Угроза пропуска проверки целостности программного обеспечения

Угроза заключается в возможности внедрения нарушителем в дискредитируемую систему вредоносного программного обеспечения путём обманного перенаправления запросов пользователя или его программ на собственный сетевой ресурс, содержащий вредоносное программное обеспечение, для его «ручной» или «автоматической» загрузки с последующей установкой в дискредитируемую систему от имени пользователя или его программ. Данная угроза обусловлена слабостями механизмов проверки целостности файлов программного обеспечения и/или проверки подлинности источника их получения. Реализация данной угрозы возможна при условии успешного использования обманных техник одного из следующих методов: «ручного метода» – нарушитель, используя обманные механизмы, убеждает пользователя перейти по ссылке на сетевой ресурс нарушителя, что приводит к запуску вредоносного кода на компьютере пользователя, или убеждает пользователя самостоятельно загрузить и установить вредоносную программу (например, под видом игры или антивирусного средства); «автоматического метода» – нарушитель осуществляет деструктивное воздействие переадресацию функции автоматического обновления дискредитируемой программы на собственный вредоносный сервер

Источник угрозы

Внешний нарушитель с низким потенциалом; Внутренний нарушитель с низким потенциалом

Объект воздействия

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение

Виды объектов воздействия

Системное ПОПрикладное ПОСетевое ПО группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

целостностьдоступность

Среда реализации

Жизненный цикл ПО и средства защиты

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.145. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.145

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Нарушитель обманом перенаправляет запросы пользователя или его программ на собственный сетевой ресурс, внедряя вредоносное ПО в обход проверки целостности. Контроль целостности программного обеспечения (ОЦЛ.1) должен применяться так, чтобы его нельзя было обойти через подмену источника запроса. Обеспечение подлинности сетевых соединений (ЗИС.27) не даёт перенаправить запрос на поддельный ресурс. Получение ПО только от доверенного источника (ОПО.1) закрывает саму возможность подмены источника для загрузки.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках