Угроза подбора пароля BIOS
Угроза заключается в возможности осуществления нарушителем несанкционированного доступа к настройкам BIOS/UEFI путём входа в консоль BIOS/UEFI по паролю, подобранному программно или «вручную» с помощью методов тотального перебора вариантов или подбора по словарю. Данная угроза обусловлена слабостями механизма аутентификации, реализуемого в консолях BIOS/UEFI. Реализация данной угрозы возможна в одном из следующих случаев: нарушитель может осуществить физический доступ к компьютеру и имеет возможность его перезагрузить; нарушитель обладает специальным программным средством перебора паролей BIOS/UEFI и привилегиями в системе на установку и запуск таких средств
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.123. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.123
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Управление средствами аутентификации | ИАФ.4 | — | ИАФ.4 | ИАФ.4 |
| Ограничение неуспешных попыток доступа в информационную (автоматизированную) систему | УПД.6 | УПД.4 | УПД.6 | УПД.6 |
| Организация контролируемой зоны | ЗТС.2 | — | ЗТС.2 | ЗТС.2 |
| Управление физическим доступом | ЗТС.3 | — | ЗТС.3 | ЗТС.3 |
Почему именно эти меры
Подбор пароля BIOS программно или вручную: тот же механизм, что классический брутфорс (см. УБИ.008), только применительно к консоли BIOS. Против перебора работают управление средствами аутентификации (ИАФ.4) и ограничение неуспешных попыток (УПД.6). Физический доступ (ЗТС.2, ЗТС.3) добавлен потому, что ввод пароля в консоли BIOS обычно требует локального присутствия.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Сценарий для случаев, когда нарушитель получает физический доступ к оборудованию — при обслуживании, ремонте или нахождении в помещениях: подключает устройства, воздействует на микропрограммное обеспечение и выносит информацию на съёмном носителе.
Текст угрозы описывает и второй механизм, которому соответствует путь «Злоупотребление легитимным доступом (внутренний нарушитель)». Рекомендуется один путь, выбор между ними остаётся за специалистом, который описывает систему.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.