Угроза перехвата управления информационной системой
Угроза заключается в возможности осуществления нарушителем несанкционированного доступа к информационным, программным и вычислительным ресурсам информационной системы в результате подмены средств централизованного управления информационной системой или её компонентами. Данная угроза обусловлена наличием у средств централизованного управления программных интерфейсов взаимодействия с другими субъектами доступа (процессами, программами) и, как следствие, возможностью несанкционированного доступа к данным средствам централизованного управления, а также недостаточностью мер по разграничению доступа к ним. Реализация данной угрозы возможна при условии наличия у нарушителя прав на осуществление взаимодействия со средствами централизованного управления
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.212. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.212
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Идентификация и аутентификация пользователей и инициируемых ими процессов | ИАФ.1 | — | ИАФ.1 | ИАФ.1 |
| Аутентификация пользователей | — | ИАФ.3 | — | — |
| Реализация модели управления доступом | УПД.2 | УПД.1 | УПД.2 | УПД.2 |
| Назначение минимально необходимых прав и привилегий | УПД.5 | — | УПД.5 | УПД.5 |
| Регистрация событий безопасности | АУД.4 | РСБ.4 | — | АУД.4 |
| Обнаружение и предотвращение компьютерных атак | СОВ.1 | СОВ.1 | СОВ.1 | СОВ.1 |
| Обеспечение подлинности сетевых соединений | ЗИС.27 | — | ЗИС.11 | ЗИС.27 |
Почему именно эти меры
Нарушитель получает несанкционированный доступ к ресурсам информационной системы через подмену средств централизованного управления её инфраструктурой. Саму подмену закрывает обеспечение подлинности сетевых соединений (ЗИС.27). Корректная модель доступа и надёжная аутентификация (УПД.2, ИАФ.1) защищают уже средства управления. Минимизация прав (УПД.5) ограничивает ущерб. Регистрация событий и обнаружение вторжений (АУД.4, СОВ.1) дают детектирующий слой на канале управления. В № 117 это аутентификация пользователей (ИАФ.3).
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
У нарушителя уже есть штатный доступ к системе, поэтому этап первоначального доступа отсутствует: он изучает систему изнутри, обходит ограничения своей учётной записи и выносит информацию.
Конечное воздействие по тактике Т10 — Т10.7 Подмена информации (например, платежных реквизитов) в памяти или информации, хранимой в виде файлов, информации в базах данных и репозиториях, информации на неразмеченных областях дисков и сменных носителей
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.