Угроза восстановления и/или повторного использования аутентификационной информации
Угроза заключается в возможности доступа к данным пользователя в результате подбора (например, путём полного перебора или перебора по словарю) аутентификационной информации дискредитируемой учётной записи пользователя в системе, а также путём перехвата и повторного использования хэша пароля, для восстановления сеанса. Данная угроза обусловлена следующими недостатками: значительно меньшим объёмом данных хеш-кода аутентификационной информации по сравнению с ней самой (время подбора хеш-кодов меньше времени полного перебора аутентификационной информации); слабостями алгоритма расчёта хеш-кода, допускающими его повторное использование для выполнения успешной аутентификации. Реализация данной угрозы возможна с помощью специальных программных средств, а также в некоторых случаях – «вручную»
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.008. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.008
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Идентификация и аутентификация пользователей и инициируемых ими процессов | ИАФ.1 | — | ИАФ.1 | ИАФ.1 |
| Аутентификация пользователей | — | ИАФ.3 | — | — |
| Управление средствами аутентификации | ИАФ.4 | — | ИАФ.4 | ИАФ.4 |
| Ограничение неуспешных попыток доступа в информационную (автоматизированную) систему | УПД.6 | УПД.4 | УПД.6 | УПД.6 |
| Оповещение пользователя при успешном входе о предыдущем доступе к информационной (автоматизированной) системе | УПД.8 | УПД.6 | УПД.8 | УПД.8 |
| Регистрация событий безопасности | АУД.4 | РСБ.4 | — | АУД.4 |
| Контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступа, полномочий пользователей в информационной системе | — | — | АНЗ.5 | — |
Почему именно эти меры
Нарушитель подбирает аутентификационную информацию учётной записи полным перебором или по словарю. Управление средствами аутентификации (ИАФ.4) задаёт требования к сложности пароля, которые напрямую увеличивают время перебора до практически неприемлемого. Механизм идентификации и аутентификации (ИАФ.1) должен быть реализован так, чтобы не давать нарушителю информации, облегчающей подбор. Ограничение числа неуспешных попыток входа (УПД.6) бьёт по брутфорсу напрямую: блокировка или задержка после N неудачных попыток делает полный перебор практически невозможным по времени, независимо от сложности пароля. Регистрация событий (АУД.4) фиксирует сами попытки входа, позволяя обнаружить перебор ещё до его успеха. В № 117 это аутентификация пользователей (ИАФ.3): угроза именно про подбор и повторное использование учётных данных, а не про факт предъявления идентификатора.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушитель собирает идентификационную информацию пользователей, подбирает или получает из утечек их учётные данные и входит в систему через штатные средства удалённого доступа как легитимный пользователь.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.