Угроза злоупотребления возможностями, предоставленными потребителям облачных услуг

Угроза заключается в возможности осуществления потребителем облачных услуг (нарушителем) рассылки спама, несанкционированного доступа к виртуальным машинам других потребителей облачных услуг или осуществления других деструктивных программных воздействий на различные системы с помощью арендованных ресурсов облачного сервера. Данная угроза обусловлена тем, что потребитель облачных услуг может устанавливать собственное программное обеспечение на облачный сервер. Реализация данной угрозы возможна путём установки и запуска потребителем облачных услуг вредоносного программного обеспечения на облачный сервер. Успешная реализация данной угрозы потребителем облачных услуг оказывает негативное влияние на репутацию поставщика облачных услуг

Источник угрозы

Внутренний нарушитель с низким потенциалом

Объект воздействия

Облачная система, виртуальная машина

Виды объектов воздействия

Средства виртуализацииОблачная инфраструктура группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальностьцелостностьдоступность

Среда реализации

Виртуализация и облачные вычисления

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.020. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.020

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Потребитель облачных услуг использует предоставленные ему легитимные возможности для рассылки спама или получения несанкционированного доступа к виртуальным машинам других потребителей той же платформы. Разграничение доступа внутри виртуальной инфраструктуры (21-ЗСВ.2) и сегментирование по потребителям (21-ЗСВ.10) прямо изолируют арендаторов друг от друга. Разделение полномочий и минимизация прав (УПД.4, УПД.5) ограничивают, что именно потребитель может делать в пределах выделенных ему ресурсов. Антивирусная защита почтовых сервисов (АВЗ.2) и защита от спама (ЗИС.16) бьют по рассылке спама с использованием ресурса. Регистрация событий (АУД.4) фиксирует действия потребителя для постфактумного расследования.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках