Угроза обхода некорректно настроенных механизмов аутентификации

Угроза заключается в возможности получения нарушителем привилегий в системе без прохождения процедуры аутентификации за счёт выполнения действий, нарушающих условия корректной работы средств аутентификации (например, ввод данных неподдерживаемого формата). Данная угроза обусловлена в случае некорректных значений параметров конфигурации средств аутентификации и/или отсутствием контроля входных данных. Реализация данной угрозы возможна при условии наличия ошибок в заданных значениях параметров настройки механизмов аутентификации

Источник угрозы

Внешний нарушитель с низким потенциалом; Внутренний нарушитель с низким потенциалом

Объект воздействия

Системное программное обеспечение, сетевое программное обеспечение

Виды объектов воздействия

Системное ПОСетевое ПО группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальностьцелостностьдоступность

Среда реализации

Доступ и учётные записи

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.100. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.100

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Нарушитель получает привилегии без прохождения аутентификации из-за некорректной настройки самого механизма аутентификации. Корректная реализация идентификации и аутентификации (ИАФ.1) устраняет первопричину: сама угроза описывает не обход правильно настроенного механизма, а эксплуатацию его неправильной настройки. Анализ (АУД.2), применённый к конфигурации средств аутентификации, находит такие ошибки настройки проактивно. Корректная модель доступа (УПД.2) ограничивает последствия. В № 117 это аутентификация пользователей (ИАФ.3), поскольку угроза описывает эксплуатацию неправильной настройки именно механизма проверки подлинности.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках