Угроза приведения системы в состояние «отказ в обслуживании»
Угроза заключается в возможности отказа дискредитированной системой в доступе легальным пользователям при лавинообразном увеличении числа сетевых соединений с данной системой или при использовании недостатков реализации сетевых протоколов. Данная угроза обусловлена тем, что для обработки каждого сетевого запроса системой потребляется часть её ресурсов, а также слабостями сетевых технологий, связанными с ограниченностью скорости обработки потоков сетевых запросов, и недостаточностью мер контроля за управлением соединениями и ошибками реализации сетевых протоколов. Реализация данной угрозы возможна при условии превышения объёма запросов над объёмами доступных для их обработки ресурсов дискредитируемой системы или наличия ошибок реализации сетевых протоколов (например, формирование IP-адреса версии 6 на основе MAC-адреса, определение доступности IP-адреса, использование функции контроля целостности PPP-интерфейса и др.)
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.140. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.140
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Мониторинг безопасности | АУД.7 | РСБ.2 | РСБ.5 | АУД.7 |
| Реагирование на сбои при регистрации событий безопасности | АУД.8 | РСБ.5 | РСБ.4 | АУД.8 |
| Контроль предоставляемых вычислительных ресурсов и каналов связи | ОДТ.8 | — | — | ОДТ.8 |
| Защита от компьютерных атак, направленных на отказ в обслуживании, при доступе внешних пользователей к прикладным сервисам, предоставляемым информационной системой | — | ЗОО.1 | — | — |
| Контроль и фильтрация входящего трафика | — | ЗОО.2 | — | — |
| Балансировка нагрузки | — | ЗОО.4 | — | — |
| Защита от угроз отказа в обслуживании (DOS, DDOS-атак) | ЗИС.34 | — | — | ЗИС.34 |
| Перевод информационной (автоматизированной) системы в безопасное состояние при возникновении отказов (сбоев) | ЗИС.37 | — | — | ЗИС.37 |
| Создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций | ДНС.3 | — | — | ДНС.3 |
| Резервирование программного обеспечения, технических средств, каналов связи на случай возникновения нештатных ситуаций | ДНС.4 | — | — | ДНС.4 |
Почему именно эти меры
Лавинообразный рост сетевых соединений или использование слабостей протоколов лишает легитимных пользователей доступа к дискредитированной системе. Защита от компьютерных атак, направленных на отказ в обслуживании (117-ЗОО.1), и контроль с фильтрацией входящего трафика (117-ЗОО.2) специализированы именно против этого класса атак. Контроль вычислительных ресурсов (ОДТ.8) и общая защита от DoS (ЗИС.34) закрывают то же на уровне базового каталога. Мониторинг безопасности (АУД.7) обнаруживает деградацию доступности на раннем этапе. Перевод системы в безопасное состояние при отказе (ЗИС.37), альтернативные места обработки (ДНС.3) и резервирование компонентов (ДНС.4) обеспечивают продолжение работы или быстрое восстановление доступности при успешной атаке.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушителю не нужны ни закрепление, ни вывод информации: он находит компонент, ресурс которого исчерпаем, и нагружает его штатными обращениями либо специально сформированными данными до отказа.
Конечное воздействие по тактике Т10 — Т10.10 Организация отказа в обслуживании одной или нескольких систем, компонентов системы или сети
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.