọa 7.1. Thống k ê xu hướng mối đe dọa trên thế gi ớ i TIP có chức năng cho phép thống k ê các mối đe dọa trên thế giới thông qua giao diện đồ họa đáp ứng các yêu cầu sau: a) Cho phép thống kê xu hướng mối đe dọa dưới dạng biểu đồ; b) Cho phép tìm kiếm dữ liệu xu hướng mối đe dọa theo thời gian (tối thiểu theo 04 mức: năm, quý, tháng, ngày). 7.2. Quản lý thiết l ậ p c ả nh báo TIP có chức năng cho phép quản lý thiết lập cảnh báo mối đe dọa đến người dùng đáp ứng các yêu cầu sau: a) Cho phép nhận c ả nh báo theo các phân nhóm được mô t ả ở 4.6; b) Cho phép thiết l ậ p thời gian nhận c ả nh báo; c) Cho phép tải nội dung cảnh báo dưới dạng tập tin; d) Cho phép hi ể n thị nội dung c ả nh báo trên giao diện đ ồ họa về quản lý cảnh báo; đ) Cho phép nhận cảnh báo qua phương thức gửi thư điện tử hoặc tin nhắn SMS.