Автоматическая актуализация при изменении законодательства, реестров сертифицированных СЗИ ФСБ России и ФСТЭК России, появлении новых угроз и уязвимостей в БДУ ФСТЭК России Поддержка версионности документов. В нем выложены протестированные ФСТЭК 122 обновления зарубежных продуктов, широко используемых в российских компаниях и госучреждениях. У разработчика антивирусов приостановлена лицензия Федеральной службы по техническому и экспортному контролю (ФСТЭК) для одного из ключевых продуктов за «несоответствие требованиям безопасности информации». ФСТЭК России подтвердила соответствие технологической операционной системы TOPAZ Linux требованиям к средствам технической защиты информации для систем АСУ ТП и объектов. Иконка канала Россия 1.
Общий обзор реестров и классификаций уязвимостей (CVE, OSVDB, NVD, Secunia)
БДУ) ФСТЭК России. Осуществляется поддержка уязвимостей из банка данных угроз безопасности информации (БДУ) ФСТЭК России. В 2015 году ФСТЭК России совместно с заинтересованными органами власти и организациями сформировала банк данных угроз безопасности информации (БДУ).
Обновления базы уязвимостей “Сканер-ВС”
г) включения в банк данных угроз безопасности информации ФСТЭК России () сведений о новых угрозах безопасности информации, сценариях (тактиках, техниках) их реализации. О банке данных угроз безопасности информации ФСТЭК России регулярно пишут разные авторы. Итоги совместной работы с БДУ БИ ФСТЭК России за последние 3 года.
11–13 февраля 2025
Традиционно ФСТЭК России организовал конференцию «Актуальные вопросы защиты информации», а «Конфидент» выступил Генеральным партнером. В чисто прикладном смысле БДУ ФСТЭК содержит огромное количество различных возможных угроз. В течение 2015 года ФСТЭК России планирует осуществлять мониторинг и анализ функционирования банка данных угроз безопасности.
Мы выявили пять уязвимостей в Websoft HCM
Разберем новый методический документ «Руководство по организации процесса управления уязвимостями в органе (организации)» от ФСТЭК0:06 область применения0:41. Осуществляется поддержка уязвимостей из банка данных угроз безопасности информации (БДУ) ФСТЭК России. г) включения в банк данных угроз безопасности информации ФСТЭК России () сведений о новых угрозах безопасности информации, сценариях (тактиках, техниках) их реализации. Главная страница:: Новости:: Центр безопасности информации представил доклад на XIV конференции "Актуальные вопросы защиты информации", проводимой ФСТЭК России в рамках. Заместитель руководителя ФСТЭК России Виталий Лютиков заявил о подготовке новых требований по защите информации, содержащейся в государственных системах.
Банк угроз ФСТЭК: использовать нельзя игнорировать
Стоит отметить, что при наличии связи информационной системы с Интернетом, внешний нарушитель как минимум с низким потенциалом всегда рассматривается в качестве актуального источника угроз. Также необходимо обратить внимание, что согласно новой Методике, нарушитель может обладать одним из четырех уровней потенциала базовый, базовый повышенный, средний и высокий , в то время как БДУ, при описании источника угроз, использует лишь 3 уровня низкий, средний, базовый. Как правильно в этом случае обеспечить корреляцию — вопрос, который также остается без ответа. На заключительном этапе осуществляется анализ возможных тактик и техник реализации угроз. Стоит отметить еще один момент, касающийся БДУ.
На сегодняшний день этот ресурс не содержит какой-либо структурированной информации о возможных способах реализации угроз, в связи с чем ссылка на него выглядит неуместной. Выдержка из матрицы тактик и методик, представленной в документе: В общем и целом, предложенный подход значительно выделяется своими положительными сторонами, особенно на фоне порядка, представленного в действующей методике. Среди «плюсов», как минимум, можно выделить следующие: отказ от неудобных в использовании и далеко не всегда корректных параметров исходной защищенности информационной системы и вероятности реализации угрозы, используемых в методике 2008 года; зависимость актуальности угроз безопасности от действительно значимых для информационной безопасности параметров, таких как потенциальный ущерб от реализации угрозы и сценарии ее реализации; большой акцент на мероприятиях, позволяющих корректно и точно определить, от чего необходимо защищаться — оценка рисков, проведение тестирования на проникновение, использование источников о тактиках и техниках реализации угроз; предусмотрены различные варианты выполнения мероприятий при определении актуальности угроз, например, определение потенциальных последствий от реализации угрозы тремя разными способами; предоставление исходных данных и примеров выполнения для каждого из мероприятий, выполняемых для определения актуальности угроз. Таким образом, мероприятия по определению актуальности угроз безопасности являются целостным и структурированным процессом, способным учитывать особенности функционирования различных типов информационных систем.
Вместе с тем стоит отметить тот факт, что модернизация подхода к определению актуальности угроз сделал его значительно более трудоемким. От исполнителя или, вероятнее, группы исполнителей требуются глубокие знания как об инфраструктуре системы, так и различных областях ИБ, начиная от законодательных норм, заканчивая пониманием и, желательно, наличием практических навыков по реализации различных типов атак. Определение угроз безопасности для инфраструктуры, размещаемой на внешних хостингах Особое внимание уделяется вопросу разделения ответственности при моделировании угроз для информационных систем, размещаемых во внешних ЦОД и облачных сервисах. Определение актуальных угроз безопасности в рассматриваемой ситуации должно осуществляться владельцем информации совместно с используемым хостингом.
В общем случае хостинг определяет актуальные угрозы безопасности для предоставляемой им инфраструктуры и доводит эти сведения до своего клиента — обладателя информации оператора. Например, границы моделирования угроз безопасности при аренде виртуальной инфраструктуры выглядят следующим образом: В случае, если владелец хостинга не выполняет моделирование угроз, Методика не рекомендует использование его услуг. С учетом того, что такая рекомендательная мера далеко не всегда будет соблюдаться, остается открытым вопрос о том, как быть владельцу информации, если он решится на использование услуг такого хостинга. Поддержание модели угроз в актуальном состояние Результаты моделирования угроз оформляются в виде документа по форме, представленной в приложении к Методике, и утверждается руководителем обладателя информации оператора.
Стоит отметить, что предлагаемая к использованию форма документа имеет достаточно стандартную структуру, повторяющую основные разделы Методики, при этом в ней отсутствует раздел с указанием выводов или какой-либо иной информации, объясняющей, что же с этими угрозами делать дальше. Такой подход, к сожалению, создает впечатление неоконченного документа, описывающего мероприятие, вырванное из общего контекста. Но перейдем к дальнейшим этапам жизненного цикла модели угроз.
Использование рекомендаций производителя:.
Нормативно не встречал, но в различных объяснениях довольно частно. Как правило, для связи источника угрозы и существа самой угрозы. И приведенное вами описание яркий тому пример. Если под "семантикой" понимается "смысловое значение понятий и определений", то зачем их противопоставлять друг другу? Разве через понятия и определения не раскрывается их смысловое значение? В этом и есть их суть. Когда нет понятий и определений, то откуда взяться их смысловому значению и говорить о какой-то их "строгости"? Если ту же УБИ. Это к вопросу толкований и толкователей, ага... Под "семантикой" следует понимать смысловую нагрузку сообщения в целом, потому что конкретное слово вне контекста зачастую может быть воспринято некорректно как, собственно, и происходит у любителей докопаться до терминологии... Что же до моего вИдения, так, блин, все, что пишу на форуме, находится под знаком "imho". Или меня внезапно причислили к рупорам регулятора? Спасибо, конечно, но после "Догмы" образ Метатрона вообще не импонирует... С одной стороны, "Угроза"!
Банк угроз ФСТЭК содержит, помимо названия и кода угрозы, её краткое описание, вероятные источники, объекты воздействия и, конечно, последствия, которые повлечёт за собой реализация угрозы. Банк угроз ФСТЭК: содержимое Банк данных не структурирован в нём нет иерархической структуры , тем не менее угрозы классифицированы по нарушителям, которые могут ими воспользоваться, а также последствиям, которые использование этих угроз может повлечь нарушение конфиденциальности, целостности или доступности информации. К примеру, мы можем воспользоваться поиском и найти угрозы целостности данных, которые исходят от внутренних нарушителей с высоким потенциалом к реализации угроз: Перейдя по названию, мы можем получить подробности конкретной угрозы: Конечно, список, содержащийся в банке, не исчерпывающий, но он постоянно дополняется и обновляется. В его создании принимают участие ряд крупных компаний в сфере информационной безопасности, а также множество частных исследователей, которые пользуются встроенной формой обратной связи на сайте. При относительной доступности передачи информации об угрозах, регламент, безусловно, предусматривает дополнительные исследования, которые гарантируют реальность всех перечисленных в банке угроз.
Банк данных угроз безопасности информации. Что такое банк угроз ФСТЭК?
| Блеск и нищета… БДУ | Поддержка БДУ ФСТЭК России и других сторонних баз уязвимостей. |
| Множественные уязвимости systemd (CVE-2022-3821, CVE-2023-7008, CVE-2023-26604, CVE-2022-4415) | Последние новости. «формирует перечень организаций, которые аккредитованы ФСТЭК России или имеют лицензии ФСТЭК России, осуществляют деятельность по обеспечению информационной безопасности. |
| Код Безопасности - лидер в области средств защиты информации | В 2015 году ФСТЭК России совместно с заинтересованными органами власти и организациями сформировала банк данных угроз безопасности информации (БДУ). |
| Общий обзор реестров и классификаций уязвимостей (CVE, OSVDB, NVD, Secunia) | Последние новости. «формирует перечень организаций, которые аккредитованы ФСТЭК России или имеют лицензии ФСТЭК России, осуществляют деятельность по обеспечению информационной безопасности. |
Новая методика оценки УБИ — Утверждено ФСТЭК России
В первом случае ФСТЭК проверяет, насколько та или иная программа соответствует требованиям закона о персональных данных, и выдает соответствующий сертификат. Этот документ подтверждает, что программу можно использовать в системах защиты персональных данных. Во втором случае — аттестует компанию, которая хранит персональные данные например, биометрические.
Определять степень опасности и вероятности каждому оператору предстоит самостоятельно, учитывая характеристики и особенности эксплуатации ИС; получать данные из БДУ можно бесплатно и неограниченное количество раз, а при её распространении нужно указывать источник полученной информации; дополнение списка осуществляется в соответствии с установленным регламентом, который предполагает проверку запроса об уязвимости. Нужно учитывать, что отправка сведений через раздел «Обратная связь», предполагает публикацию их в БДУ с целью изучения и проработки механизмов устранения уязвимостей ПО; если планируется применение информации из базы в коммерческих целях, например, в работе сканеров безопасности, то требуется получить разрешение от ФСТЭК. К однозначным плюсам электронной базы можно отнести: постоянное включение новых уязвимостей, что дает возможность максимально обезопасить информационные системы от несанкционированного доступа; беспроблемный и бесплатный доступ; принятие заявок на пополнение Банка от разных категорий пользователей; упрощение процесса проработки актуальных угроз; наличие детальных сведений о потенциале нарушителя и прописанные характеристики, которые нарушаются при возникновении каждой УБ; наличие фильтров поиска — можно быстро найти угрозы по нескольким параметрам: наименованию слову или словосочетанию , источнику, последствиям реализации нарушению конфиденциальности, доступности, целостности ; возможность скачивания информации; детализация УБ — перейдя в паспорт угрозы, можно увидеть уникальный идентификатор, объекты воздействия, источники и т.
К недостаткам можно отнести отсутствие опции группировки УБ с учетом структурно-функциональных параметров конкретной ИС и, как следствие, необходимость тратить массу времени на отсеивание «лишних» угроз из более чем двухсот, указанных в базе. Еще один минус заключается в сложности используемых формулировок. То есть с одной стороны, есть детально указанные отличительные особенности УБ, но понять, о чем, идет речь, бывает сложно даже профессионалу.
В гражданской жизни со службой чаще всего сталкиваются компании, которые разрабатывают электронные средства защиты антивирусы, межсерверные экраны или хранят и обрабатывают персональные данные сотрудников и клиентов. В первом случае ФСТЭК проверяет, насколько та или иная программа соответствует требованиям закона о персональных данных, и выдает соответствующий сертификат. Этот документ подтверждает, что программу можно использовать в системах защиты персональных данных.
Задачами Руководства являются создание основы для разработки детальных регламентов и стандартов по управлению уязвимостями с учетом особенностей функционирования органов организаций и организация взаимодействия между структурными подразделениями органов организаций по вопросам устранения уязвимостей. Управление уязвимостями сертифицированных программных, программно-аппаратных средств защиты информации обеспечивается с учетом эксплуатационной документации на них, а также рекомендаций разработчиков.
Уязвимости информационных систем. Управление компьютерными инцидентами. Термины и определения" и иными национальными стандартами в области защиты информации и обеспечения информационной безопасности. В Руководстве используются обозначения на схемах, приведенные в приложении к настоящему документу. Процесс управления уязвимостями 2. Процесс управления уязвимостями включает пять основных этапов рисунок 2.
Назначение
- Сообщить об ошибке
- база данных уязвимостей фстэк россии | Дзен
- Сергей Борисов
- Банк угроз ФСТЭК: что внутри
- Банк угроз ФСТЭК: использовать нельзя игнорировать
- Множественные уязвимости systemd (CVE-2022-3821, CVE-2023-7008, CVE-2023-26604, CVE-2022-4415)
11–13 февраля 2025
| Банк данных угроз безопасности информации ФСТЭК России SECURITM | 6457 подписчиков. |
| Федеральная служба по техническому и экспортному контролю (ФСТЭК) | Основным источником информации об угрозах станет БДУ ФСТЭК, а также базовые и типовые модели угроз безопасности. |
| Телеграмм канал «БДУ ФСТЭК России». Поиск по Telegram каналам. Каталог телеграмм каналов. | ФСТЭК России организует деятельность государственной системы противодействия техническим разведкам и технической защиты информации и руководит ею. |
| Телеграмм канал «БДУ ФСТЭК России». Поиск по Telegram каналам. Каталог телеграмм каналов. | О банке данных угроз безопасности информации ФСТЭК России регулярно пишут разные авторы. |
| Новый раздел банка данных угроз: что важно знать | Идентификатор БДУ ФСТЭК России. Базовый вектор уязвимости CVSS 2.0. |