Угроза несанкционированного использования привилегированных функций BIOS

Угроза заключается в возможности использования нарушителем потенциально опасных возможностей BIOS/UEFI. Данная угроза обусловлена наличием в BIOS/UEFI потенциально опасного функционала

Источник угрозы

Внешний нарушитель с высоким потенциалом; Внутренний нарушитель с низким потенциалом

Объект воздействия

Аппаратное обеспечение, микропрограммное обеспечение BIOS/UEFI

Виды объектов воздействия

Микропрограммное обеспечениеАппаратное обеспечение группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальностьцелостностьдоступность

Среда реализации

BIOS/UEFI и микропрограммное обеспечение

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.087. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.087

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Нарушитель использует потенциально опасный функционал, изначально присутствующий в BIOS/UEFI. Разделение полномочий (УПД.4) и корректная модель доступа (УПД.2) ограничивают, кому вообще доступны эти функции. Физический доступ (ЗТС.2, ЗТС.3) уместен здесь потому, что большинство привилегированных функций BIOS требуют локального доступа к оборудованию на этапе до загрузки ОС.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.12 Несанкционированное воздействие на автоматизированные системы управления с целью вызова отказа или нарушения функций управления, в том числе на АСУ критически важных объектов, потенциально опасных объектов, объектов, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, в том числе опасных производственных объектов. Примеры: 1) воздействие на автоматизированные системы управления объектов транспорта; 2) удаленное воздействие на цифровые системы и первичное оборудование объектов электроэнергетики; 3) воздействие на системы управления технологическим процессом нефтехимического объекта