Угроза межсайтовой подделки запроса

Угроза заключается в возможности отправки нарушителем дискредитируемому пользователю ссылки на содержащий вредоносный код веб-ресурс, при переходе на который автоматически будут выполнены неправомерные вредоносные действия от имени дискредитированного пользователя. Данная угроза обусловлена уязвимостями браузеров, которые позволяют выполнять действия без подтверждения или аутентификации со стороны дискредитируемого пользователя. Реализация угрозы возможна в случае, если дискредитируемый пользователь сохраняет аутентификационную информацию с помощью браузера

Источник угрозы

Внешний нарушитель со средним потенциалом

Объект воздействия

Сетевой узел, сетевое программное обеспечение

Виды объектов воздействия

Сетевое ПОУзлы и рабочие места группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальностьцелостностьдоступность

Среда реализации

Веб-технологии и браузер

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.042. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.042

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Межсайтовая подделка запроса: пользователь переходит по ссылке, и от его имени выполняется неправомерное действие с использованием его же аутентифицированной сессии. Корректная модель разграничения доступа (УПД.2) требует проверять, что запрос действительно инициирован пользователем, а не просто сопровождается валидной сессией; CSRF-токены входят в модель доступа к действиям. Управление доступом пользователей веб-приложения (117-ЗВТ.2) делает то же на уровне веб-специфичных мер. Защита при передаче (ЗИС.19) снижает риск перехвата токенов защиты от подделки.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках