Угроза несанкционированного доступа к системе хранения данных из виртуальной и (или) физической сети
Угроза заключается в возможности осуществления деструктивного программного воздействия на виртуальные устройства хранения данных и (или) виртуальные диски (являющиеся как сегментами виртуального дискового пространства, созданного отдельным виртуальным устройством, так и единым виртуальным дисковым пространством, созданным путём логического объединения нескольких виртуальных устройств хранения данных). Данная угроза обусловлена наличием слабостей применяемых технологий распределения информации по различным виртуальным устройствам хранения данных и (или) виртуальным дискам, а также слабостей технологии единого виртуального дискового пространства. Указанные слабости связаны с высокой сложностью алгоритмов обеспечения согласованности действий по распределению информации в рамках единого виртуального дискового пространства, а также взаимодействия с виртуальными и физическими каналами передачи данных для обеспечения работы в рамках одного дискового пространства. Реализация данной угрозы возможна при условии наличия у нарушителя специальных программных средств, способных эксплуатировать слабости технологий, использованных при построении системы хранения данных (сетевых технологий, технологий распределения информации и др.)
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.084. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.084
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Анализ уязвимостей и их устранение | АУД.2 | — | АНЗ.1 | АУД.2 |
| Реализация антивирусной защиты | АВЗ.1 | АВЗ.1 | АВЗ.1 | АВЗ.1 |
| Обнаружение и предотвращение компьютерных атак | СОВ.1 | СОВ.1 | СОВ.1 | СОВ.1 |
| Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации | — | — | АНЗ.3 | — |
| Контроль целостности виртуальной инфраструктуры | — | ЗСВ.2 | ЗСВ.7 | — |
| Управление доступом в виртуальной инфраструктуре | — | ЗСВ.4 | ЗСВ.2 | — |
| Резервное копирование в виртуальной инфраструктуре | — | ЗСВ.5 | ЗСВ.8 | — |
| Идентификация и аутентификация в виртуальной инфраструктуре | — | ЗСВ.8 | ЗСВ.1 | — |
| Установка обновлений программного обеспечения | ОПО.4 | — | АНЗ.2 | ОПО.4 |
Почему именно эти меры
Атака именно на виртуальные устройства хранения данных и диски, пользующаяся сложностью технологий распределения данных по нескольким виртуальным устройствам и единому виртуальному дисковому пространству. Целостность (ЗСВ.7) и резервное копирование (ЗСВ.8) идут первыми, причём резервное копирование особенно уместно потому, что угроза про устройства ХРАНЕНИЯ, а не про сеть или вычисления. Идентификация и доступ (ЗСВ.1/2) ограничивают, кто обращается к системе хранения. Контроль установки обновлений (АНЗ.2) добавлен намеренно: сложность технологии распределения данных означает, что обновления самого ПО распределения часто становятся источником новых слабостей. Антивирус и обнаружение атак (АВЗ.1, СОВ.1) отвечают деструктивному программному воздействию, названному в описании угрозы.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушитель начинает с одной легально полученной виртуальной машины или контейнера и добивается выхода за её границы: получает доступ к гипервизору, к соседним виртуальным машинам и к общей системе хранения.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.