Угроза скрытного включения вычислительного устройства в состав бот-сети

Угроза заключается в возможности опосредованного осуществления нарушителем деструктивного воздействия на информационные системы с множества вычислительных устройств (компьютеров, мобильных технических средств и др.), подключённых к сети Интернет, за счёт захвата управления такими устройствам путём несанкционированной установки на них: вредоносного ПО типа Backdoor для обеспечения нарушителя возможностью удалённого доступа/управления дискредитируемым вычислительным устройством; клиентского ПО для включения в ботнет и использования созданного таким образом ботнета в различных противоправных целях (рассылка спама, проведение атак типа «отказ в обслуживании» и др.). Данная угроза обусловлена уязвимостями в сетевом программном обеспечении и слабостями механизмов антивирусного контроля и межсетевого экранирования. Реализация данной угрозы возможна при условии наличия выхода с дискредитируемого вычислительного устройства в сеть Интернет

Источник угрозы

Внешний нарушитель с низким потенциалом

Объект воздействия

Сетевой узел, сетевое программное обеспечение

Виды объектов воздействия

Сетевое ПОУзлы и рабочие места группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

доступность

Среда реализации

Сеть и внешние источники

Условие эксплуатации

Выход в сеть Интернет и обращение к внешним сервисам — без этого условия угроза нереализуема и исключается на шаге адаптации

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.171. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.171

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Устройство скрытно включается в состав бот-сети для опосредованного деструктивного воздействия на другие системы с использованием множества таких устройств разом. Антивирусная защита (АВЗ.1, АВЗ.2) обнаруживает вредоносное ПО, включающее устройство в бот-сеть. Обнаружение вторжений (СОВ.1, СОВ.2) детектирует характерный трафик управления бот-сетью (C2-каналы). Анализ уязвимостей (АУД.2) закрывает первопричину — уязвимости, через которые устройство изначально заражается. Антивирусная защита и обнаружение вторжений на конечных устройствах (ЗКУ.3, № 117) обнаруживает и блокирует программу, пытающуюся включить устройство в бот-сеть.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.10 Организация отказа в обслуживании одной или нескольких систем, компонентов системы или сети