Угроза «фишинга»

Угроза заключается в возможности неправомерного ознакомления нарушителем с защищаемой информацией (в т.ч. идентификации/аутентификации) пользователя путём убеждения его с помощью методов социальной инженерии (в т.ч. посылкой целевых писем (т.н. spear-phishing attack), с помощью звонков с вопросом об открытии вложения письма, имитацией рекламных предложений (fake offers) или различных приложений (fake apps)) зайти на поддельный сайт (выглядящий одинаково с оригинальным), на котором от дискредитируемого пользователя требуется ввести защищаемую информацию или открыть заражённое вложение в письме. Данная угроза обусловлена недостаточностью знаний пользователей о методах и средствах «фишинга». Реализация данной угрозы возможна при условии наличия у нарушителя: сведений о конкретных сайтах, посещаемых пользователем, на которых требуется ввод защищаемой информации; средств создания и запуска поддельного сайта; сведений о контактах пользователя с доверенной организацией (номер телефона, адрес электронной почты и др.). Для убеждения пользователя раскрыть информацию ограниченного доступа (или открыть вложение в письмо) наиболее часто используются поддельные письма от администрации какой-либо организации, с которой взаимодействует пользователь (например, банк)

Источник угрозы

Внешний нарушитель с низким потенциалом

Объект воздействия

Рабочая станция, сетевое программное обеспечение, сетевой трафик

Виды объектов воздействия

Сетевое ПОУзлы и рабочие местаСеть и трафик группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальность

Среда реализации

Электронная почта

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.175. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.175

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Фишинг: нарушитель методами социальной инженерии убеждает пользователя раскрыть защищаемую информацию, включая идентификационные и аутентификационные данные. Защита от фишинга (117-ЗЭП.4) даёт специализированную техническую меру (фильтрация писем, проверка ссылок). Но фишинг эксплуатирует прежде всего человека, а не технику, поэтому информирование персонала об угрозах и правилах безопасной работы (ИПО.1) не менее важно. Защита ящиков и сообщений электронной почты (117-ЗЭП.1) прикрывает канал, через который чаще всего доставляется фишинг.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках