Угроза заражения DNS-кеша

Угроза заключается в возможности перенаправления нарушителем сетевого трафика через собственный сетевой узел путём опосредованного изменения таблиц соответствия IP- и доменных имён, хранимых в DNS-сервере, за счёт генерации лавины возможных ответов на запрос DNS-сервера легальному пользователю или за счёт эксплуатации уязвимостей DNS-сервера. Данная угроза обусловлена слабостями механизмов проверки подлинности субъектов сетевого взаимодействия, а также уязвимостями DNS-сервера, позволяющими напрямую заменить DNS-кеш DNS-сервера. Реализация данной угрозы возможна в случае наличия у нарушителя привилегий, достаточных для отправки сетевых запросов к DNS-серверу

Источник угрозы

Внешний нарушитель с низким потенциалом

Объект воздействия

Сетевой узел, сетевое программное обеспечение, сетевой трафик

Виды объектов воздействия

Сетевое ПОУзлы и рабочие местаСеть и трафик группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальность

Среда реализации

Сеть и внешние источники

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.019. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.019

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Нарушитель искажает таблицы соответствия IP-адресов и доменных имён на DNS-сервере, перенаправляя трафик через свой узел. Подтверждение происхождения источника информации (ЗИС.26) бьёт прямо в этот класс угроз: оно требует проверять подлинность данных, полученных в процессе разрешения сетевых имён и адресов, прежде чем на них полагаться. Защита при передаче по каналам связи (ЗИС.19) снижает возможность перехвата и подмены самого DNS-трафика на пути к серверу. Регистрация событий и мониторинг безопасности (АУД.4, АУД.7) позволяют заметить аномальные изменения в разрешении имён — например, внезапную смену IP-адреса для давно известного домена.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках