Угроза обнаружения хостов

Угроза заключается в возможности сканирования нарушителем вычислительной сети для выявления работающих сетевых узлов. Данная угроза связана со слабостями механизмов сетевого взаимодействия, предоставляющих клиентам сети открытую техническую информацию о сетевых узлах, а также с уязвимостями и ошибками конфигурирования средств межсетевого экранирования и фильтрации сетевого трафика, используемых в дискредитируемой системе. Реализация данной угрозы возможна при условии наличия у нарушителя подключения к дискредитируемой вычислительной сети и специализированного программного обеспечения, реализующего функции анализа сетевого трафика

Источник угрозы

Внешний нарушитель с низким потенциалом

Объект воздействия

Сетевой узел, сетевое программное обеспечение, сетевой трафик

Виды объектов воздействия

Сетевое ПОУзлы и рабочие местаСеть и трафик группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальность

Среда реализации

Сеть и внешние источники

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.099. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.099

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Сканирование сети для выявления работающих узлов относится к тому же классу угрозы, что и сканирование портов (см. УБИ.098), только на уровне обнаружения хостов, а не служб. Меры те же, что и у УБИ.098 целиком: сокрытие архитектуры (ЗИС.8), обнаружение вторжений (СОВ.1), регистрация событий (АУД.4). Добавляются ДМЗ (ЗИС.5), ограничивающая, что вообще видно снаружи, и honeypot (ЗИС.36, 117-МСЭ.4), обнаруживающий саму попытку разведки.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках