Угроза потери управления облачными ресурсами
Угроза заключается в возможности нарушения договорных обязательств со стороны поставщика облачных услуг в отношении их потребителя из-за значительной сложности построения эффективной системы управления облачными ресурсами облачной системы, особенно использующей облачные ресурсы других поставщиков облачных услуг. Данная угроза обусловлена сложностью определения логического и физического местоположения облачных ресурсов, недостаточностью мер физического контроля доступа к хранилищам данных, резервного копирования и др., а также необходимостью учёта особенностей законодательства в области защиты информации стран, резидентами которых являются поставщики облачных услуг, выполняющих роль субподрядчиков по оказанию заказанных облачных услуг. Реализация данной угрозы возможна при условии, что выполнение требований к функционалу облачной системы затрудняется (или становится невозможным) из-за правовых норм других стран, участвующих в трансграничной передаче облачного трафика
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.137. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.137
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Мониторинг безопасности | АУД.7 | РСБ.2 | РСБ.5 | АУД.7 |
| Кластеризация информационной (автоматизированной) системы | ОДТ.7 | — | — | ОДТ.7 |
Почему именно эти меры
Поставщик облачных услуг нарушает договорные обязательства из-за сложности построения эффективной системы управления облачными ресурсами; по существу это организационная проблема поставщика. Кластеризация/избыточность (ОДТ.7) снижает зависимость от единой системы управления. Мониторинг безопасности (АУД.7) даёт потребителю независимую видимость состояния ресурсов.
Сценарий реализации
Угроза вытекает из сложности управления облачными ресурсами, которые размещены у субподрядчиков в разных юрисдикциях. Это организационный и правовой недостаток, как и у УБИ.040. Цепочка тактик Т1–Т9 описывает последовательность действий нарушителя, поэтому для этой угрозы она не строится. Отсутствие пути является результатом разбора угрозы. Актуальность угрозы по-прежнему определяет специалист, который описывает систему, и сценарий он вправе задать самостоятельно.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.