Угроза внедрения вредоносного кода в дистрибутив программного обеспечения
Угроза заключается в возможности осуществления нарушителем заражения системы путем установки недоверенного дистрибутива, в который внедрен вредоносный код. Данная угроза обусловлена слабостями мер антивирусной защиты. Реализация данной угрозы возможна при: применении пользователем сторонних дистрибутивов; отсутствии антивирусной проверки перед установкой дистрибутива
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.191. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.191
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Реализация антивирусной защиты | АВЗ.1 | АВЗ.1 | АВЗ.1 | АВЗ.1 |
| Контроль использования архивных, исполняемых и зашифрованных файлов | АВЗ.3 | — | — | АВЗ.3 |
| Контроль целостности программного обеспечения | ОЦЛ.1 | — | ОЦЛ.1 | ОЦЛ.1 |
| Поиск, получение обновлений программного обеспечения от доверенного источника | ОПО.1 | — | — | ОПО.1 |
Почему именно эти меры
Заражение системы происходит через установку недоверенного дистрибутива программного обеспечения с внедрённым вредоносным кодом. Получение дистрибутивов только от доверенного источника (ОПО.1) и контроль их целостности (ОЦЛ.1) бьют прямо по механизму заражения. Антивирус (АВЗ.1) остаётся детектирующим слоем. Контроль исполняемых и архивных файлов (АВЗ.3) даёт точку проверки для скачанного дистрибутива до его запуска.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушитель использует доступ, предоставленный обслуживающей организации, либо внедряет вредоносный код в поставляемое программное обеспечение и обновления до того, как они попадут в систему.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.