Угроза нарушения целостности (подмены) контейнеров

Угроза заключается в возможности запуска нарушителем собственного docker-контейнера, функционирующего по уровню логического воздействия ниже компрометируемого docker-контейнера. Данная угроза обусловлена уязвимостями программного обеспечения docker-контейнера, реализующего функцию изолированной программной среды для функционирующих в ней программ, а также слабостями инструкций аппаратной поддержки контейнеризации на уровне процессора. Реализация данной угрозы приводит не только к компрометации docker-контейнера, но и запущенных в созданной им среде средств защиты

Источник угрозы

Внешний нарушитель со средним потенциалом; Внутренний нарушитель со средним потенциалом

Объект воздействия

Информационная система, сетевой узел, носитель информации, объекты файловой системы, учетные данные пользователя, образ docker-контейнера

Виды объектов воздействия

Данные и файлыУчётные данныеНосители информацииСредства виртуализацииУзлы и рабочие места группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальностьцелостностьдоступность

Среда реализации

Контейнеры

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.224. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.224

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Нарушитель запускает собственный контейнер более низкого уровня логического воздействия, чтобы вмешаться в работу или подменить скомпрометированный контейнер. Контроль целостности в контейнерных средах (117-ЗКО.1) — прямая мера обнаружения подмены/несанкционированного изменения контейнера. Изоляция контейнеров (117-ЗКО.5) не даёт постороннему контейнеру вообще взаимодействовать с чужим. Устранение уязвимостей службы контейнеризации (117-ЗКО.8) закрывает саму причину, по которой такое взаимодействие оказалось возможным. Управление доступом (117-ЗКО.3) ограничивает, кто вправе запускать новые контейнеры в среде. Резервное копирование в контейнерных средах (ЗКО.4) обеспечивает восстановление контейнера до момента внедрения вредоносного кода, не полагаясь только на предотвращение.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.7 Подмена информации (например, платежных реквизитов) в памяти или информации, хранимой в виде файлов, информации в базах данных и репозиториях, информации на неразмеченных областях дисков и сменных носителей