|
|
Модель угроз. Утверждена приказом ау
СПОСОБЫ РЕАЛИЗАЦИИ (ВОЗНИКНОВЕНИЯ) УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ
В ходе оценки угроз безопасности информации определяются возможные способы реализации (возникновения) угроз безопасности информации, за счет использования которых актуальными нарушителями могут быть реализованы угрозы безопасности информации в ИСПДне «Бухгалтерский и кадровый учет», – актуальные способы реализации (возникновения) угроз безопасности информации.
Процесс определения актуальных способов реализации (возникновения) угроз безопасности информации включал:
Составление перечня рассматриваемых (возможных) способов реализации угроз безопасности. Перечень возможных способов реализации угроз безопасности информации представлен в таблице 10.
Таблица 10 – Перечень возможных способов реализации угроз безопасности информации
Идентификатор
|
Способы реализации
|
СР.1
|
Использование уязвимостей (уязвимостей кода (программного
обеспечения), уязвимостей архитектуры и конфигурации систем и сетей, а также организационных и многофакторных уязвимостей)
|
СР.2
|
Внедрение вредоносного программного обеспечения
|
СР.3
|
Использование недекларированных возможностей программного
обеспечения и (или) программно-аппаратных средств
|
СР.4
|
Установка программных и (или) программно-аппаратных закладок в
программное обеспечение и (или) программно-аппаратные средства
|
СР.5
|
Формирование и использование скрытых каналов (по времени, по
памяти) для передачи конфиденциальных данных
|
СР.6
|
Перехват (измерение) побочных электромагнитных излучений и
наводок (других физических полей) для доступа к конфиденциальной информации, содержащейся в аппаратных средствах аутентификации
|
СР.7
|
Инвазивные способы доступа к конфиденциальной информации,
содержащейся в аппаратных средствах аутентификации
|
СР.8
|
Нарушение безопасности при поставках программных, программно- аппаратных средств и (или) услуг по установке, настройке, испытаниям, пусконаладочным работам (в том числе
администрированию, обслуживанию)
|
СР.9
|
Ошибочные действия в ходе создания и эксплуатации систем и сетей, в том числе при установке, настройке программных и программно-
аппаратных средств
|
СР.10
|
Перехват трафика сети передачи данных
|
СР.11
|
Несанкционированный физический доступ и (или) воздействие на
линии, (каналы) связи, технические средства, машинные носители информации
|
СР.12
|
Реализация атак типа "отказ в обслуживании" в отношении технических средств, программного обеспечения и каналов передачи
данных
|
Определение интерфейсов объектов воздействия, определенных в соответствии с разделом 5 настоящей Модели угроз. Интерфейсы объектов воздействия определялись на основе изучения и анализа данных:
об архитектуре, составе и условиях функционирования ИСПДна «Бухгалтерский и кадровый учет»;
о группах пользователей ИСПДна «Бухгалтерский и кадровый учет», их типов доступа и уровней полномочий.
Определение наличия у актуальных нарушителей возможности доступа к интерфейсам объектов воздействия.
Определение актуальных способов реализации (возникновения) угроз безопасности информации актуальным нарушителем через доступные ему интерфейсы объектов воздействия.
Результаты процесса определения актуальных способов реализации (возникновения) угроз безопасности информации, включающие описание способов реализации (возникновения) угроз безопасности информации, которые могут быть использованы актуальными нарушителями, и описание интерфейсов объектов воздействия, доступных для использования актуальным нарушителям, представлены в таблице 11.
Таблица 11 – Определение актуальных способов реализации угроз безопасности информации и соответствующие им виды нарушителей и их
возможности
Вид нарушителя
|
Категория
нарушителя
|
Объекты воздействия
|
Доступные интерфейсы
|
Способы реализации
(идентификатор)
|
Отдельные физические лица
|
Внешний
|
Сетевое оборудование
|
Каналы связи с внешними информационно-
|
СР.1; СР.12
|
(хакеры)
|
|
|
телекоммуникационными сетями
|
|
|
|
Сетевое программное обес-
|
Каналы связи с внешними информационно-
|
СР.1; СР.9; СР.12
|
|
|
печение
|
телекоммуникационными сетями
|
|
|
|
Сетевой трафик
|
Каналы связи с внешними информационно-
|
СР.1; СР.9; СР.10;
|
|
|
|
телекоммуникационными сетями
|
СР.12
|
|
|
Системное программное
|
Каналы связи с внешними информационно-
|
СР.1; СР.2
|
|
|
обеспечение
|
телекоммуникационными сетями
|
|
|
|
Виртуальная инфраструкту-
|
Каналы связи с внешними информационно-
|
СР.1; СР.10
|
|
|
ра (воздействие на гиперви-
|
телекоммуникационными сетями
|
|
|
|
зор, виртуальные машины,
|
|
|
|
|
образы виртуальных машин,
|
|
|
|
|
виртуальные устройства,
|
|
|
|
|
виртуальные диски и вирту-
|
|
|
|
|
альные устройства хранения
|
|
|
|
|
данных, систему управления
|
|
|
|
|
виртуальной инфраструкту-
|
|
|
|
|
рой)
|
|
|
|
|
Средство вычислительной
|
Каналы связи с внешними информационно-
|
СР.1; СР.2
|
|
|
техники
|
телекоммуникационными сетями
|
|
|
|
Средство защиты информа-
|
Каналы связи с внешними информационно-
|
СР.1; СР.9; СР.12
|
|
|
ции
|
телекоммуникационными сетями
|
|
|
|
Узел вычислительной сети
|
Каналы связи с внешними информационно-
|
СР.1; СР.2; СР.12
|
|
|
(автоматизированные ра-
|
телекоммуникационными сетями
|
|
|
|
бочие места, сервера, мар-
|
|
|
|
|
шрутизаторы, коммутаторы,
|
|
|
|
|
IoT-устройства и т.п.)
|
|
| |
|
|
Скачать 1.31 Mb.