Угроза несвоевременного выявления и реагирования компонентами информационной (автоматизированной) системы (в том числе средствами защиты информации) на события безопасности информации
Угроза заключается в пропуске и/или значительной временной задержке определения (выявления) событий безопасности информации, что приводит к отсутствию реакции на попытки несанкционированного доступа в информационную (автоматизированную) систему, на внедрение вредоносных программ. Данная угроза обусловлена некорректной настройкой компонентов информационной (автоматизированной) системы и/или средств защиты информации, а также отсутствием таких компонентов и/или средств защиты информации. Реализация данной угрозы возможна при отсутствии мер защиты, связанных с мониторингом, сбором и анализом данных о событиях информационной безопасности (отсутствием мер регистрации событий безопасности)
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.214. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.214
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Регистрация событий безопасности | АУД.4 | РСБ.4 | — | АУД.4 |
| Мониторинг безопасности | АУД.7 | РСБ.2 | РСБ.5 | АУД.7 |
| Определение событий безопасности, подлежащих регистрации, и сроков их хранения | — | — | РСБ.1 | — |
| Определение событий безопасности и данных о них, подлежащих регистрации | — | РСБ.1 | — | — |
| Определение состава и содержания информации о событиях безопасности, подлежащих регистрации | — | — | РСБ.2 | — |
| Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения | — | — | РСБ.3 | — |
| Анализ и реагирование на события безопасности | — | ЗКУ.6 | — | — |
| Выявление компьютерных инцидентов | ИНЦ.1 | — | ИНЦ.2 | ИНЦ.1 |
| Определение лиц, ответственных за выявление инцидентов и реагирование на них | — | — | ИНЦ.1 | — |
| Информирование о компьютерных инцидентах | ИНЦ.2 | — | ИНЦ.3 | ИНЦ.2 |
| Анализ компьютерных инцидентов | ИНЦ.3 | — | ИНЦ.4 | ИНЦ.3 |
| Устранение последствий компьютерных инцидентов | ИНЦ.4 | — | ИНЦ.5 | ИНЦ.4 |
| Принятие мер по предотвращению повторного возникновения компьютерных инцидентов | ИНЦ.5 | — | ИНЦ.6 | ИНЦ.5 |
Почему именно эти меры
Пропуск или значительная задержка выявления событий безопасности приводит к отсутствию реакции на попытки несанкционированного доступа. Полнота регистрации событий (АУД.4) и мониторинг безопасности (АУД.7) создают предпосылку своевременного выявления. Выявление компьютерных инцидентов (ИНЦ.1) закрывает именно тот разрыв между событием и реакцией на него, который описан в угрозе. Анализ и реагирование на события безопасности на конечных устройствах (ЗКУ.6, № 117) закрывает тот же разрыв на уровне отдельного устройства.
Сценарий реализации
События безопасности не выявляются из-за некорректной настройки или отсутствия средств мониторинга. Это состояние системы защиты, которым пользуется нарушитель при реализации других угроз, и отдельного пути оно не образует. Цепочка тактик Т1–Т9 описывает последовательность действий нарушителя, поэтому для этой угрозы она не строится. Отсутствие пути является результатом разбора угрозы. Актуальность угрозы по-прежнему определяет специалист, который описывает систему, и сценарий он вправе задать самостоятельно.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.