Угроза «фарминга»

Угроза заключается в возможности неправомерного ознакомления нарушителем с защищаемой информацией (в т.ч. идентификации/аутентификации) пользователя путём скрытного перенаправления пользователя на поддельный сайт (выглядящий одинаково с оригинальным), на котором от дискредитируемого пользователя требуется ввести защищаемую информацию. Данная угроза обусловлена уязвимостями DNS-сервера, маршрутизатора. Реализация данной угрозы возможна при условии наличия у нарушителя: сведений о конкретных сайтах, посещаемых пользователем, на которых требуется ввод защищаемой информации; средств создания и запуска поддельного сайта; специальных программных средств типа «эксплойт», реализующих перенаправление пользователя на поддельный сайт. Кроме того, угрозе данного типа подвержены подлинные сайты, не требующие установления безопасного соединения перед вводом информации ограниченного доступа

Источник угрозы

Внешний нарушитель с низким потенциалом

Объект воздействия

Рабочая станция, сетевое программное обеспечение, сетевой трафик

Виды объектов воздействия

Сетевое ПОУзлы и рабочие местаСеть и трафик группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальность

Среда реализации

Сеть и внешние источники

Условие эксплуатации

Выход в сеть Интернет и обращение к внешним сервисам — без этого условия угроза нереализуема и исключается на шаге адаптации

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.174. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.174

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

«Фарминг» — скрытное перенаправление пользователя на поддельный ресурс без клика по вредоносной ссылке (в отличие от фишинга), обычно через подмену DNS-записей или файла hosts. Подтверждение происхождения источника информации (ЗИС.26) работает здесь так же, как против отравления DNS-кеша (см. УБИ.019/049). Контроль целостности (ОЦЛ.1), применённый к файлу hosts и настройкам DNS-клиента, обнаруживает несанкционированное изменение. Корректная модель доступа (УПД.2) ограничивает, кто вправе менять сетевые настройки.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках