УБИ.141

Угроза привязки к поставщику облачных услуг

Угроза заключается в возможности возникновения трудно решаемых (или даже неразрешимых) проблем технического, организационного, юридического или другого характера, препятствующих осуществлению потребителем облачных услуг смены их поставщика. Данная угроза обусловлена отсутствием совместимости между форматами данных и программными интерфейсами, используемыми в облачных инфраструктурах различных поставщиков облачных услуг. Реализация данной угрозы возможна при условии использования поставщиком облачных услуг нестандартного программного обеспечения или формата образов виртуальных машин и отсутствием средств преобразования образа виртуальной машины из используемого им формата в другой (используемый другим поставщиком)

Источник угрозы: Внутренний нарушитель с низким потенциалом
Объект воздействия: Информационная система, иммигрированная в облако, системное программное обеспечение, сетевое программное обеспечение, сетевой трафик, объекты файловой системы
Виды объектов воздействия: Системное ПОСетевое ПОДанные и файлыОблачная инфраструктураСеть и трафик группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют
Нарушаемые свойства: доступность
Среда реализации: Виртуализация и облачные вычисления

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.141. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.141

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Мера	№ 239	№ 117	№ 21	№ 31
Резервирование средств и систем	ОДТ.2	—	ОДТ.2	ОДТ.2
Контроль безотказного функционирования средств и систем	ОДТ.3	—	ОДТ.3	ОДТ.3
Резервное копирование информации	ОДТ.4	—	ОДТ.4	ОДТ.4
Обеспечение возможности восстановления информации	ОДТ.5	—	ОДТ.5	ОДТ.5
Кластеризация информационной (автоматизированной) системы	ОДТ.7	—	—	ОДТ.7

Почему именно эти меры

Технические, организационные, юридические сложности смены поставщика облачных услуг («привязка к поставщику»). Резервирование, отказоустойчивость и возможность восстановления (ОДТ.2-5) и кластеризация (ОДТ.7) снижают техническую зависимость от конкретного поставщика, даже если организационная/юридическая составляющая остаётся вне технического каталога мер.

Сценарий реализации

Пути нарушителя у этой угрозы нет

Угроза вытекает из несовместимости форматов данных и программных интерфейсов разных поставщиков облачных услуг. Это свойство платформ, как и у УБИ.052. Цепочка тактик Т1–Т9 описывает последовательность действий нарушителя, поэтому для этой угрозы она не строится. Отсутствие пути является результатом разбора угрозы. Актуальность угрозы по-прежнему определяет специалист, который описывает систему, и сценарий он вправе задать самостоятельно.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках

Нужна не отдельная угроза, а модель угроз целиком?

Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.

Зарегистрироваться Как это работает