Угроза нарушения изоляции пользовательских данных внутри виртуальной машины
Угроза заключается в возможности нарушения безопасности пользовательских данных программ, функционирующих внутри виртуальной машины, вредоносным программным обеспечением, функционирующим вне виртуальной машины. Данная угроза обусловлена наличием уязвимостей программного обеспечения гипервизора, обеспечивающего изолированность адресного пространства, используемого для хранения пользовательских данных программ, функционирующих внутри виртуальной машины, от несанкционированного доступа со стороны вредоносного программного обеспечения, функционирующего вне виртуальной машины. Реализация данной угрозы возможна при условии успешного преодоления вредоносным программным кодом границ виртуальной машины не только за счёт эксплуатации уязвимостей гипервизора, но и путём осуществления такого воздействия с более низких (по отношению к гипервизору) уровней функционирования системы
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.044. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.044
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Анализ уязвимостей и их устранение | АУД.2 | — | АНЗ.1 | АУД.2 |
| Реализация антивирусной защиты | АВЗ.1 | АВЗ.1 | АВЗ.1 | АВЗ.1 |
| Обнаружение и предотвращение компьютерных атак | СОВ.1 | СОВ.1 | СОВ.1 | СОВ.1 |
| Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации | — | — | АНЗ.3 | — |
| Контроль целостности виртуальной инфраструктуры | — | ЗСВ.2 | ЗСВ.7 | — |
| Управление доступом в виртуальной инфраструктуре | — | ЗСВ.4 | ЗСВ.2 | — |
| Реализация и управление антивирусной защитой в виртуальной инфраструктуре | — | — | ЗСВ.9 | — |
Почему именно эти меры
Вредоносный код СНАРУЖИ виртуальной машины преодолевает изоляцию адресного пространства гипервизора, чтобы добраться до пользовательских данных программ ВНУТРИ ВМ. Корень проблемы — уязвимости самого гипервизора, поэтому первична не защита периметра, а анализ уязвимостей и контроль корректности его функционирования (АНЗ.1, АНЗ.3). Контроль целостности виртуальной инфраструктуры (ЗСВ.7) обнаруживает отклонение от эталонной конфигурации гипервизора. Управление доступом внутри виртуальной инфраструктуры (ЗСВ.2) ограничивает, что вредоносный код может делать, даже преодолев первый барьер. Антивирус (АВЗ.1, ЗСВ.9) работает против самого вредоносного ПО, обнаружение вторжений (СОВ.1) добавляет детектирующий слой.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушитель начинает с одной легально полученной виртуальной машины или контейнера и добивается выхода за её границы: получает доступ к гипервизору, к соседним виртуальным машинам и к общей системе хранения.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.