Угроза маскирования действий вредоносного кода

Угроза заключается в возможности сокрытия в системе действий вредоносного кода за счет применения специальных механизмов маскирования кода (архивирование, изменение формата данных и др.), которые препятствуют его дальнейшему анализу. Данная угроза обусловлена наличием способов маскирования программного кода, не учтенных сигнатурными базами средств защиты информации, а также механизмов операционной системы, позволяющих осуществить поиск модулей средств защиты информации. Реализация данной угрозы возможна при условии использования в системе устаревших версий средств защиты информации

Источник угрозы

Внешний нарушитель со средним потенциалом

Объект воздействия

Системное программное обеспечение, сетевое программное обеспечение

Виды объектов воздействия

Системное ПОСетевое ПО группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

целостностьдоступность

Среда реализации

Жизненный цикл ПО и средства защиты

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.189. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.189

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Вредоносный код маскирует свои действия специальными механизмами (архивирование, изменение формата данных), препятствующими его обнаружению. Антивирус (АВЗ.1) и обнаружение вторжений (СОВ.1) образуют детектирующий слой, способный заметить поведенческие признаки, даже если сигнатура замаскирована. Анализ уязвимостей (АУД.2) закрывает слабости, которые позволяют маскировке вообще работать.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках