Угроза обхода многофакторной аутентификации

Угроза заключается в возможности обхода многофакторной аутентификации путем внедрения вредоносного кода в дискредитируемую систему и компоненты, участвующие в процедуре многофакторной аутентификации. Данная угроза обусловлена: наличием уязвимостей программного обеспечения; слабостями мер антивирусной защиты и разграничения доступа. Реализация данной угрозы возможна: в случае работы дискредитируемого пользователя с файлами, поступающими из недоверенных источников; при наличии у него привилегий установки программного обеспечения

Источник угрозы

Внешний нарушитель с высоким потенциалом

Объект воздействия

Системное программное обеспечение, микропрограммное обеспечение, учетные данные пользователя

Виды объектов воздействия

Системное ПОМикропрограммное обеспечениеУчётные данные группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальностьцелостностьдоступность

Среда реализации

Доступ и учётные записи

Условие эксплуатации

Многофакторная аутентификация, смарт-карты, одноразовые пароли — без этого условия угроза нереализуема и исключается на шаге адаптации

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.213. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.213

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Обход многофакторной аутентификации через внедрение вредоносного кода в компоненты, участвующие в процедуре МФА. Корректная реализация аутентификации (ИАФ.1) должна исключать известные техники обхода. Антивирус (АВЗ.1) обнаруживает внедрённый вредоносный код. Контроль целостности (ОЦЛ.1), применённый к компонентам МФА, обнаруживает их несанкционированное изменение. Регистрация событий (АУД.4) фиксирует аномалии в процессе аутентификации.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках