Угроза злоупотребления доверием потребителей облачных услуг

Угроза заключается в возможности нарушения (случайно или намеренно) защищённости информации потребителей облачных услуг внутренними нарушителями поставщика облачных услуг. Данная угроза обусловлена тем, что значительная часть функций безопасности переведена в сферу ответственности поставщика облачных услуг, а также невозможностью принятия потребителем облачных услуг мер защиты от действий сотрудников поставщика облачных услуг. Реализация данной угрозы возможна при условии того, что потребители облачных услуг не входят в состав организации, осуществляющей оказание данных облачных услуг (т.е. потребитель действительно передал поставщику собственную информацию для осуществления её обработки)

Источник угрозы

Внешний нарушитель с низким потенциалом

Объект воздействия

Облачная система

Виды объектов воздействия

Облачная инфраструктура группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальностьцелостность

Среда реализации

Виртуализация и облачные вычисления

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.021. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.021

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Внутренний нарушитель поставщика облачных услуг злоупотребляет чрезмерным доступом к системам потребителей. Разделение полномочий (УПД.4) и минимизация прав (УПД.5) ограничивают, что может сделать один сотрудник поставщика в одиночку. Регистрация событий (АУД.4) фиксирует действия персонала поставщика для расследования. Разграничение доступа внутри виртуальной инфраструктуры (21-ЗСВ.2) изолирует потребителей друг от друга и от избыточного доступа персонала поставщика.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках