Угроза неправомерного/некорректного использования интерфейса взаимодействия с приложением

Угроза заключается в возможности осуществления нарушителем деструктивного программного воздействия на API в целях реализации функций, изначально не предусмотренных дискредитируемым приложением (например, использование функций отладки из состава API). Данная угроза обусловлена наличием слабостей в механизме проверки входных данных и команд API, используемого программным обеспечением. Реализация данной угрозы возможна в условиях наличия у нарушителя доступа к API и отсутствия у дискредитируемого приложения механизма проверки вводимых данных и команд

Источник угрозы

Внешний нарушитель со средним потенциалом; Внутренний нарушитель со средним потенциалом

Объект воздействия

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение, микропрограммное обеспечение, реестр

Виды объектов воздействия

Системное ПОПрикладное ПОСетевое ПОМикропрограммное обеспечениеДанные и файлы группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальностьцелостностьдоступность

Среда реализации

Программная среда и уязвимости

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.068. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.068

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Нарушитель использует API не по назначению, чтобы вызвать функции, изначально не предусмотренные приложением. Проверка на соответствие спецификации API (117-ЗПИ.3) — прямая мера: запросы, не соответствующие заявленной спецификации, отклоняются до обработки. Защита данных API (117-ЗПИ.1) снижает ущерб, если недокументированный вызов всё же прошёл. Корректная модель разграничения доступа (УПД.2) ограничивает, какие функции доступны данному вызывающему независимо от того, что технически можно вызвать. Регистрация событий (АУД.4) фиксирует нетипичные вызовы API.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках