Угроза удаленного запуска вредоносного кода в обход механизмов защиты операционной системы
Угроза заключается в возможности удаленного запуска вредоносного кода за счет создания приложений, использующих обход механизмов защиты, встроенных в операционную систему. Данная угроза обусловлена ошибками в процессорах (например, ошибками в процессоре Intel поколения Haswell), позволяющими за счет создания специальных приложений осуществлять обход механизмов защиты, встроенных в операционную систему (например, механизма ASLR). Реализация данной угрозы возможна при: инициировании коллизии в таблице целевых буферов - с ее помощью можно узнать участки памяти, где находятся конкретные фрагменты кода; создании приложения, использующего эти фрагменты кода для обхода механизма защиты; запуске данного приложения в связке с эксплойтом какой-либо уязвимости самой операционной системы для создания возможности удаленного запуска вредоносного кода
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.195. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.195
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Управление запуском (обращениями) компонентов программного обеспечения | ОПС.1 | — | ОПС.1 | ОПС.1 |
| Анализ уязвимостей и их устранение | АУД.2 | — | АНЗ.1 | АУД.2 |
| Реализация антивирусной защиты | АВЗ.1 | АВЗ.1 | АВЗ.1 | АВЗ.1 |
| Антивирусная защита и обнаружение и предотвращение вторжений на конечных устройствах | — | ЗКУ.3 | — | — |
Почему именно эти меры
Удалённый запуск вредоносного кода за счёт создания приложений, обходящих встроенные механизмы защиты ОС из-за ошибок в их реализации. Анализ уязвимостей (АУД.2) находит сами ошибки, делающие обход возможным. Контроль запуска компонентов ПО (ОПС.1) ставит дополнительный барьер поверх штатных механизмов ОС, антивирус (АВЗ.1) добавляет детектирующий слой. Обнаружение и предотвращение вторжений на конечных устройствах (ЗКУ.3, № 117) — специализированный слой защиты именно от запуска кода в обход штатных механизмов ОС.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушитель без доступа к системе изучает доступные из сети «Интернет» сервисы, эксплуатирует уязвимость одного из них, закрепляется на скомпрометированном узле и продвигается вглубь сети.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.