Угроза воздействия на программы с высокими привилегиями
Угроза заключается в возможности повышения нарушителем своих привилегий в дискредитированной системе (получения привилегии дискредитированных программ) путём использования ошибок в программах и выполнения произвольного кода с их привилегиями. Данная угроза обусловлена слабостями механизма проверки входных данных и команд, а также мер по разграничению доступа. Реализация данной угрозы возможна при условиях: обладания дискредитируемой программой повышенными привилегиями в системе; осуществления дискредитируемой программой приёма входных данных от других программ или от пользователя; нарушитель имеет возможность осуществлять передачу данных к дискредитируемой программе
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.007. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.007
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Разделение полномочий (ролей) пользователей | УПД.4 | — | УПД.4 | УПД.4 |
| Назначение минимально необходимых прав и привилегий | УПД.5 | — | УПД.5 | УПД.5 |
| Анализ уязвимостей и их устранение | АУД.2 | — | АНЗ.1 | АУД.2 |
| Обнаружение и предотвращение компьютерных атак | СОВ.1 | СОВ.1 | СОВ.1 | СОВ.1 |
| Изоляция процессов (выполнение программ) в выделенной области памяти | ЗИС.12 | — | ЗИС.19 | ЗИС.12 |
| Поиск, получение обновлений программного обеспечения от доверенного источника | ОПО.1 | — | — | ОПО.1 |
| Контроль целостности обновлений программного обеспечения | ОПО.2 | — | — | ОПО.2 |
| Тестирование обновлений программного обеспечения | ОПО.3 | — | — | ОПО.3 |
| Установка обновлений программного обеспечения | ОПО.4 | — | АНЗ.2 | ОПО.4 |
Почему именно эти меры
Нарушитель, уже получивший ограниченный доступ, использует ошибку в высокопривилегированной программе, чтобы выполнить произвольный код с её правами. Минимизация прав (УПД.5) снижает ущерб от эскалации: у высокопривилегированной программы не должно быть прав больше необходимого. Разделение полномочий (УПД.4) не даёт одной скомпрометированной программе получить доступ сразу ко всей системе. Управление обновлениями (ОПО.1-ОПО.4) закрывает саму уязвимость в программе — большинство подобных ошибок эксплуатируется уже после публикации патча, который просто не установили. Анализ уязвимостей (АУД.2) проактивно ищет такие слабости раньше нарушителя. Обнаружение вторжений (СОВ.1) ловит сам факт попытки эксплуатации.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
У нарушителя уже есть штатный доступ к системе, поэтому этап первоначального доступа отсутствует: он изучает систему изнутри, обходит ограничения своей учётной записи и выносит информацию.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.