Угроза контроля вредоносной программой списка приложений, запущенных на мобильном устройстве
Угроза заключается в возможности использования вредоносной программы для контроля списка приложений, запущенных на мобильном устройстве. Данная угроза обусловлена недостаточностью мер по антивирусной защите, что позволяет выполнить неконтролируемый запуск вредоносных программ (отсутствие контроля разрешенного программного обеспечения). Реализация данной угрозы возможна при условии, что вредоносная программа внедрена на мобильном устройстве и непреднамеренно запущена самим пользователем
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.196. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.196
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Мониторинг процессов и состояния устройства | — | ЗКУ.4 | — | — |
| Антивирусная защита | — | ЗМУ.5 | — | — |
| Контроль приложений | — | ЗМУ.6 | — | — |
| Регистрация, анализ и реагирование на события безопасности | — | ЗМУ.9 | — | — |
Почему именно эти меры
Вредоносная программа контролирует список приложений, запущенных на мобильном устройстве, из-за недостаточности антивирусной защиты. Антивирусная защита (117-ЗМУ.5) устраняет названную в описании угрозы причину. Контроль приложений (117-ЗМУ.6) ограничивает, какое ПО вообще может получить доступ к списку процессов. Регистрация и реагирование на события безопасности (117-ЗМУ.9) обнаруживает аномальную активность постфактум. Мониторинг процессов и состояния устройства (ЗКУ.4, № 117) обнаруживает несанкционированный контроль списка приложений сторонним процессом.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Точка входа — смартфон или планшет сотрудника: нарушитель добивается установки на него постороннего приложения, снимает ограничения операционной системы устройства и через него достаёт данные системы.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.