Главная страница:: Новости:: Центр безопасности информации представил доклад на XIV конференции "Актуальные вопросы защиты информации", проводимой ФСТЭК России в рамках. Главная страница:: Новости:: Центр безопасности информации представил доклад на XIV конференции "Актуальные вопросы защиты информации", проводимой ФСТЭК России в. ФСТЭК России подтвердила соответствие технологической операционной системы TOPAZ Linux требованиям к средствам технической защиты информации для систем АСУ ТП и объектов.
Банк данных угроз безопасности информации
г) включения в банк данных угроз безопасности информации ФСТЭК России () сведений о новых угрозах безопасности информации, сценариях (тактиках, техниках) их реализации. Поддержка БДУ ФСТЭК России и других сторонних баз уязвимостей. Иконка канала Россия 1. Основные направления развития системы защиты информации на 2023 год от ФСТЭК России. Новости из мира информационной безопасности за октябрь 2023 год. Новые угрозы в БДУ ФСТЭК. О банке данных угроз безопасности информации ФСТЭК России регулярно пишут разные авторы. АИС «Налог-3» Информационная система ФНС России.
БДУ ФСТЭК создал раздел с результатами тестирования обновлений: комментарии Руслана Рахметова
| Новая методика оценки УБИ - Утверждено ФСТЭК России - НПП СВК | Итоги совместной работы с БДУ БИ ФСТЭК России за последние 3 года. |
| Множественные уязвимости systemd (CVE-2022-3821, CVE-2023-7008, CVE-2023-26604, CVE-2022-4415) | ФСТЭК России разрабатывает законопроект о введении обязательных требований по ИБ для подрядчиков, оказывающих услуги ИТ-разработки госсектору. |
| Защита документов | ФАУ «ГНИИИ ПТЗИ ФСТЭК России». |
| О банке данных угроз безопасности информации от 06 марта 2015 - | Расширение полномочий ФСТЭК россии. «формирует перечень организаций, которые аккредитованы ФСТЭК России или имеют лицензии ФСТЭК России, осуществляют деятельность по обеспечению информационной безопасности. |
Мы выявили пять уязвимостей в Websoft HCM
Банк угроз ФСТЭК содержит, помимо названия и кода угрозы, её краткое описание, вероятные источники, объекты воздействия и, конечно, последствия, которые повлечёт за собой реализация угрозы. Банк угроз ФСТЭК: содержимое Банк данных не структурирован в нём нет иерархической структуры , тем не менее угрозы классифицированы по нарушителям, которые могут ими воспользоваться, а также последствиям, которые использование этих угроз может повлечь нарушение конфиденциальности, целостности или доступности информации. К примеру, мы можем воспользоваться поиском и найти угрозы целостности данных, которые исходят от внутренних нарушителей с высоким потенциалом к реализации угроз: Перейдя по названию, мы можем получить подробности конкретной угрозы: Конечно, список, содержащийся в банке, не исчерпывающий, но он постоянно дополняется и обновляется. В его создании принимают участие ряд крупных компаний в сфере информационной безопасности, а также множество частных исследователей, которые пользуются встроенной формой обратной связи на сайте. При относительной доступности передачи информации об угрозах, регламент, безусловно, предусматривает дополнительные исследования, которые гарантируют реальность всех перечисленных в банке угроз.
В первом случае ФСТЭК проверяет, насколько та или иная программа соответствует требованиям закона о персональных данных, и выдает соответствующий сертификат. Этот документ подтверждает, что программу можно использовать в системах защиты персональных данных. Во втором случае — аттестует компанию, которая хранит персональные данные например, биометрические.
Частенько идёт подмена понятий. Кстати, об определении. Как сказал классик, «прежде чем объединяться и для того, чтобы объединиться, мы должны сначала решительно и определённо размежеваться». В нашем случае объединяться — это составить банк угроз, а размежеваться — чётко определить те сущности, которые мы собираемся объединять. Попробуем «размежеваться». И главное здесь, конечно, — понятие угрозы. Глупо полагать, что обеспечением безопасности информации занимаются только для того, чтобы поддержать соответствующие службы и производителей средств защиты. Эгоизм правит миром, и поэтому любая деятельность по обеспечению безопасности информации направлена только на то, чтобы не допустить ущерба обладателю от нарушений полезных свойств информации. Поэтому примем за аксиому, что угроза — это некие негативные действия, угрожающие интересам субъекта обладателя информации. А отсюда следует, что угроза может быть только тогда, когда есть субъект, которому может быть причинён ущерб. Поэтому «угрозы информации» быть не может в силу того, что информация является объектом отношений, а не субъектом. Может быть только «угроза безопасности информации», то есть угроза состоянию защищённости информации. Действительно, даже если будут в силу каких-то обстоятельств нарушены полезные свойства информации конфиденциальность, целостность, доступность , это не причинит никакого вреда, если нет субъекта, заинтересованного в обеспечении сохранности этих полезных свойств. Любые негативные действия могут быть совершены только при наличии каких-нибудь слабых мест уязвимостей , ведь если, к примеру, кто-нибудь захочет проникнуть за кирпичную стену и будет биться в неё головой, то, скорее всего, у него ничего не получится, однако наличие в стене деревянной калитки уже значительно повышает шансы на успех его героических попыток. И уж, конечно, если есть какие-то негативные действия, то их кто-то или что-то должен совершать. И мы вроде бы пришли к классическому определению угрозы безопасности информации — совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации [3]. Это можно выразить формулой: Но такое представление угрозы всё-таки будет не совсем точным. Обратим внимание, что в определении «условия» и «факторы» даны во множественном числе. Поэтому правильнее будет так: Одна и та же угроза может быть реализована различными источниками угроз, различными способами и с использованием различных факторов. Совокупность условий и факторов, определяющих конкретную угрозу, будет определяться множеством всех возможных вариантов комбинаций реализации данной угрозы различными источниками с использованием различных методов и факторов. Давайте посмотрим это «на яблоках». Положим, у кого-то есть сейф, в котором лежит бриллиантовое колье, а Некто задумал это колье экспроприировать. В нашем случае в качестве Некто может быть: а тривиальный вор внешний нарушитель , б любимый сын внутренний нарушитель , в случайный сантехник посетитель. В этом случае угрозой можно считать кражу колье. Тогда источники — вор, сын, сантехник; уязвимости факторы — ошибки хранения, слабый сейф, тонкий металл; методы — вскрытие, взлом, резка. И всё это может быть в разных комбинациях. Получается, что угроза — одна, а реализаций — много. В существующем банке угроз, к сожалению, всё смешано в кучу: и угрозы и их реализации.
В отличии от анализа уязвимостей, в оценку соответствия по ОУД4 входит анализ всего перечня классов доверия и выполнения всех действий оценщика. В рамках анализа уязвимостей и оценки соответствия оценщики должны использовать ГОСТ 15408 в качестве справочного руководства при интерпретации изложения как функциональных требований, так и требований доверия. В ГОСТ 15408 предполагается, что проверку правильности документации и разработанного продукта ИТ будут проводить опытные оценщики, уделяя особое внимание области, глубине и строгости оценки. В содержании каждого из элементов доверия, в соответствии с ГОСТ 15408 отражены действия оценщика.
Банк угроз ФСТЭК: использовать нельзя игнорировать
Как работает Обнаружит узлы сети Определяет рабочие станции, серверы, сетевое оборудование. Просканирует как локальную сеть, так и внешний периметр. Для полноценной работы не требуются агенты на конечных станциях. Найдет уязвимости Выявит сетевые уязвимости с помощью, безопасных инвентаризационных и баннерных проверок, фаззинга. Подберет пароли Проверяет протоколы электронной почты и удаленного управления, служб передачи файлов и баз данных. Также проверит веб-приложения собственной разработки. Проинформирует об угрозах По каждой обнаруженной уязвимости XSpider предоставит подробное описание, инструкцию по исправлению, ссылки на общедоступные источники и выставит базовую и временную оценку по вектору CVSS v2 и v3.
Положим, у кого-то есть сейф, в котором лежит бриллиантовое колье, а Некто задумал это колье экспроприировать. В нашем случае в качестве Некто может быть: а тривиальный вор внешний нарушитель , б любимый сын внутренний нарушитель , в случайный сантехник посетитель. В этом случае угрозой можно считать кражу колье. Тогда источники — вор, сын, сантехник; уязвимости факторы — ошибки хранения, слабый сейф, тонкий металл; методы — вскрытие, взлом, резка.
И всё это может быть в разных комбинациях. Получается, что угроза — одна, а реализаций — много. В существующем банке угроз, к сожалению, всё смешано в кучу: и угрозы и их реализации. Описать угрозы — можно, это всегда конечный перечень. Описать все возможные реализации угроз — задача благородная, но практически не реализуемая в силу большого разнообразия сущностей, её составляющих. Ну а если ещё идёт смешение сущностей — получается «Бородино». Нужна какая-то система. И тут на сцену выходит дедушка Карл Николиус Линней со своей таксономией [4]. И чем так привлекателен для нас «отец систематики» Карл Линней? Наверное, самое важное — это то, что он нашёл тот самый критерий или признак, который, с одной стороны, является общим для всех систематизируемых сущностей, а с другой — индивидуален для каждой такой сущности.
Вернее, их количество — вот что объединяет и в тоже время разъединяет сущности, и это самое главное открытие Линнея в деле систематизации по признакам их сходств и различий. И в результате получилась иерархическая, чётко ранжированная структура, состоящая из отдельных групп — таксонов [5]: класс — отряд — семейство — род — вид — подвид — разновидность. В деле систематизации угроз безопасности — на опыте «отца систематики» — надо прежде всего найти такой критерий. На первый взгляд, ответ лежит на поверхности: таким критерием должно выступать полезное свойство информации, которое надо защищать конфиденциальность, целостность, доступность. Но не всё так просто. Я уже отмечал, что эти свойства в принципе весьма субъективны и зависят от заинтересованности субъекта в обеспечении сохранности этих полезных свойств. А брать за критерий систематизации заведомо субъективный критерий — обречь её на неудачу. Кроме того, нарушение таких свойств информации не всегда понятно бизнесу а именно он даёт деньги на обеспечение безопасности информации , он, бизнес, мыслит немного другими категориями, ему ближе рисковая модель. Действительно, если бизнесу сказать, что в результате компьютерной атаки будет реализована возможность несанкционированного доступа к базе данных АСУ управления движением поездов, он задаст вопрос: ну и что? А вот если бизнесу сказать, что в результате такой атаки 35 вагонов не будут поданы к погрузке, что приведёт к такому-то финансовому ущербу, то мозги у него повернутся в нужную сторону.
Если посмотреть недавно утверждённый новый вариант Методики оценки угроз безопасности информации, то можно увидеть, что одной из основных задач при оценке угроз безопасности информации является определение негативных последствий, которые могут наступить от реализации возникновения угроз безопасности информации. Вот это уже близко к риск-ориентированной модели! Это как раз и может стать критерием классификации угроз, вернее, первой ступенью в иерархии систематизации угроз. И за основу можно взять те угрозы, которые приведены в методике: ущерб физическому лицу; ущерб юридическому лицу, связанный с хозяйственной деятельностью; ущерб государству в области обороны страны и безопасности; ущерб в социальной, экономической, политической, экологической сферах.
Определение актуальных угроз безопасности в рассматриваемой ситуации должно осуществляться владельцем информации совместно с используемым хостингом. В общем случае хостинг определяет актуальные угрозы безопасности для предоставляемой им инфраструктуры и доводит эти сведения до своего клиента — обладателя информации оператора. Например, границы моделирования угроз безопасности при аренде виртуальной инфраструктуры выглядят следующим образом: В случае, если владелец хостинга не выполняет моделирование угроз, Методика не рекомендует использование его услуг.
С учетом того, что такая рекомендательная мера далеко не всегда будет соблюдаться, остается открытым вопрос о том, как быть владельцу информации, если он решится на использование услуг такого хостинга. Поддержание модели угроз в актуальном состояние Результаты моделирования угроз оформляются в виде документа по форме, представленной в приложении к Методике, и утверждается руководителем обладателя информации оператора. Стоит отметить, что предлагаемая к использованию форма документа имеет достаточно стандартную структуру, повторяющую основные разделы Методики, при этом в ней отсутствует раздел с указанием выводов или какой-либо иной информации, объясняющей, что же с этими угрозами делать дальше. Такой подход, к сожалению, создает впечатление неоконченного документа, описывающего мероприятие, вырванное из общего контекста. Но перейдем к дальнейшим этапам жизненного цикла модели угроз. Подразумевается, что в течение всего периода эксплуатации информационной системы, модель угроз должна актуализироваться с учетом изменения требований законодательства, изменения архитектуры и условий функционирования системы, выявления новых угроз безопасности информации. С учетом того, что внесение изменений в БДУ событие относительно частое от 1 до 3 раз в год, в соответствии с представленной в базе информацией , возвращаться к вопросу актуализации модели угроз придется регулярно.
Вместе с тем стоит отметить, что поддерживать в актуальном состоянии модель угроз можно и в виде электронного документа. Необходимо ли в этом случае утверждать такой документ у руководителя и если да, то каким именно образом — пока неясно. Удалась ли новая Методика? Опубликованный проект документа демонстрирует, что в вопросах обеспечения безопасности информационных систем регулятор старается идти в ногу со временем и вместе с тем учитывать пожелания владельцев таких систем. Из очевидных плюсов обновленной Методики стоит отметить: ее универсальность и, следовательно, возможность использования для различных типов информационных систем; структурированный и понятный подход к определению актуальности угроз безопасности; зависимость актуальности угроз от действительно важных факторов — наличия потенциальных негативных последствий от реализации угрозы и сценариев ее реализации. Вместе с тем, при прочтении Методики отчетливо ощущается, что это лишь проект, а не финальная версия методического документа: неоднократное упоминание БДУ в контексте функций, которая она в настоящий момент не реализует; ссылки на фактически отсутствующие для большинства типов информационных систем базовых и типовых моделей угроз; форма документа по результатам моделирования угроз, требующая доработки и иные мелкие недочеты. И что же дальше?
Новый вариант Методики значительно отличается от действующей в настоящее время. В случае утверждения этого документа а пока не видно ни одной действительно значимой причины, почему это может не произойти , перед владельцами информационных систем встанет вопрос о том, нужно ли им актуализировать имеющиеся модели угроз и если да, то как и в какой срок необходимо это осуществить. И если ответ на первый вопрос с большой долей вероятности будет утвердительным, то информацию по последующим в настоящий момент взять неоткуда.
Этот документ подтверждает, что программу можно использовать в системах защиты персональных данных. Во втором случае — аттестует компанию, которая хранит персональные данные например, биометрические. ФСТЭК также разрабатывает и согласовывает стандарты и правила в области информационной безопасности, проводит обучение и сертификацию специалистов в этой сфере.
Обновлённые реестры ФСТЭК
Сканер представлен в нескольких редакциях, включая вариант «Enterprise». Модульная компоновка позволяет масштабировать систему и использовать её в территориально распределённых сетях и ЦОД. Техническая поддержка оказывается до 23. Больше сведений о данном сканере можно найти на сайте RedCheck. Рисунок 4. Выявление уязвимостей производится следующим образом: состояние системных параметров сканируемого программного обеспечения системного и прикладного сравнивается с базой уязвимостей, представленной в виде описаний, которые разработаны в соответствии со спецификацией OVAL. Сканер позволяет выявлять одиночные и множественные бреши. XSpider Сканер защищённости XSpider компании Positive Technologies впервые появился на рынке ещё в 2002 году — причём в это же время была основана сама компания. XSpider предназначен для компаний с количеством узлов до 10 000.
Задачи по проверке парольной политики также решаются XSpider, при этом будет задействован брутфорс с использованием базы паролей, которые наиболее распространены или применяются по умолчанию. Рисунок 5. Более подробно об этом сканере можно узнать в посвящённом ему разделе сайта производителя. Также данный сканер осуществляет поиск брешей, содержащихся в международных базах cve. Кроме того, «Ревизор сети» может импортировать в состав своих отчётов результаты, полученные при использовании сетевого сканера Nmap в части определения типов операционных систем и выявления сетевых сервисов на открытых TCP- и UDP-портах. Основными особенностями «Ревизора сети» являются: проверки уязвимостей ОС семейств Windows и Linux, СУБД, средств виртуализации, общесистемного и прикладного ПО с использованием регулярно обновляемых баз данных; проверка наличия неустановленных обновлений ОС семейства Windows; проверки учётных записей для узлов сети, подбор паролей; определение открытых TCP- и UDP-портов на узлах проверяемой сети с верификацией сервисов, поиск уязвимостей; определение NetBIOS- и DNS-имён проверяемых узлов сети; проверки наличия и доступности общих сетевых ресурсов на узлах сети; сбор дополнительной информации об ОС семейства Windows. Рисунок 6. Окно для просмотра задач сканирования в «Ревизоре сети 3.
Сканер уязвимости «Ревизор сети» версии 3. С более подробной информацией о сканере можно ознакомиться на странице разработчика. Также данный сканер может проводить тесты на проникновение и осуществлять анализ конфигурации различных узлов. Рисунок 7. Главное меню системы «Сканер-ВС» Помимо этого можно отметить наличие следующих возможностей: Инвентаризация ресурсов сети. Сканирование на наличие уязвимостей как с учётной записью администратора, так и без неё. Сетевой и локальный анализ стойкости паролей. Поиск подходящих эксплойтов на основе собранной информации об узле.
Перехват и анализ сетевого трафика, а также реализация атак типа MitM Man in the Middle, «внедрённый посредник». Анализ беспроводных сетей. Создание отчёта с техническими рекомендациями по устранению обнаруженных уязвимостей. Также «Сканер-ВС» предлагает проведение контроля целостности — подсчёт контрольных сумм заданных папок и файлов по 13 алгоритмам. Больше информации о данном сканере размещено на сайте данного продукта. Обзор зарубежных сканеров уязвимостей F-Secure Radar Этот сканер уязвимостей является продуктом компании F-Secure, которая активно работает на рынке антивирусов. Radar — облачное решение, для полноценной работы которого необходима установка агентов. На данный момент поддерживается совместимость с ОС семейств Windows и Linux.
F-Secure Radar представляет собой не только сканер уязвимостей, но и платформу для управления уязвимостями и активами. Он обладает возможностями по обнаружению ИТ-активов, их инвентаризации и идентификации. Рисунок 8. Окно центра управления в F-Secure Radar Помимо этого Radar предлагает следующие возможности: Централизованное управление уязвимостями, оповещениями по безопасности и расследованием инцидентов. Обнаружение фактов незаконного использования товарного знака и попыток мошенничества под фирменным наименованием от третьих лиц. Предотвращение атак с помощью выявления неправильной настройки программного обеспечения в службах, операционных системах и сетевых устройствах. Инвентаризация приложений на узлах сети. Отслеживание всех изменений в ИТ-инфраструктуре.
Больше информации о данном сканере размещено на сайте разработчика. В том числе производится сканирование портов. Несколько готовых профилей позволяют проверить все порты или только те, которые обычно используются нежелательными и вредоносными программами. GFI LanGuard обеспечивает возможность сканировать несколько узлов одновременно, экономя тем самым время, и проводить анализ того, какое ПО какие порты использует. GFI LanGuard может также выполнять проверку наличия последних обновлений и патчей на узлах сети. Рисунок 9.
Рисунок 3. Схема работы сканера защищённости RedCheck Ещё одной ключевой особенностью сканера RedCheck является его работа с унифицированным SCAP-контентом обновления, уязвимости, конфигурации, политики безопасности , получаемым из собственного репозитория OVALdb. Это — один из крупнейших международных банков контента по безопасности, позволяющий формировать оценку защищённости информационных систем. Сканер представлен в нескольких редакциях, включая вариант «Enterprise». Модульная компоновка позволяет масштабировать систему и использовать её в территориально распределённых сетях и ЦОД. Техническая поддержка оказывается до 23. Больше сведений о данном сканере можно найти на сайте RedCheck. Рисунок 4. Выявление уязвимостей производится следующим образом: состояние системных параметров сканируемого программного обеспечения системного и прикладного сравнивается с базой уязвимостей, представленной в виде описаний, которые разработаны в соответствии со спецификацией OVAL. Сканер позволяет выявлять одиночные и множественные бреши. XSpider Сканер защищённости XSpider компании Positive Technologies впервые появился на рынке ещё в 2002 году — причём в это же время была основана сама компания. XSpider предназначен для компаний с количеством узлов до 10 000. Задачи по проверке парольной политики также решаются XSpider, при этом будет задействован брутфорс с использованием базы паролей, которые наиболее распространены или применяются по умолчанию. Рисунок 5. Более подробно об этом сканере можно узнать в посвящённом ему разделе сайта производителя. Также данный сканер осуществляет поиск брешей, содержащихся в международных базах cve. Кроме того, «Ревизор сети» может импортировать в состав своих отчётов результаты, полученные при использовании сетевого сканера Nmap в части определения типов операционных систем и выявления сетевых сервисов на открытых TCP- и UDP-портах. Основными особенностями «Ревизора сети» являются: проверки уязвимостей ОС семейств Windows и Linux, СУБД, средств виртуализации, общесистемного и прикладного ПО с использованием регулярно обновляемых баз данных; проверка наличия неустановленных обновлений ОС семейства Windows; проверки учётных записей для узлов сети, подбор паролей; определение открытых TCP- и UDP-портов на узлах проверяемой сети с верификацией сервисов, поиск уязвимостей; определение NetBIOS- и DNS-имён проверяемых узлов сети; проверки наличия и доступности общих сетевых ресурсов на узлах сети; сбор дополнительной информации об ОС семейства Windows. Рисунок 6. Окно для просмотра задач сканирования в «Ревизоре сети 3. Сканер уязвимости «Ревизор сети» версии 3. С более подробной информацией о сканере можно ознакомиться на странице разработчика. Также данный сканер может проводить тесты на проникновение и осуществлять анализ конфигурации различных узлов. Рисунок 7. Главное меню системы «Сканер-ВС» Помимо этого можно отметить наличие следующих возможностей: Инвентаризация ресурсов сети. Сканирование на наличие уязвимостей как с учётной записью администратора, так и без неё. Сетевой и локальный анализ стойкости паролей. Поиск подходящих эксплойтов на основе собранной информации об узле. Перехват и анализ сетевого трафика, а также реализация атак типа MitM Man in the Middle, «внедрённый посредник». Анализ беспроводных сетей. Создание отчёта с техническими рекомендациями по устранению обнаруженных уязвимостей. Также «Сканер-ВС» предлагает проведение контроля целостности — подсчёт контрольных сумм заданных папок и файлов по 13 алгоритмам. Больше информации о данном сканере размещено на сайте данного продукта. Обзор зарубежных сканеров уязвимостей F-Secure Radar Этот сканер уязвимостей является продуктом компании F-Secure, которая активно работает на рынке антивирусов. Radar — облачное решение, для полноценной работы которого необходима установка агентов. На данный момент поддерживается совместимость с ОС семейств Windows и Linux. F-Secure Radar представляет собой не только сканер уязвимостей, но и платформу для управления уязвимостями и активами. Он обладает возможностями по обнаружению ИТ-активов, их инвентаризации и идентификации. Рисунок 8. Окно центра управления в F-Secure Radar Помимо этого Radar предлагает следующие возможности: Централизованное управление уязвимостями, оповещениями по безопасности и расследованием инцидентов. Обнаружение фактов незаконного использования товарного знака и попыток мошенничества под фирменным наименованием от третьих лиц. Предотвращение атак с помощью выявления неправильной настройки программного обеспечения в службах, операционных системах и сетевых устройствах. Инвентаризация приложений на узлах сети. Отслеживание всех изменений в ИТ-инфраструктуре. Больше информации о данном сканере размещено на сайте разработчика. В том числе производится сканирование портов. Несколько готовых профилей позволяют проверить все порты или только те, которые обычно используются нежелательными и вредоносными программами.
Такой же формализованный взгляд присутствует и у некоторых ИБ-специалистов. Дмитрий Ковалев Руководитель департамента информационной безопасности компании «Сиссофт» Я не стал бы называть базу данных угроз ФСТЭК «юридическим» инструментом для определения уровня ИБ конкретных компаний. Предпосылкой для ее появления была, в большей степени, идея создать практический инструмент от регулятора — собрать единую базу знаний для информирования о фундаментальных угрозах и мерах по защите от них. При этом, не стоит ограничиваться только лишь использованием данной базы и относиться к ней как к единственному рабочему инструменту и источнику знаний. Ее стоит использовать как вспомогательный и инструмент к базам знаний о уязвимостях от профильных вендоров по ИБ. В рамках этой статьи мы оставим за скобками все «государственные атрибуты» этой базы и рассмотрим ее так, будто бы она была продуктом команды энтузиастов. На данных момент в базе их более двухсот. Уязвимостей информационных систем CVE. Более сорока тысяч в банке. В настоящий момент идет тестовая эксплуатация нового формата раздела угроз на платформе. Он дает возможность сформировать персонализированный перечень угроз под конкретную инфраструктуру. С ее помощью удобно корректировать политику информационной безопасности.
Источник: Unsplash Документ подтверждает, что продукты Tarantool соответствуют требованиям по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий по 4 уровню доверия, а также требованиям по безопасности информации к системам управления базами данных по 4 классу защиты. ПО Tarantool теперь можно применять: в информационных системах персональных данных ИСПДн при необходимости обеспечения 1 уровня защищенности персональных данных, в государственных информационных системах ГИС 1 класса защищенности, в значимых объектах критической информационной инфраструктуры ЗОКИИ 1 категории, в автоматизированных системах управления производственными и технологическими процессами АСУ ТП 1 класса защищенности, в информационных системах общего пользования 2 класса.
Защита документов
Обзор приказа ФСТЭК России от 29.04.2021 г. № 77. НОВОСИБИРСК, 26 окт – РИА Новости. Российские разработчики ПО не соблюдают регламенты ФСТЭК в части скорости реагирования на обнаруженные уязвимости. Новые угрозы в БДУ ФСТЭК. • 3 класса защищенности ГИС; • Применение БДУ ФСТЭК. Новости БДУ ФСТЭК России Открыть. #Наука и технологии. Новости БДУ ФСТЭК России TgSearch – поиск и каталог Телеграм каналов.
Новая методика оценки УБИ — Утверждено ФСТЭК России
Источник: Unsplash Документ подтверждает, что продукты Tarantool соответствуют требованиям по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий по 4 уровню доверия, а также требованиям по безопасности информации к системам управления базами данных по 4 классу защиты. ПО Tarantool теперь можно применять: в информационных системах персональных данных ИСПДн при необходимости обеспечения 1 уровня защищенности персональных данных, в государственных информационных системах ГИС 1 класса защищенности, в значимых объектах критической информационной инфраструктуры ЗОКИИ 1 категории, в автоматизированных системах управления производственными и технологическими процессами АСУ ТП 1 класса защищенности, в информационных системах общего пользования 2 класса.
В содержании каждого из элементов доверия, в соответствии с ГОСТ 15408 отражены действия оценщика. Действия оценщика — тот набор действий непосредственно подтверждение то, что требования, предписанные элементами содержания, доверия и представления свидетельств, выполнены, а также явные действия и анализ, которые должны выполняться в дополнение к уже проведенным разработчиком. Оценщик должен иметь высшее образование, обладать глубокими знаниями в области программирования на различных языках, методах оценки. Также оценщик должен обладать опытом проведения технического анализа исходного кода программного продукта, разработки специализированной документации, для эффективного анализа предоставляемой разработчиком документации.
Что же до моего вИдения, так, блин, все, что пишу на форуме, находится под знаком "imho".
Или меня внезапно причислили к рупорам регулятора? Спасибо, конечно, но после "Догмы" образ Метатрона вообще не импонирует... С одной стороны, "Угроза"! Короче, поглядим, что там будет в новой редакции Методики... Видимо под "смысловой нагрузкой сообщения в целом" имеется в виду "выражение законченной мысли", а, следовательно, под "семантикой" предлагается понимать "предложение". Вот почему в начале документов, как правило, приводят термины и определения сейчас понятия , чтобы через объяснение применяемых понятий широком смысле, узком смысле, каком-то уникальном смысле способствовать более точному пониманию смысла изложенного в документе текста в целом.
А какие ещё бывают виды векторов кроме "базового"? Чем принципиальное описание отличается от не принципиального? Количеством листов 20 для всех? Или для принципиального описания каждой УБИ будет определяться индивидуально? Кто это будет определять регулятор для всех или каждый на своем месте сам? А размер шрифта 12, 14 или 16?
Интервал 1,5 или 1?...
В ней сказано, что нарушители внешние и внутренние бывают четырех категорий: с базовыми возможностями, базовыми повышенными, средними и высокими. Как мы видим, есть некое совпадение между тем, как представлена информация об источниках угроз в БДУ, и тем, как мы должны определять их по новой методике. Также в БДУ указывается объект воздействия, на который направлена угроза, и перечисляются последствия этого воздействия.
Они могут быть трех типов: нарушение конфиденциальности, доступности и целостности. Если мы вновь заглянем в методику, то мы поймём, что кроме этих трех разновидностей рассматриваются нарушения подотчетности, неотказуемости и целый ряд других свойств, которые не описываются в БДУ. Главная проблема текущей версии БДУ в том, что в описании угроз нет информации о том, какие меры защиты могут её нейтрализовать. Хорошая новость в том, что на сайте БДУ появился новый раздел угроз.
В нём как раз учтены большинство из перечисленных недостатков, есть мастер по моделированию угроз. Просто выбираете необходимые пункты и на выходе получаете информацию в одном из возможных форматов: jsom, xlsx, csv. В выгруженном файле кроме актуальных угроз и исходной информации будут рекомендации о том, какие меры лучше предпринять.
Сканеры уязвимостей — обзор мирового и российского рынков
БДУ ФСТЭК России Уязвимость функции mac2name веб-интерфейса системы учёта рабочего времени и обеспечения пропускного режима Peplink Smart Reader существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путём отправки специально сформированного HTTP-запроса CVE-2023-39367 Установка обновлений из доверенных источников.
Использование рекомендаций производителя:.
Про "базовый вектор" понял, что нигде это регулятором не определено и оно является вашим вИдением. Толкование угрозы через направление использовалось и ранее. Нормативно не встречал, но в различных объяснениях довольно частно. Как правило, для связи источника угрозы и существа самой угрозы. И приведенное вами описание яркий тому пример. Если под "семантикой" понимается "смысловое значение понятий и определений", то зачем их противопоставлять друг другу?
Разве через понятия и определения не раскрывается их смысловое значение? В этом и есть их суть. Когда нет понятий и определений, то откуда взяться их смысловому значению и говорить о какой-то их "строгости"? Если ту же УБИ. Это к вопросу толкований и толкователей, ага... Под "семантикой" следует понимать смысловую нагрузку сообщения в целом, потому что конкретное слово вне контекста зачастую может быть воспринято некорректно как, собственно, и происходит у любителей докопаться до терминологии... Что же до моего вИдения, так, блин, все, что пишу на форуме, находится под знаком "imho". Или меня внезапно причислили к рупорам регулятора?
Последнее — это злоумышленники внешние или внутренние , техногенные или природные стихийные источники не рассматриваются. В старом разделе БДУ нарушители делятся на три категории: с низким, средним и высоким потенциалом. Эта классификация отличается от используемой для моделирования угроз в соответствии с методикой ФСТЭК России от 5 февраля 2021 года. В ней сказано, что нарушители внешние и внутренние бывают четырех категорий: с базовыми возможностями, базовыми повышенными, средними и высокими. Как мы видим, есть некое совпадение между тем, как представлена информация об источниках угроз в БДУ, и тем, как мы должны определять их по новой методике. Также в БДУ указывается объект воздействия, на который направлена угроза, и перечисляются последствия этого воздействия. Они могут быть трех типов: нарушение конфиденциальности, доступности и целостности. Если мы вновь заглянем в методику, то мы поймём, что кроме этих трех разновидностей рассматриваются нарушения подотчетности, неотказуемости и целый ряд других свойств, которые не описываются в БДУ. Главная проблема текущей версии БДУ в том, что в описании угроз нет информации о том, какие меры защиты могут её нейтрализовать. Хорошая новость в том, что на сайте БДУ появился новый раздел угроз.
Банк данных угроз безопасности информации. Что такое банк угроз ФСТЭК?
Новые угрозы в БДУ ФСТЭК. Необходимость расширения полномочий ФСТЭК связана с тем, что попросту некому поручить, считает руководитель компании «Интернет-розыск» Игорь Бедеров. Итоги совместной работы с БДУ БИ ФСТЭК России за последние 3 года. Новости БДУ ФСТЭК России Download Telegram. быстрое определение уязвимостей: выявление уязвимостей по версиям установленного ПО, база уязвимостей, включающая данные из БДУ ФСТЭК России, NIST NVD, а также баз уязвимостей ОС Debian, Red Hat, Arch, Ubuntu, Windows, Astra Linux и др. Главные новости об организации ФСТЭК России на Решения «Лаборатории Касперского» имеют сертификаты соответствия ФСТЭК и ФСБ России, но не все знают для чего они требуются.