01.03.2024 на сайте ФСТЭК России опубликован проект национального стандарта ГОСТ Р. upd На праздниках развернул сервер с альтернативной формой БДУ ФСТЭК. Поиск в общедоступных источниках (включая БДУ ФСТЭК России) информации о возможных уязвимостях и слабостях компонентов ПО. Документы» отражена информация об угрозах, способах их реализации, техниках и тактиках злоумышленников, выгруженная из банка данных угроз безопасности информации (БДУ) ФСТЭК. Таблица соответствия угрозы из БДУ ФСТЭК И мер защиты из приказов 17 21.
Новый раздел банка данных угроз: что важно знать
Автоматическая актуализация при изменении законодательства, реестров сертифицированных СЗИ ФСБ России и ФСТЭК России, появлении новых угроз и уязвимостей в БДУ ФСТЭК России Поддержка версионности документов. Справочник мер защиты новой БДУ соответствует только составу мер из Требований, утвержденных приказом ФСТЭК России от 25 декабря 2017 года № 239 (для объектов КИИ). Главная» Новости» Фстэк россии новости. Новые угрозы в БДУ ФСТЭК. Главная страница:: Новости:: Центр безопасности информации представил доклад на XIV конференции "Актуальные вопросы защиты информации", проводимой ФСТЭК России в рамках.
Уязвимость BDU:2023-00291
Кроме того, президент наделил службу полномочиями по организации взаимодействия органов власти, местного самоуправления и организаций при реализации ими мер по повышению уровня технической защищенности информации и обеспечения безопасности значимых объектов КИИ. Наконец, ФСТЭК теперь будет организовывать и проводить оценку эффективности деятельности госорганов по технической защите информации и обеспечению безопасности значимых объектов КИИ. Отсюда мнение о том, что опираться нужно на аппарат государственных служащих. Однако, есть оборотная сторона — низкий уровень дохода государственного служащего провоцирует его низкий профессионализм, текучку, а также высокий уровень коррупции», — говорит Бедеров.
Объекты КИИ до сих пор не все прошли даже категорирование, напоминает эксперт: срок категорирования несколько раз продлевали и пока что окончательного решения по вопросу нет.
Быстрая установка и настройка XSpider не требует развертывания программных модулей на узлах, все проверки проводятся удаленно. Предусмотрена возможность установки XSpider как на аппаратную платформу, так и в виртуальной среде. Глубокий анализ систем Microsoft XSpider проводит расширенную проверку узлов под управлением Windows. Удобная система генерации отчетов есть набор встроенных отчетов в различных форматах с возможностью их настройки под собственные нужды. Качественная проверка слабости парольной защиты оптимизированный подбор паролей практически для всех сервисов, требующих аутентификации. Полная идентификация сервисов в том числе проверки на уязвимости серверов со сложной конфигурацией, когда сервисы имеют произвольно выбранные порты. Низкий уровень ложных срабатываний.
Руководство определяет состав и содержание работ по анализу и устранению уязвимостей далее - управление уязвимостями , выявленных в программных, программно-аппаратных средствах информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления, информационно-телекоммуникационных инфраструктурах центров обработки данных, на базе которых функционируют эти системы и сети далее - информационные системы. Настоящее Руководство подлежит применению государственными органами, организациями, в том числе субъектами критической информационной инфраструктуры Российской Федерации, являющимися операторами информационных автоматизированных систем далее - органы организации при принятии ими мер по устранению уязвимостей программных, программно-аппаратных средств информационных систем в соответствии с требованиями о защите информации, содержащейся в государственных информационных системах, требованиями по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, а также иными нормативными правовыми актами и методическими документами ФСТЭК России. Задачами Руководства являются создание основы для разработки детальных регламентов и стандартов по управлению уязвимостями с учетом особенностей функционирования органов организаций и организация взаимодействия между структурными подразделениями органов организаций по вопросам устранения уязвимостей. Управление уязвимостями сертифицированных программных, программно-аппаратных средств защиты информации обеспечивается с учетом эксплуатационной документации на них, а также рекомендаций разработчиков. Уязвимости информационных систем. Управление компьютерными инцидентами. Термины и определения" и иными национальными стандартами в области защиты информации и обеспечения информационной безопасности. В Руководстве используются обозначения на схемах, приведенные в приложении к настоящему документу.
Чтобы процесс обнаружения факторов риска был максимально быстрым и эффективным, в марте 2015 года ФСТЭК сформировала Банк данных угроз, который постоянно дополняется. Рассмотрим подробнее, что он собой представляет, кому нужен и насколько соответствует потребностям операторов. Что такое банк угроз: цели создания и доступ к информации При построении модели УБ часто возникают сложности с выявлением и указанием факторов риска, которые могут быть реализованы в ИС. Упростить работу возможно. Фактически это ни что иное, как электронная база, в которой присутствует описание тех условий, которые могут стать причиной НСД и выполнения неправомерных действий с конфиденциальными сведениями. Целью создания является обеспечение поддержки как информационной, так и методической организациям, деятельность которых связана с ПДн, ГИС и управлением критически важными объектами.
About the creator
- Мы выявили пять уязвимостей в Websoft HCM
- Обзор проекта новой методики моделирования угроз безопасности информации / Хабр
- Банк данных угроз безопасности информации. Что такое банк угроз ФСТЭК?
- Федеральная служба по техническому и экспортному контролю
- Новая методика оценки УБИ — Утверждено ФСТЭК России
Особенности банка данных угроз ФСТЭК России
- Банк данных угроз безопасности информации ФСТЭК России SECURITM
- Телеграм канал «БДУ ФСТЭК России»
- Федеральная служба по техническому и экспортному контролю
- ФСТЭК РФ БДУ - Банк данных угроз Федеральной службы технико-экспортного контроля - CNews
- UDV DATAPK Industrial Kit — решение для безопасности промышленных сетей и мониторинга АСУ ТП
- Общий обзор реестров и классификаций уязвимостей (CVE, OSVDB, NVD, Secunia)
Назначение
- Блеск и нищета… БДУ
- ФСТЭК подтвердил безопасность российского ПО Tarantool
- Общий обзор реестров и классификаций уязвимостей (CVE, OSVDB, NVD, Secunia)
- Новости Форума и анонсы деловой программы
- ФСТЭК - банк данных угроз безопасности информации
- Новый раздел банка данных угроз: что важно знать
Федеральная служба по техническому и экспортному контролю
Сканер-ВС Назначение Сканер-ВС — система комплексного анализа защищенности, позволяющая обеспечить своевременное выявление уязвимостей в ИТ-инфраструктуре организаций любого масштаба. С помощью Сканера-ВС можно проводить тестирование на проникновение, сканирование уязвимостей, а также анализ конфигурации, организовать непрерывный контроль защищенности. Использование «Сканер-ВС» позволяет обеспечить непрерывный мониторинг защищенности информационных систем, а также повысить эффективность деятельности IT-подразделений и служб безопасности. Возможность работы в режиме Live USB, а также развертывания в ИТ-инфраструктуре предприятия с поддержкой одновременной удаленной работы пользователей.
На втором этапе необходимо определить наличие потенциальных уязвимостей и их типы, наличие недекларированных возможностей в информационных системах, а также необходимость доступа к системе для реализации каждой из угроз безопасности. В качестве основного метода выявления потенциальных уязвимостей в информационной системе на этапе ее эксплуатации является тестирование на проникновение, проводимое в том числе с учетом функциональных возможностей и настроек средств защиты. Следующим, третьим этапом является определение нарушителей безопасности и оценка их возможностей. В качестве источников угроз предлагается рассматривать как антропогенные, так и техногенные: первые рассматриваются абсолютно для всех информационных систем, тогда как вторые — только для тех систем, для которых предъявляются требования к устойчивости и надежности функционирования. Подход к определению возможных антропогенных источников угроз — нарушителей — является стандартным и заключается в выявлении конкретных видов нарушителей, их потенциала и возможностей при реализации угроз в отношении защищаемой информационной системы. Стоит отметить, что при наличии связи информационной системы с Интернетом, внешний нарушитель как минимум с низким потенциалом всегда рассматривается в качестве актуального источника угроз.
Также необходимо обратить внимание, что согласно новой Методике, нарушитель может обладать одним из четырех уровней потенциала базовый, базовый повышенный, средний и высокий , в то время как БДУ, при описании источника угроз, использует лишь 3 уровня низкий, средний, базовый. Как правильно в этом случае обеспечить корреляцию — вопрос, который также остается без ответа. На заключительном этапе осуществляется анализ возможных тактик и техник реализации угроз. Стоит отметить еще один момент, касающийся БДУ. На сегодняшний день этот ресурс не содержит какой-либо структурированной информации о возможных способах реализации угроз, в связи с чем ссылка на него выглядит неуместной. Выдержка из матрицы тактик и методик, представленной в документе: В общем и целом, предложенный подход значительно выделяется своими положительными сторонами, особенно на фоне порядка, представленного в действующей методике. Среди «плюсов», как минимум, можно выделить следующие: отказ от неудобных в использовании и далеко не всегда корректных параметров исходной защищенности информационной системы и вероятности реализации угрозы, используемых в методике 2008 года; зависимость актуальности угроз безопасности от действительно значимых для информационной безопасности параметров, таких как потенциальный ущерб от реализации угрозы и сценарии ее реализации; большой акцент на мероприятиях, позволяющих корректно и точно определить, от чего необходимо защищаться — оценка рисков, проведение тестирования на проникновение, использование источников о тактиках и техниках реализации угроз; предусмотрены различные варианты выполнения мероприятий при определении актуальности угроз, например, определение потенциальных последствий от реализации угрозы тремя разными способами; предоставление исходных данных и примеров выполнения для каждого из мероприятий, выполняемых для определения актуальности угроз. Таким образом, мероприятия по определению актуальности угроз безопасности являются целостным и структурированным процессом, способным учитывать особенности функционирования различных типов информационных систем. Вместе с тем стоит отметить тот факт, что модернизация подхода к определению актуальности угроз сделал его значительно более трудоемким.
От исполнителя или, вероятнее, группы исполнителей требуются глубокие знания как об инфраструктуре системы, так и различных областях ИБ, начиная от законодательных норм, заканчивая пониманием и, желательно, наличием практических навыков по реализации различных типов атак. Определение угроз безопасности для инфраструктуры, размещаемой на внешних хостингах Особое внимание уделяется вопросу разделения ответственности при моделировании угроз для информационных систем, размещаемых во внешних ЦОД и облачных сервисах. Определение актуальных угроз безопасности в рассматриваемой ситуации должно осуществляться владельцем информации совместно с используемым хостингом. В общем случае хостинг определяет актуальные угрозы безопасности для предоставляемой им инфраструктуры и доводит эти сведения до своего клиента — обладателя информации оператора. Например, границы моделирования угроз безопасности при аренде виртуальной инфраструктуры выглядят следующим образом: В случае, если владелец хостинга не выполняет моделирование угроз, Методика не рекомендует использование его услуг.
Модульная компоновка позволяет масштабировать систему и использовать её в территориально распределённых сетях и ЦОД. Техническая поддержка оказывается до 23. Больше сведений о данном сканере можно найти на сайте RedCheck. Рисунок 4.
Выявление уязвимостей производится следующим образом: состояние системных параметров сканируемого программного обеспечения системного и прикладного сравнивается с базой уязвимостей, представленной в виде описаний, которые разработаны в соответствии со спецификацией OVAL. Сканер позволяет выявлять одиночные и множественные бреши. XSpider Сканер защищённости XSpider компании Positive Technologies впервые появился на рынке ещё в 2002 году — причём в это же время была основана сама компания. XSpider предназначен для компаний с количеством узлов до 10 000. Задачи по проверке парольной политики также решаются XSpider, при этом будет задействован брутфорс с использованием базы паролей, которые наиболее распространены или применяются по умолчанию. Рисунок 5. Более подробно об этом сканере можно узнать в посвящённом ему разделе сайта производителя. Также данный сканер осуществляет поиск брешей, содержащихся в международных базах cve. Кроме того, «Ревизор сети» может импортировать в состав своих отчётов результаты, полученные при использовании сетевого сканера Nmap в части определения типов операционных систем и выявления сетевых сервисов на открытых TCP- и UDP-портах.
Основными особенностями «Ревизора сети» являются: проверки уязвимостей ОС семейств Windows и Linux, СУБД, средств виртуализации, общесистемного и прикладного ПО с использованием регулярно обновляемых баз данных; проверка наличия неустановленных обновлений ОС семейства Windows; проверки учётных записей для узлов сети, подбор паролей; определение открытых TCP- и UDP-портов на узлах проверяемой сети с верификацией сервисов, поиск уязвимостей; определение NetBIOS- и DNS-имён проверяемых узлов сети; проверки наличия и доступности общих сетевых ресурсов на узлах сети; сбор дополнительной информации об ОС семейства Windows. Рисунок 6. Окно для просмотра задач сканирования в «Ревизоре сети 3. Сканер уязвимости «Ревизор сети» версии 3. С более подробной информацией о сканере можно ознакомиться на странице разработчика. Также данный сканер может проводить тесты на проникновение и осуществлять анализ конфигурации различных узлов. Рисунок 7. Главное меню системы «Сканер-ВС» Помимо этого можно отметить наличие следующих возможностей: Инвентаризация ресурсов сети. Сканирование на наличие уязвимостей как с учётной записью администратора, так и без неё.
Сетевой и локальный анализ стойкости паролей. Поиск подходящих эксплойтов на основе собранной информации об узле. Перехват и анализ сетевого трафика, а также реализация атак типа MitM Man in the Middle, «внедрённый посредник». Анализ беспроводных сетей. Создание отчёта с техническими рекомендациями по устранению обнаруженных уязвимостей. Также «Сканер-ВС» предлагает проведение контроля целостности — подсчёт контрольных сумм заданных папок и файлов по 13 алгоритмам. Больше информации о данном сканере размещено на сайте данного продукта. Обзор зарубежных сканеров уязвимостей F-Secure Radar Этот сканер уязвимостей является продуктом компании F-Secure, которая активно работает на рынке антивирусов. Radar — облачное решение, для полноценной работы которого необходима установка агентов.
На данный момент поддерживается совместимость с ОС семейств Windows и Linux. F-Secure Radar представляет собой не только сканер уязвимостей, но и платформу для управления уязвимостями и активами. Он обладает возможностями по обнаружению ИТ-активов, их инвентаризации и идентификации. Рисунок 8. Окно центра управления в F-Secure Radar Помимо этого Radar предлагает следующие возможности: Централизованное управление уязвимостями, оповещениями по безопасности и расследованием инцидентов. Обнаружение фактов незаконного использования товарного знака и попыток мошенничества под фирменным наименованием от третьих лиц. Предотвращение атак с помощью выявления неправильной настройки программного обеспечения в службах, операционных системах и сетевых устройствах. Инвентаризация приложений на узлах сети. Отслеживание всех изменений в ИТ-инфраструктуре.
Больше информации о данном сканере размещено на сайте разработчика. В том числе производится сканирование портов. Несколько готовых профилей позволяют проверить все порты или только те, которые обычно используются нежелательными и вредоносными программами. GFI LanGuard обеспечивает возможность сканировать несколько узлов одновременно, экономя тем самым время, и проводить анализ того, какое ПО какие порты использует. GFI LanGuard может также выполнять проверку наличия последних обновлений и патчей на узлах сети. Рисунок 9. Также можно добавлять собственные шаблоны в планировщик.
В связи с утверждением настоящего методического документа не применяются для оценки угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных ФСТЭК России, 2008 г.
Сергей Борисов
В первую очередь будет проведена аналитика по сравнению техник и тактик из методики ФСТЭК России (FST&CK) с техниками, тактиками и контрмерами из матрицы MITRE ATT&CK и контрмерами из NIST 800-53. У разработчика антивирусов приостановлена лицензия Федеральной службы по техническому и экспортному контролю (ФСТЭК) для одного из ключевых продуктов за «несоответствие требованиям безопасности информации». Главные новости об организации ФСТЭК России на В чисто прикладном смысле БДУ ФСТЭК содержит огромное количество различных возможных угроз. Раздел тестирования обновлений БДУ ФСТЭК России Сведения о результатах тестирований в описаниях уязвимостей. ИСПОЛЬЗОВАНИЕМ БДУ ФСТЭК'. В 2015 году ФСТЭК России совместно с заинтересованными органами власти и организациями сформировала банк данных угроз безопасности информации (БДУ).
ФСТЭК подтвердил безопасность российского ПО Tarantool
Выдержка из матрицы тактик и методик, представленной в документе: В общем и целом, предложенный подход значительно выделяется своими положительными сторонами, особенно на фоне порядка, представленного в действующей методике. Среди «плюсов», как минимум, можно выделить следующие: отказ от неудобных в использовании и далеко не всегда корректных параметров исходной защищенности информационной системы и вероятности реализации угрозы, используемых в методике 2008 года; зависимость актуальности угроз безопасности от действительно значимых для информационной безопасности параметров, таких как потенциальный ущерб от реализации угрозы и сценарии ее реализации; большой акцент на мероприятиях, позволяющих корректно и точно определить, от чего необходимо защищаться — оценка рисков, проведение тестирования на проникновение, использование источников о тактиках и техниках реализации угроз; предусмотрены различные варианты выполнения мероприятий при определении актуальности угроз, например, определение потенциальных последствий от реализации угрозы тремя разными способами; предоставление исходных данных и примеров выполнения для каждого из мероприятий, выполняемых для определения актуальности угроз. Таким образом, мероприятия по определению актуальности угроз безопасности являются целостным и структурированным процессом, способным учитывать особенности функционирования различных типов информационных систем. Вместе с тем стоит отметить тот факт, что модернизация подхода к определению актуальности угроз сделал его значительно более трудоемким. От исполнителя или, вероятнее, группы исполнителей требуются глубокие знания как об инфраструктуре системы, так и различных областях ИБ, начиная от законодательных норм, заканчивая пониманием и, желательно, наличием практических навыков по реализации различных типов атак. Определение угроз безопасности для инфраструктуры, размещаемой на внешних хостингах Особое внимание уделяется вопросу разделения ответственности при моделировании угроз для информационных систем, размещаемых во внешних ЦОД и облачных сервисах.
Определение актуальных угроз безопасности в рассматриваемой ситуации должно осуществляться владельцем информации совместно с используемым хостингом. В общем случае хостинг определяет актуальные угрозы безопасности для предоставляемой им инфраструктуры и доводит эти сведения до своего клиента — обладателя информации оператора. Например, границы моделирования угроз безопасности при аренде виртуальной инфраструктуры выглядят следующим образом: В случае, если владелец хостинга не выполняет моделирование угроз, Методика не рекомендует использование его услуг. С учетом того, что такая рекомендательная мера далеко не всегда будет соблюдаться, остается открытым вопрос о том, как быть владельцу информации, если он решится на использование услуг такого хостинга. Поддержание модели угроз в актуальном состояние Результаты моделирования угроз оформляются в виде документа по форме, представленной в приложении к Методике, и утверждается руководителем обладателя информации оператора.
Стоит отметить, что предлагаемая к использованию форма документа имеет достаточно стандартную структуру, повторяющую основные разделы Методики, при этом в ней отсутствует раздел с указанием выводов или какой-либо иной информации, объясняющей, что же с этими угрозами делать дальше. Такой подход, к сожалению, создает впечатление неоконченного документа, описывающего мероприятие, вырванное из общего контекста. Но перейдем к дальнейшим этапам жизненного цикла модели угроз. Подразумевается, что в течение всего периода эксплуатации информационной системы, модель угроз должна актуализироваться с учетом изменения требований законодательства, изменения архитектуры и условий функционирования системы, выявления новых угроз безопасности информации. С учетом того, что внесение изменений в БДУ событие относительно частое от 1 до 3 раз в год, в соответствии с представленной в базе информацией , возвращаться к вопросу актуализации модели угроз придется регулярно.
Вместе с тем стоит отметить, что поддерживать в актуальном состоянии модель угроз можно и в виде электронного документа. Необходимо ли в этом случае утверждать такой документ у руководителя и если да, то каким именно образом — пока неясно. Удалась ли новая Методика? Опубликованный проект документа демонстрирует, что в вопросах обеспечения безопасности информационных систем регулятор старается идти в ногу со временем и вместе с тем учитывать пожелания владельцев таких систем.
На этапе определения методов и приоритетов устранения уязвимостей определяется приоритетность устранения уязвимостей и выбираются методы их устранения: обновление программного обеспечения и или применение компенсирующих мер защиты информации. На этапе устранения уязвимостей принимаются меры, направленные на устранение или исключение возможности использования эксплуатации выявленных уязвимостей. На этапе контроля устранения уязвимостей осуществляется сбор и обработка данных о процессе управления уязвимостями и его результатах, а также принятие решений по улучшению данного процесса. Процесс управления уязвимостями организуется для всех информационных систем органа организации и должен предусматривать постоянную и непрерывную актуализацию сведений об уязвимостях и объектах информационной системы. При изменении статуса уязвимостей применимость к информационным системам, наличие исправлений, критичность должны корректироваться способы их устранения.
Схема процесса управления уязвимостями представлена на рисунке 2. Участниками процесса управления уязвимостями являются: а подразделение, осуществляющие функции по обеспечению информационной безопасности далее - подразделение по защите : руководитель; специалист, ответственный за проведение оценки угроз безопасности информации далее - аналитик угроз ; специалист, ответственный за проведение оценки защищенности; специалист, ответственный за внедрение мер защиты информации; б подразделение, ответственное за внедрение информационных технологий далее - подразделение ИТ : руководитель; специалист. По решению руководителя органа организации в процессе управления уязвимостями могут быть задействованы другие подразделения и специалисты, в частности, подразделение, ответственное за организацию закупок программных и программно-аппаратных средств, подразделение, ответственное за эксплуатацию инженерных систем.
В комплексе предустановлены словари, содержащие самые распространенные пароли имена, числовые, клавиатурные последовательности и т. Подбор эксплойтов — поиск подходящих эксплойтов на основе собранной информации об узле.
Перехват и анализ сетевого трафика — перехват и анализ трафика, фильтрация содержимого передаваемых данных, а также реализация атак типа MITM Man In The Middle, «Человек посередине». Аудит беспроводных сетей — обнаружение, сканирование и проведение активных и пассивных атак методом подбора паролей в беспроводных сетях с WEP, WPA и WPA-2 шифрованием.
Общие положения 1. Настоящее руководство по управлению уязвимостями в органе организации далее - Руководство разработано в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утверждённого Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. Руководство определяет состав и содержание работ по анализу и устранению уязвимостей далее - управление уязвимостями , выявленных в программных, программно-аппаратных средствах информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления, информационно-телекоммуникационных инфраструктурах центров обработки данных, на базе которых функционируют эти системы и сети далее - информационные системы. Настоящее Руководство подлежит применению государственными органами, организациями, в том числе субъектами критической информационной инфраструктуры Российской Федерации, являющимися операторами информационных автоматизированных систем далее - органы организации при принятии ими мер по устранению уязвимостей программных, программно-аппаратных средств информационных систем в соответствии с требованиями о защите информации, содержащейся в государственных информационных системах, требованиями по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, а также иными нормативными правовыми актами и методическими документами ФСТЭК России. Задачами Руководства являются создание основы для разработки детальных регламентов и стандартов по управлению уязвимостями с учетом особенностей функционирования органов организаций и организация взаимодействия между структурными подразделениями органов организаций по вопросам устранения уязвимостей.
Управление уязвимостями сертифицированных программных, программно-аппаратных средств защиты информации обеспечивается с учетом эксплуатационной документации на них, а также рекомендаций разработчиков. Уязвимости информационных систем.
Множественные уязвимости systemd (CVE-2022-3821, CVE-2023-7008, CVE-2023-26604, CVE-2022-4415)
Сертификат действителен до 03. Приказ Минкомсвязи России от 18. Упаковка и внешний вид.
Вместе с тем, единственным действующим на сегодняшний день документом в области моделирования угроз безопасности является «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» , выпущенная в далеком 2008 году. Помимо преклонного возраста, данный документ может похвастаться рядом моментов, свидетельствующих о том, что он, к сожалению, давно потерял свою актуальность и продолжает использоваться только по причине отсутствия какой-либо замены. Жесткая привязка к персональным данным, использование показателя исходной защищенности системы, в качестве фактора, влияющего на определение актуальности угроз, отсутствие какого-либо разделения ответственности в вопросах моделирования угроз безопасности при использовании внешних хостингов — лишь часть огрехов, которые продолжают обсуждаться ИБ-сообществом. В такой ситуации обладателям информации операторам приходится импровизировать, самостоятельно «дорабатывая» документ для собственных нужд. Такой подход, во-первых, не является абсолютно легальным в своих приказах ФСТЭК настаивает на использование разработанных ими методических документов для определения угроз безопасности , а во-вторых, представляет весьма нетривиальную задачу, особенно при отсутствии соответствующего опыта у исполнителя. В связи с этим, новая Методика должна стать если и не панацеей, то инструментом, значительно упрощающим процесс моделирования угроз информационной безопасности. Ключевые особенности новой методики Область применения Методики Первой и одной из наиболее важных отличительных черт новой Методики является область ее применения, которая теперь не ограничивается лишь ИСПДн.
Документ должен использоваться для определения угроз безопасности информации при ее обработке с использованием любых объектов, требования по защите к которым утверждены ФСТЭК. Какой-либо порядок разработки и согласования «дочерних» методик не предусмотрен, единственное требование — они не должны противоречить положениям Методики. Такой подход выглядит вполне логичным, если бы не одно «но». Дело в том, что разнообразие «базовых и типовых моделей угроз» на сегодняшний день оставляет желать лучшего — в свободном доступе опубликован лишь один документ, попадающий под это описание, да и тот представляет собой выписку и нацелен на все те же ИСПДн. Означает ли это, что в ближайшее время после утверждения Методики стоит ожидать пополнение в рядах базовых и типовых моделей угроз? Вопрос остается открытым. Порядок моделирования угроз безопасности Обновленный порядок включает в себя пять этапов, выполняемых в определенной последовательности. Общая схема процесса, представленная в Методике, выглядит следующим образом: За определение актуальности угрозы безопасности информации отвечают этапы с первого по четвертый. В соответствии с Методикой, угроза безопасности будет являться актуальной при наличии хотя бы одного сценария ее реализации и если ее реализация приведет к каким-либо негативным последствиям для обладателя информации оператора или государства. Цель пятого этапа — определить опасность каждой из актуальных угроз.
По сути, данная характеристика носит исключительно информационный характер и не оказывает прямого влияния ни на итоговый документ, формируемый по результатам моделирования, ни на возможные варианты нейтрализации угрозы. Можно предположить, что данный параметр должен использоваться для определения очередности закрытия угрозы, однако малое число возможных значений показателя — «низкий», «средний», «высокий» — не позволяют сделать это с достаточной степенью детализации. Более того, любая из дошедших до данного шага угроз должна быть так или иначе закрыта, поэтому забыть про «неопасную» угрозу попросту не получится.
ФСТЭК кии. Категории кии.
ФСТЭК информационная безопасность. МСЭ В информационной безопасности это. Федеральная служба по техническому и экспортному контролю РФ. Уязвимости банка. Банки данных угроз и уязвимостей.
Федеральная служба технического и экспортного контроля. Модель угроз безопасности информации 2021 пример. ФСТЭК 2021. ФСТЭК герб. ФСТЭК герб на прозрачном фоне.
Федеральная служба России по валютному и экспортному контролю. ФСТЭК эмблема без фона. Федеральная служба по техническому и экспортному контролю логотип.
Нормативно не встречал, но в различных объяснениях довольно частно. Как правило, для связи источника угрозы и существа самой угрозы. И приведенное вами описание яркий тому пример. Если под "семантикой" понимается "смысловое значение понятий и определений", то зачем их противопоставлять друг другу?
Разве через понятия и определения не раскрывается их смысловое значение? В этом и есть их суть. Когда нет понятий и определений, то откуда взяться их смысловому значению и говорить о какой-то их "строгости"? Если ту же УБИ. Это к вопросу толкований и толкователей, ага... Под "семантикой" следует понимать смысловую нагрузку сообщения в целом, потому что конкретное слово вне контекста зачастую может быть воспринято некорректно как, собственно, и происходит у любителей докопаться до терминологии... Что же до моего вИдения, так, блин, все, что пишу на форуме, находится под знаком "imho".
Или меня внезапно причислили к рупорам регулятора? Спасибо, конечно, но после "Догмы" образ Метатрона вообще не импонирует... С одной стороны, "Угроза"!
Обновления базы уязвимостей “Сканер-ВС”
Однако в этом случае использование информации может быть затруднено в силу отсутствия в Exploit Database интерфейса для получения обновлений базы, возможностей для скачивания рхива всех записей и, в некоторых случаях, соглашениями об использовании предоставляемых материалов. Агрегаторы информации об уязвимостях Разнообразие различных реестров и баз данных уязвимостей их общее число в несколько раз больше, чем было рассмотрено в статье вызывает у специалистов в области информационной безопасности в первую очередь, разработчиков средств защиты, специалистов по тестированию на проникновение и исследователей, ищущих и изучающих новые уязвимости ПО естественное желание использовать различного рода агрегаторы информации, которые бы обеспечивали автоматизированный сбор доступной информации об уязвимостях и дополнительные функции поиска и фильтрации интересующей информации. Подобного рода агрегаторы информации об уязвимостях существуют и представлены различного рода сервисами, начиная от специализированного агрегатора CVE-релевантной информации и до агрегатора с интерфейсом полноценной поисковой машины, адаптированной под предметную область. Фактическим функционалом данного сервиса является автоматизация поиска всей доступной информации по CVE-идентификатору с дополнительными функциями поиска по вендорам, типам уязвимостей, оценке критичности по метрикам CVSS и т. Также реализованы сбор и хранение различного рода статистики по уязвимостям, например, распределение уязвимостей по степени критичности согласно метрике CVSS , распределение уязвимостей по вендорам ПО и др. Что касается интерфейса, то CVEDetails в целом ориентирован на компактное и удобное для восприятия человеком табличное представление данных, а для автоматизированных систем поддерживает формирование RSS-подписки в формате JSON для получения обновленных данных об уязвимостях выбранных категорий, например, для всех новых уязвимостей класса SQL-инъекций или XSS. Интересным примером другого подхода является Vulners — разработанный российскими специалистами и весьма популярный среди экспертов в области информационной безопасности сервис с собственной базой данных, предназначенный для поиска информации по самым разным материалам в области информационной безопасности включая публикации на тематических ресурсах, бюллетени вендоров, информацию о мероприятиях Bug Hunting и специалистах, непосредственно обнаруживших уязвимости и др.
Фактически Vulners представляет собой поисковый движок с собственной базой данных, адаптированный под предметную область. Таким образом он покрывает гораздо более широкое множество сущностей, чем простые агрегаторы уязвимостей. В настоящее время база данных Vulners агрегировала в себя порядка 870 тысяч записей об уязвимостях и примерно 170 тысяч записей об известных эксплойтах. По данному массиву информации возможны поиск по ключевым словам и фильтрация результатов как по источнику информации организации, опубликовавшей запись об уязвимости , так и по дате публикации записи, CVSS-оценке критичности уязвимости и другим подобным параметрам. Следует отметить, что Vulners не предоставляет некой единой сводки информации по конкретной уязвимости с заданным CVE-идентификатором или иным внутренним идентификатором одного из альтернативных реестров , а возвращает множество записей, релевантных поисковому запросу в стиле классического поискового движка. При этом наличие фильтрации результатов по организации-источнику информации например, type:cvelist позволяет производить выборку записей только из указанной базы данных.
Все результаты поисковой выдачи из базы данных Vulners могут быть получены не только в удобном для человека, но и в машиночитаемом виде в формате JSON через соответствующий API поискового запроса. Заключение Базы данных и реестры уязвимостей полезны широкому кругу специалистов в области информационной безопасности. Сетевые администраторы или сотрудники, ответственные за безопасность компьютерных систем организации, могут своевременно узнать из баз и реестров о появлении новых угроз для защищаемых ими систем, определить приоритетные меры реагирования на эти угрозы исходя из оценки критичности и распространенности в организации уязвимого ПО. При этом для специалистов важны оперативность обновления баз данных уязвимостей, удобство получения этих обновлений и степень покрытия выбранным реестром уязвимостей как основных видов ПО защищаемой компьютерной системы, так и всего множества обнаруживаемых для этого ПО уязвимостей. Также значимыми характеристиками будут наличие рекомендаций по устранению уязвимостей и возможность определения потенциальных векторов атак на защищаемые компьютерные системы. Специалистам в области информационной безопасности, сетевым администраторам и производителям ПО как системного и прикладного ПО, так и программных продуктов защиты информации , работающим в интересах российских организаций и компаний Российской Федерации с государственным участием, рекомендуется периодический мониторинг реестра уязвимостей БДУ ФСТЭК России, как содержащего наиболее релевантную информацию по актуальным уязвимостям для компьютерных систем и программного обеспечения, применяемого именно в российских организациях.
Мониторинг реестра уязвимостей БДУ ФСТЭК России, с учетом его ориентированности на популярное и типичное именно для российских организаций ПО, а также регулярное обновление реестра и удобный интерфейс для поиска и выборки данных позволит разработчикам ПО, системным администраторам организаций и операторам средств защиты оставаться в курсе наиболее важных и критичных новостей в области информационной безопасности своей организации. Дополнительным способом поддержания ситуационной осведомленности для данных специалистов является использование поисковых сервисов и агрегаторов информации об уязвимостях, подобных Vulners. Коммерческие реестры уязвимостей такие как VulnDB, Secunia Advisory and Vulnerability Database и их иные аналоги в сочетании с поставляемыми вместе с ними проприетарными средствами мониторинга событий безопасности могли бы оказаться полезными крупным компаниям и организациям, бюджет которых позволяет приобретение подобных дорогостоящих решений. Однако для большинства малых и средних организаций стоимость подобных средств может быть неоправданно высока, из-за чего их специалистам по информационной безопасности придется пользоваться информацией из общедоступных источников, таких как CVE List, NVD, Vulnerability Notes Database и их аналогов. Публичные источники информации об уязвимостях, с другой стороны, либо не могут похвастать оперативностью информирования об обнаруженных уязвимостях типичный пример, Vulnerability Notes Database , либо зачастую не предоставляют развернутой информации о векторах возможных атак на уязвимое ПО и детальных рекомендаций по устранению уязвимостей. А это снижает практическую полезность данных источников информации для оперативного реагирования на новые угрозы.
Специалисты, занятые аудитом защищенности компьютерных систем, благодаря мониторингу баз данных уязвимостей, получают возможность проверить наличие актуальных уязвимостей в тестируемой ими сети или убедиться в их отсутствии, руководствуясь структурированным списком известных уязвимостей и составом ПО в тестируемой сети. Как правило специалисты такого рода менее заинтересованы в оперативности обновления выбранного реестра уязвимостей, зато для них критичны охват и качество покрытия выбранной базой данных состава ПО тестируемой сети и всего множества потенциальных уязвимостей. А при тестировании на проникновение дополнительную пользу могут принести реестры известных Proof of Concept сценариев эксплуатации уязвимостей и готовых эксплойтов.
Данный раздел поможет в обеспечении безопасности патч-менеджмента, который является частью процесса управления уязвимостями vulnerability management.
Запущенный ресурс поможет упростить процессы патч-менеджмента в любой компании, а патч-менеджмент непосредственно связан с процессом vulnerability management. Это позволит уменьшить трудозатраты специалистов и снизить число случаев, когда имеющееся в компании иностранное ПО перестает работать.
Служба отвечает за противодействие иностранным техническим разведкам на территории страны, безопасность критической информационной инфраструктуры России, защиту государственной тайны, а также за проведение экспортного контроля в частности, товаров двойного назначения. В гражданской жизни со службой чаще всего сталкиваются компании, которые разрабатывают электронные средства защиты антивирусы, межсерверные экраны или хранят и обрабатывают персональные данные сотрудников и клиентов.
В первом случае ФСТЭК проверяет, насколько та или иная программа соответствует требованиям закона о персональных данных, и выдает соответствующий сертификат.
Фокус деловой программы и экспозиции Форума — на интересах крупнейших заказчиков, их проектных офисов, интеграторов, разработчиков и поставщиков, на обсуждении задач и проектов внедрения в трех основных направлениях: цифровых технологий, технологий безопасности и защиты информации в целях построения прозрачного и предметного сотрудничества. Специальные условия раннего бронирования!
Множественные уязвимости systemd (CVE-2022-3821, CVE-2023-7008, CVE-2023-26604, CVE-2022-4415)
Для этого необходимо использовать банк данных угроз безопасности информации ФСТЭК России. Еженедельно обновляемая база уязвимостей, совместимая с банком данных угроз безопасности информации (БДУ) ФСТЭК России. В 2015 году ФСТЭК России совместно с заинтересованными органами власти и организациями сформировала банк данных угроз безопасности информации (БДУ). У разработчика антивирусов приостановлена лицензия Федеральной службы по техническому и экспортному контролю (ФСТЭК) для одного из ключевых продуктов за «несоответствие требованиям безопасности информации». Приказ Федеральной службы по техническому и экспортному контролю от 20.06.2023 № 119 "О признании утратившим силу приказа ФСТЭК России от 24 августа 2012 г. № 100". ФСТЭК России Олег Василенко Россия.