Угроза потери и утечки данных, обрабатываемых в облаке
Угроза заключается в возможности нарушения конфиденциальности, целостности и доступности защищаемой информации потребителей облачных услуг, обрабатываемой в облачной системе. Данная угроза обусловлена слабостями мер защиты информации, обрабатываемой в облачной системе. Реализация данной угрозы возможна в случае допущения поставщиком (некорректный выбор или настройка средств защиты) или потребителем (потеря пароля, электронного ключа, вход с небезопасной консоли) облачных услуг ошибок при обеспечении безопасности защищаемой информации
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.135. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.135
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Реализация модели управления доступом | УПД.2 | УПД.1 | УПД.2 | УПД.2 |
| Контроль доступа из внешних информационных (автоматизированных) систем | УПД.14 | — | УПД.16 | УПД.14 |
| Контроль содержания информации, передаваемой из информационной системы (контейнерный, основанный на свойствах объекта доступа, и (или) контентный, основанный на поиске запрещенной к передаче информации с использованием сигнатур, масок и иных методов), и исключение неправомерной передачи информации из информационной системы | — | — | ОЦЛ.5 | — |
| Резервное копирование информации | ОДТ.4 | — | ОДТ.4 | ОДТ.4 |
| Управление доступом в виртуальной инфраструктуре | — | ЗСВ.4 | ЗСВ.2 | — |
| Контроль доступа к внешним ресурсам | — | ЗКС.3 | — | — |
| Защита информации при ее передаче по каналам связи | ЗИС.19 | ЗКС.1 | ЗИС.3 | ЗИС.19 |
Почему именно эти меры
Нарушение конфиденциальности, целостности и доступности защищаемой информации потребителей облачных услуг разом. Защита данных при передаче/хранении (ЗИС.19), корректная модель доступа (УПД.2) и изоляция арендаторов в виртуальной инфраструктуре (21-ЗСВ.2) закрывают конфиденциальность и целостность. Резервное копирование (ОДТ.4) отвечает за доступность.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
У нарушителя уже есть штатный доступ к системе, поэтому этап первоначального доступа отсутствует: он изучает систему изнутри, обходит ограничения своей учётной записи и выносит информацию.
Конечное воздействие по тактике Т10 — Т10.10 Организация отказа в обслуживании одной или нескольких систем, компонентов системы или сети
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.