Угроза «спама» веб-сервера
Угроза заключается в возможности неправомерного осуществления нарушителем массовой рассылки коммерческих, политических, мошеннических и иных сообщений на веб-сервер без запроса со стороны дискредитируемых веб-серверов. Данная угроза обусловлена уязвимостями механизмов фильтрации сообщений, поступающих из сети Интернет. Реализация данной угрозы возможна при условии наличия в дискредитируемом веб-сервере активированного функционала, реализующего различные почтовые сервера, службы доставки мгновенных сообщений, блоги, форумы, аукционы веб-магазинов, онлайн-сервисы отправки SMS-сообщений, онлайн-сервисы голосования и др.
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.173. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.173
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Контроль данных, вводимых в информационную (автоматизированную) систему | ОЦЛ.4 | — | ОЦЛ.7 | ОЦЛ.4 |
| Контроль и фильтрация трафика веб-приложений | — | ЗВТ.3 | — | — |
| Ограничение нагрузки | — | ЗОО.5 | — | — |
Почему именно эти меры
Массовая нежелательная рассылка сообщений на веб-сервер (например, через формы обратной связи) без запроса со стороны сервера. Контроль и фильтрация трафика веб-приложений (117-ЗВТ.3) прямо режет поток нежелательных запросов. Ограничение нагрузки (117-ЗОО.5) не даёт объёму запросов деградировать доступность сервиса. Контроль вводимых данных (ОЦЛ.4) через валидацию форм отсекает автоматизированные массовые отправки; капча и подобные механизмы входят в эту же меру.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушитель без доступа к системе изучает доступные из сети «Интернет» сервисы, эксплуатирует уязвимость одного из них, закрепляется на скомпрометированном узле и продвигается вглубь сети.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.