Угроза сканирования веб-сервисов, разработанных на основе языка описания WSDL
Угроза заключается в возможности получения нарушителем сведений о текущей конфигурации веб-служб и наличии в ней уязвимостей путём исследования WSDL-интерфейса веб-сервера. Данная угроза обусловлена недостаточностью мер по обеспечению конфиденциальности информации, реализованных в WSDL-сервисах, предоставляющих подробные сведения о портах, службах и соединениях, доступных пользователям. Реализация данной угрозы возможна при наличии у нарушителя сетевого доступа к исследуемому сетевому ресурсу и специальных программных средств сканирования сети
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.151. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.151
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Анализ уязвимостей и их устранение | АУД.2 | — | АНЗ.1 | АУД.2 |
| Управление доступом пользователей | — | ЗВТ.2 | — | — |
| Сокрытие архитектуры и конфигурации информационной (автоматизированной) системы | ЗИС.8 | МСЭ.4 | — | ЗИС.8 |
Почему именно эти меры
Нарушитель изучает WSDL-интерфейс веб-сервера, чтобы получить сведения о конфигурации веб-служб и уязвимостях. Сокрытие архитектуры и конфигурации информационной системы (ЗИС.8) не даёт получить эти сведения через открытое описание интерфейса. Управление доступом пользователей веб-приложения (117-ЗВТ.2) ограничивает, кто вообще может обратиться к WSDL-описанию. Анализ уязвимостей (АУД.2) позволяет проактивно закрыть то, что сканирование могло бы обнаружить.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушитель без доступа к системе изучает доступные из сети «Интернет» сервисы, эксплуатирует уязвимость одного из них, закрепляется на скомпрометированном узле и продвигается вглубь сети.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.