Угроза распространения «почтовых червей»
Угроза заключается в возможности нарушения безопасности защищаемой информации пользователя вредоносными программами, скрытно устанавливаемыми при получении пользователями системы электронных писем, содержащих вредоносную программу типа «почтовый червь», а также невольного участия в дальнейшем противоправном распространении вредоносного кода. Данная угроза обусловлена слабостями механизмов антивирусного контроля. Реализация данной угрозы возможна при условии наличия у дискредитируемого пользователя электронного почтового ящика, а также наличия в его адресной книге хотя бы одного адреса другого пользователя
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.172. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.172
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Реализация антивирусной защиты | АВЗ.1 | АВЗ.1 | АВЗ.1 | АВЗ.1 |
| Контроль использования архивных, исполняемых и зашифрованных файлов | АВЗ.3 | — | — | АВЗ.3 |
| Контроль данных, вводимых в информационную (автоматизированную) систему | ОЦЛ.4 | — | ОЦЛ.7 | ОЦЛ.4 |
| Управление доступом пользователей | — | ЗЭП.2 | — | — |
| Защита от вредоносных вложений | — | ЗЭП.3 | — | — |
| Реализация электронного почтового обмена с внешними сетями через ограниченное количество контролируемых точек | ЗИС.15 | — | — | ЗИС.15 |
Почему именно эти меры
Вредоносные программы («почтовые черви») скрытно устанавливаются при получении пользователем электронных писем. Антивирус (АВЗ.1) даёт детектирующий слой, а защита от вредоносных вложений (117-ЗЭП.3) закрывает именно почтовый канал распространения. Контроль вводимых данных (ОЦЛ.4), применённый к вложениям, дополняет проверку. Контроль архивных и исполняемых вложений (АВЗ.3) проверяет именно тот тип файлов, которым распространяются почтовые черви; реализация почтового обмена через ограниченное число контролируемых точек (ЗИС.15) сужает поверхность, через которую червь может попасть во внешнюю сеть.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушитель собирает информацию о сотрудниках, методами социальной инженерии вынуждает пользователя запустить вредоносный код на своей рабочей станции и использует её как плацдарм для доступа к системе.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.