Угроза нарушения технологии обработки информации путём несанкционированного внесения изменений в образы виртуальных машин
Угроза заключается в возможности осуществления деструктивного программного воздействия на дискредитируемую систему или опосредованного деструктивного программного воздействия через неё на другие системы путём осуществления несанкционированного доступа к образам виртуальных машин. Данная угроза обусловлена слабостями мер разграничения доступа к образам виртуальных машин, реализованных в программном обеспечении виртуализации. Реализация данной угрозы может привести: к нарушению конфиденциальности защищаемой информации, обрабатываемой с помощью виртуальных машин, созданных на основе несанкционированно изменённых образов; к нарушению целостности программ, установленных на виртуальных машинах; к нарушению доступности ресурсов виртуальных машин; к созданию ботнета путём внедрения вредоносного программного обеспечения в образы виртуальных машин, используемые в качестве шаблонов (эталонные образы)
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.048. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.048
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации | — | — | АНЗ.3 | — |
| Контроль целостности виртуальной инфраструктуры | — | ЗСВ.2 | ЗСВ.7 | — |
| Управление доступом в виртуальной инфраструктуре | — | ЗСВ.4 | ЗСВ.2 | — |
| Резервное копирование в виртуальной инфраструктуре | — | ЗСВ.5 | ЗСВ.8 | — |
| Идентификация и аутентификация в виртуальной инфраструктуре | — | ЗСВ.8 | ЗСВ.1 | — |
| Контроль действий по внесению изменений | УКФ.4 | — | — | УКФ.4 |
Почему именно эти меры
Нарушитель вносит несанкционированные изменения в образы виртуальных машин из-за слабостей разграничения доступа к этим образам в ПО виртуализации. Управление доступом (ЗСВ.2) и идентификация/аутентификация администраторов средств виртуализации (ЗСВ.1) — прямые меры против самой причины угрозы. Контроль целостности виртуальной инфраструктуры и её конфигураций (ЗСВ.7, 117-ЗСВ.2) обнаруживает уже состоявшуюся подмену образа. Резервное копирование (ЗСВ.8) даёт возможность восстановить образ из заведомо чистой копии, а не только обнаружить подмену постфактум. Контроль внесения изменений (УКФ.4), применённый к образам виртуальных машин, фиксирует сам факт несанкционированной модификации.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушитель начинает с одной легально полученной виртуальной машины или контейнера и добивается выхода за её границы: получает доступ к гипервизору, к соседним виртуальным машинам и к общей системе хранения.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.