Угроза внедрения вредоносного программного обеспечения в контейнеры
Угроза заключается в возможности нарушителя внедрения вредоносного программного обеспечения в существующий docker-контейнер для дальнейшего деструктивного воздействия на объекты системы. Данная угроза обусловлена наличием уязвимостей программного кода службы контейнеризации, обеспечиваемого изолированность программной среды и защиты от несанкционированного доступа со стороны нарушителя. Реализация данной угрозы возможна при условии успешного преодоления вредоносным программным кодом границ docker-контейнера за счет эксплуатации уязвимостей службы контейнеризации и воздействия с других уровней функционирования системы.
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.226. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.226
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Реализация антивирусной защиты | АВЗ.1 | АВЗ.1 | АВЗ.1 | АВЗ.1 |
| Контроль целостности в контейнерных средах | — | ЗКО.1 | — | — |
| Управление доступом в контейнерных средах | — | ЗКО.3 | — | — |
| Резервное копирование в контейнерных средах | — | ЗКО.4 | — | — |
| Выявление и устранение уязвимостей в контейнерной среде | — | ЗКО.8 | — | — |
Почему именно эти меры
Нарушитель внедряет вредоносное ПО в уже существующий контейнер, используя уязвимости службы контейнеризации, для последующего деструктивного воздействия. Контроль целостности контейнера (117-ЗКО.1) обнаруживает несанкционированное изменение его содержимого. Устранение уязвимостей (117-ЗКО.8) закрывает сам канал внедрения. Антивирусная защита (АВЗ.1), применённая к содержимому контейнеров, — детектирующий слой на случай уже внедрённого известного вредоносного ПО. Управление доступом (117-ЗКО.3) ограничивает, кто может изменять содержимое контейнера. Резервное копирование в контейнерных средах (ЗКО.4) даёт возможность восстановить контейнер из чистого состояния после заражения.
Сценарий реализации
Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.
Нарушитель начинает с одной легально полученной виртуальной машины или контейнера и добивается выхода за её границы: получает доступ к гипервизору, к соседним виртуальным машинам и к общей системе хранения.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.