Угроза незащищённого администрирования облачных услуг
Угроза заключается в возможности осуществления опосредованного деструктивного программного воздействия на часть или все информационные системы, функционирующие в облачной среде, путём перехвата управления над облачной инфраструктурой через механизмы удалённого администрирования. Данная угроза обусловлена недостаточностью внимания, уделяемого контролю вводимых пользователями облачных услуг данных (в том числе аутентификационных данных), а также уязвимостями небезопасных интерфейсов обмена данными (API), используемых средствами удалённого администрирования. Реализация данной угрозы возможна в случае получения нарушителем аутентификационной информации (при их вводе в общественных местах) легальных пользователей, или эксплуатации уязвимостей в средствах удалённого администрирования
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.055. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.055
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Идентификация и аутентификация пользователей и инициируемых ими процессов | ИАФ.1 | — | ИАФ.1 | ИАФ.1 |
| Идентификация пользователей | — | ИАФ.1 | — | — |
| Идентификация и аутентификация устройств | ИАФ.2 | — | ИАФ.2 | ИАФ.2 |
| Идентификация устройств | — | ИАФ.2 | — | — |
| Аутентификация пользователей | — | ИАФ.3 | — | — |
| Аутентификация устройств | — | ИАФ.4 | — | — |
| Реализация модели управления доступом | УПД.2 | УПД.1 | УПД.2 | УПД.2 |
| Доверенная загрузка | УПД.3 | — | УПД.17 | УПД.3 |
| Реализация защищенного удаленного доступа | УПД.13 | — | УПД.13 | УПД.13 |
| Регистрация событий безопасности | АУД.4 | РСБ.4 | — | АУД.4 |
| Управление доступом пользователей и приложений | — | ЗПИ.2 | — | — |
| Эшелонированная защита информационной (автоматизированной) системы | ЗИС.3 | — | — | ЗИС.3 |
| Защита информации от утечек | ЗИС.17 | — | — | ЗИС.17 |
Почему именно эти меры
Незащищённое администрирование облачных услуг позволяет перехватить управление и опосредованно воздействовать на все информационные системы в облачной среде. Базовую защиту самого канала администрирования дают идентификация и аутентификация пользователей и устройств (ИАФ.1, ИАФ.2), доверенная загрузка (УПД.3) и защищённый удалённый доступ (УПД.13). Управление доступом и сегментирование (УПД.2, ЗИС.3, ЗИС.17) ограничивают последствия, если администрирование всё же скомпрометировано. Управление доступом пользователей и приложений к API (117-ЗПИ.2) закрывает то, через что чаще всего и осуществляется облачное администрирование. Регистрация событий (АУД.4) фиксирует административные действия для расследования. В № 117 то же самое разнесено на 4 отдельные меры: идентификация пользователей (ИАФ.1), их аутентификация (ИАФ.3), идентификация устройств (ИАФ.2) и их аутентификация (ИАФ.4).
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Точка приложения усилий — не сама система, а средства управления облачной инфраструктурой: получив учётные данные администратора облака или доступ подрядчика, нарушитель распоряжается ресурсами штатно.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.