Угроза «кражи» учётной записи доступа к сетевым сервисам
Угроза заключается в возможности неправомерного ознакомления нарушителем с защищаемой информацией пользователя путём получения информации идентификации/аутентификации, соответствующей учётной записи доступа пользователя к сетевым сервисам (социальной сети, облачным сервисам и др.), с которой связан неактивный/несуществующий адрес электронной почты. Данная угроза обусловлена недостаточностью мер контроля за активностью/существованием ящиков электронной почты. Реализация данной угрозы возможна при условиях: наличия статуса «свободен для занимания» у адреса электронной почты, с которым связана учётная запись доступа пользователя к сетевым сервисам (например, если пользователь указал при регистрации несуществующий адрес или долго не обращался к почтовому ящику, вследствие чего, его отключили); наличия у нарушителя сведений об адресе электронной почты, с которым связана учётная запись дискредитируемого пользователя для доступа к сетевым сервисам
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.168. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.168
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Управление средствами аутентификации | ИАФ.4 | — | ИАФ.4 | ИАФ.4 |
| Ограничение неуспешных попыток доступа в информационную (автоматизированную) систему | УПД.6 | УПД.4 | УПД.6 | УПД.6 |
| Предупреждение пользователя при его доступе к информационным ресурсам | УПД.7 | УПД.5 | — | УПД.7 |
| Ограничение числа параллельных сеансов доступа | УПД.9 | УПД.7 | УПД.9 | УПД.9 |
| Регистрация событий безопасности | АУД.4 | РСБ.4 | — | АУД.4 |
Почему именно эти меры
«Кража» учётной записи доступа к сетевым сервисам через получение идентификационной или аутентификационной информации легитимной учётной записи. Управление средствами аутентификации (ИАФ.4) защищает аутентификационные данные от компрометации. Ограничение неуспешных попыток входа (УПД.6) закрывает перебор как способ получения доступа, аналогично классическому брутфорсу (см. УБИ.008). Регистрация событий (АУД.4) фиксирует использование учётной записи для обнаружения аномалий (вход с нового устройства или адреса и т.п.).
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушитель собирает идентификационную информацию пользователей, подбирает или получает из утечек их учётные данные и входит в систему через штатные средства удалённого доступа как легитимный пользователь.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.