ПО для хранения и обработки данных Tarantool успешно прошло испытания в системе сертификации ФСТЭК России.

Решение Solar inRights сертифицировано ФСТЭК России на соответствие требованиям ОУД 4 (Новости). ФСТЭК России является правопреемницей Государственной технической комиссии СССР, которая была создана в декабре 1973 года. для решения задачи формирования перечня актуальных угроз ИБ российский регулятор ФСТЭК России выпустил методический.

Новый раздел на сайте БДУ - Форум по вопросам информационной безопасности

Наши проекты
Новинка: Сканер-ВС 6 - сканирование на уязвимости никогда не было таким быстрым!
ОУД4: анализ уязвимостей и оценка соответствия ПО -
Сертифицированные ФСТЭК России продукты Dr.Web
Сергей Борисов - exclusive content on Boosty

Блеск и нищета… БДУ

реестр аккредитованных ФСТЭК России органов по сертификации и испытательных. Осуществляется поддержка уязвимостей из банка данных угроз безопасности информации (БДУ) ФСТЭК России. Таблица соответствия угрозы из БДУ ФСТЭК И мер защиты из приказов 17 21.

11–13 февраля 2025

Также доступна функция безопасного затирания свободного места на носителях данных, предусмотрена защита от удаления системных файлов, совместимо с модулем поиска остаточной информации. Аудит установленного аппаратного и программного обеспечения — инвентаризация программных и аппаратных средств локальной системы, включая параметры установленных операционных систем, программное обеспечение, информацию о пользователях системы, историю подключений к беспроводным сетям, данные системных, коммуникационных и периферийных устройств центральный процессор, материнская плата, мост, оперативная память и др. Функция сравнения отчетов позволяет отслеживать изменения конфигурации системы. Контроль целостности — подсчет контрольных сумм заданных папок и файлов по 13 алгоритмам, включая алгоритмы высокой стойкости к атакам ГОСТ Р 34.

Мнения об этом разделе самые разные: от полного неприятия до панегириков. А истина — она, как всегда, где-то посередине. А вот к чему. Стоит открыть любой документ ФСТЭК России, касающийся требований к мерам защиты, и мы увидим: «Требования к системе защиты информации информационной системы определяются в зависимости от… угроз безопасности информации».

И далее: «В качестве исходных данных для определения угроз безопасности информации должен использоваться банк данных угроз безопасности информации» bdu. Замечательно, продекларировали! А дальше что? А дальше — провал. Я уже как-то писал об этом [1]. Меры защиты выбираются исходя из класса информационной системы который, кстати, определяется совсем по другим критериям и не обращает внимания на угрозы или требуемого уровня защищённости, но никак не отталкиваясь от угроз. Нет взаимосвязи между самими угрозами и теми мерами, которые позволяют их нейтрализовать.

Получается, что в данном случае угрозы, вернее модель угроз, построенная на их основе, выступает в качестве некоего «сферического коня в вакууме». Только не подумайте, что я против модели угроз как таковой! Может быть, повторюсь, но считаю, что сама идея — использовать модель угроз при выборе мер защиты — абсолютно верная. Однако, не отрицая важности самого процесса оценки угроз безопасности информации при выборе адекватных мер защиты, необходимо отметить, что многолетняя практика моделирования угроз для каждого конкретного объекта показывает свою НЕэффективность. Ситуация получается очень похожей на басню Крылова правда, немного в другой коннотации : «Вертит Очками так и сяк: То к темю их прижмёт, то их на хвост нанижет, То их понюхает, то их полижет; Очки не действуют никак». И происходит это по банальной причине: нет связи между угрозами и мерами. Вот давайте посмотрим на раздел банка угроз, связанного с уязвимостями.

Там есть не только привязка уязвимости к конкретному ПО и его версии, что позволяет однозначно определить необходимость принятия мер, но и такие замечательные рубрики, как «Возможные меры по устранению уязвимости» и «Способ устранения». А это уже прямое руководство к действию. Поэтому этот раздел оказывается весьма полезным в практической деятельности ибэшников. К сожалению, этого нельзя сказать про раздел угроз безопасности информации. Правда, некоторые специалисты пытаются составить таблицы соответствия угроз и мер защиты [2], но, честно говоря, это всё-таки самоделки. Здесь нужен системный подход,чёткая проработка и соответствующие разделы в банке угроз. Вот тогда-то модель угроз станет действенным инструментом при выборе мер защиты и не потребуется заставлять бизнес разрабатывать формальную модель угроз «документ ради документа» , он сам почувствует её необходимость, так как это будет экономить деньги.

А ещё лучше, если угрозы будут увязаны не только с мерами защиты, но и с необходимыми функциями безопасности, которые реализуются средствами защиты читай классами средств защиты. Тогда модель угроз станет бесценной. Не всё, что в банке угроз названо угрозами, является таковым.

Любой желающий может сообщить об обнаруженной уязвимости с помощью формы обратной связи. В качестве фильтров для поиска угроз можно выбрать: источник угрозы - тип нарушителя и его минимально необходимый функционал a.

Целью создания данного банка является повышение информированности заинтересованных лиц о существующих угрозах безопасности информации в информационных автоматизированных системах. Банк данных предназначен для: заказчиков информационных автоматизированных систем и их систем защиты; операторов информационных автоматизированных систем и их систем защиты; разработчиков информационных автоматизированных систем и их систем защиты; разработчиков и производителей средств защиты информации; испытательных лабораторий и органов по сертификации средств защиты информации; иных заинтересованных организаций и лиц. По состоянию на сентябрь 2017 года банк данных угроз содержит 205 угроз и 17369 уязвимостей.

ФСТЭК подтвердил безопасность российского ПО Tarantool

Разберем новый методический документ «Руководство по организации процесса управления уязвимостями в органе (организации)» от ФСТЭК0:06 область применения0:41. Главная» Новости» Bdu fstec. Разберем новый методический документ «Руководство по организации процесса управления уязвимостями в органе (организации)» от ФСТЭК0:06 область применения0:41. Новые угрозы в БДУ ФСТЭК.

Авторизоваться

Новинка: Сканер-ВС 6 - сканирование на уязвимости никогда не было таким быстрым!
Банк данных угроз безопасности информации. Что такое банк угроз ФСТЭК?
Новый раздел банка данных угроз: что важно знать
СКАНЕР-ВС – АО Эшелон Технологии
Subscription levels
Преимущества

Анализ уязвимостей и оценка соответствия по ОУД4

Теперь крупные компании могут использовать наше ПО для построения отказоустойчивых высоконагруженных систем в чувствительных к безопасности проектах Александр Виноградов Руководитель Tarantool Tarantool — ПО для хранения и обработки данных, которое ускоряет цифровые сервисы и снижает нагрузку на ключевые системы. Сочетает в себе сервер приложений, базу данных с гибкой схемой данных и мощные средства масштабирования для построения отказоустойчивых сервисов.

Банк данных угроз безопасности информации сформирован в целях информационной и методической поддержки при проведении органами государственной власти и организациями работ по: определению и оценке угроз безопасности информации в информационных автоматизированных системах, разработке моделей угроз безопасности информации в ходе создания и эксплуатации информационных автоматизированных систем; выявлению, анализу и устранению уязвимостей в ходе создания и эксплуатации информационных автоматизированных систем, программно-технических средств, программного обеспечения и средств защиты информации, проведения работ по оценке подтверждению их соответствия обязательным требованиям; разработке, производству и поддержанию программных программно-технических средств контроля защищенности информации от несанкционированного доступа. Внесение информации об уязвимостях и угрозах безопасности информации включая редактирование, изменение, наполнение добавление новых записей в банк данных угроз безопасности информации осуществляется ФСТЭК России. В банк данных угроз безопасности информации включается информация об уязвимостях и угрозах безопасности информации, полученная по результатам выявления и анализа: сведений, опубликованных в общедоступных источниках, в том числе в информационно-телекоммуникационной сети Интернет; сведений, полученных по результатам работ, проводимых федеральными органами исполнительной власти в рамках своих полномочий компетенций ; сведений, поступивших из органов государственной власти, организаций и иных лиц, выполняющих работы по защите информации. Каждой уязвимости и угрозе безопасности информации, подлежащей включению в банк данных угроз безопасности информации, присваивается идентификатор. Первая группа цифр "ХХХХ" представляет собой календарный год включения уязвимости в банк данных угроз безопасности информации.

Вторая группа цифр "ХХХХХ" является порядковым номером уязвимости в банке данных угроз безопасности информации.

Сочетает в себе сервер приложений, базу данных с гибкой схемой данных и мощные средства масштабирования для построения отказоустойчивых сервисов.

Федеральная служба по техническому и экспортному контролю логотип. Федеральная служба по валютному и экспортному контролю. Федеральная служба по техническому и экспортному контролю функции. Федеральная служба по техническому и экспортному контролю структура. Методика оценки угроз. Методика оценки угроз безопасности. Оценка угроз и методология. Изменения в нормативно-правовой базе. Нормативно правововая база защиты гос. Модель потенциального нарушителя информационной безопасности. ФСТЭК совершенствование требований по технической защите информации. ПП 1119 уровни защищенности. Модель угроз безопасности персональных данных образец 2020. Scanoval база уязвимостей. Scanoval программа.

Федеральная служба по техническому и экспортному контролю

Обзор приказа ФСТЭК России от 29.04.2021 г. № 77. НОВОСИБИРСК, 26 окт – РИА Новости. Российские разработчики ПО не соблюдают регламенты ФСТЭК в части скорости реагирования на обнаруженные уязвимости. Новые угрозы в БДУ ФСТЭК. Обзор приказа ФСТЭК России от 29.04.2021 г. № 77. НОВОСИБИРСК, 26 окт – РИА Новости. Российские разработчики ПО не соблюдают регламенты ФСТЭК в части скорости реагирования на обнаруженные уязвимости. Новые угрозы в БДУ ФСТЭК. ФСТЭК России пересмотрел административные регламенты по контролю за соблюдением лицензионных требований. Раздел тестирования обновлений БДУ ФСТЭК России Сведения о результатах тестирований в описаниях уязвимостей. Новые угрозы в БДУ ФСТЭК. Справочник мер защиты новой БДУ соответствует только составу мер из Требований, утвержденных приказом ФСТЭК России от 25 декабря 2017 года № 239 (для объектов КИИ).

Множественные уязвимости systemd (CVE-2022-3821, CVE-2023-7008, CVE-2023-26604, CVE-2022-4415)

Помимо преклонного возраста, данный документ может похвастаться рядом моментов, свидетельствующих о том, что он, к сожалению, давно потерял свою актуальность и продолжает использоваться только по причине отсутствия какой-либо замены. Жесткая привязка к персональным данным, использование показателя исходной защищенности системы, в качестве фактора, влияющего на определение актуальности угроз, отсутствие какого-либо разделения ответственности в вопросах моделирования угроз безопасности при использовании внешних хостингов — лишь часть огрехов, которые продолжают обсуждаться ИБ-сообществом. В такой ситуации обладателям информации операторам приходится импровизировать, самостоятельно «дорабатывая» документ для собственных нужд. Такой подход, во-первых, не является абсолютно легальным в своих приказах ФСТЭК настаивает на использование разработанных ими методических документов для определения угроз безопасности , а во-вторых, представляет весьма нетривиальную задачу, особенно при отсутствии соответствующего опыта у исполнителя.

В связи с этим, новая Методика должна стать если и не панацеей, то инструментом, значительно упрощающим процесс моделирования угроз информационной безопасности. Ключевые особенности новой методики Область применения Методики Первой и одной из наиболее важных отличительных черт новой Методики является область ее применения, которая теперь не ограничивается лишь ИСПДн. Документ должен использоваться для определения угроз безопасности информации при ее обработке с использованием любых объектов, требования по защите к которым утверждены ФСТЭК. Какой-либо порядок разработки и согласования «дочерних» методик не предусмотрен, единственное требование — они не должны противоречить положениям Методики. Такой подход выглядит вполне логичным, если бы не одно «но».

Дело в том, что разнообразие «базовых и типовых моделей угроз» на сегодняшний день оставляет желать лучшего — в свободном доступе опубликован лишь один документ, попадающий под это описание, да и тот представляет собой выписку и нацелен на все те же ИСПДн. Означает ли это, что в ближайшее время после утверждения Методики стоит ожидать пополнение в рядах базовых и типовых моделей угроз? Вопрос остается открытым. Порядок моделирования угроз безопасности Обновленный порядок включает в себя пять этапов, выполняемых в определенной последовательности. Общая схема процесса, представленная в Методике, выглядит следующим образом: За определение актуальности угрозы безопасности информации отвечают этапы с первого по четвертый.

В соответствии с Методикой, угроза безопасности будет являться актуальной при наличии хотя бы одного сценария ее реализации и если ее реализация приведет к каким-либо негативным последствиям для обладателя информации оператора или государства. Цель пятого этапа — определить опасность каждой из актуальных угроз. По сути, данная характеристика носит исключительно информационный характер и не оказывает прямого влияния ни на итоговый документ, формируемый по результатам моделирования, ни на возможные варианты нейтрализации угрозы. Можно предположить, что данный параметр должен использоваться для определения очередности закрытия угрозы, однако малое число возможных значений показателя — «низкий», «средний», «высокий» — не позволяют сделать это с достаточной степенью детализации. Более того, любая из дошедших до данного шага угроз должна быть так или иначе закрыта, поэтому забыть про «неопасную» угрозу попросту не получится.

Таким образом, истинная цель данного параметра остается не раскрытой в полной мере.

Когда я наберу 10 подписчиков, это будет поводом для появления дополнительной аналитики 1 of 3 Здравствуйте, все кто занимается кибербезопасностью. Меня зовут Сергей Борисов.

В Положении 719-П и 757-П имеется похожее требование к использованию безопасного прикладного ПО, однако в данном нормативном документе говорится об оценке соответствия прикладного ПО по ОУД4. Разница между анализом уязвимостей по ОУД4 и оценкой соответствия по ОУД4 заключается в том, что анализ уязвимостей — это комплекс мероприятий по оценке лишь части компонентов доверия в пределах определённого уровня доверия, например, при проведении анализа уязвимостей оцениваются классы доверия «Разработка», «Руководства», «Оценка уязвимостей». В отличии от анализа уязвимостей, в оценку соответствия по ОУД4 входит анализ всего перечня классов доверия и выполнения всех действий оценщика. В рамках анализа уязвимостей и оценки соответствия оценщики должны использовать ГОСТ 15408 в качестве справочного руководства при интерпретации изложения как функциональных требований, так и требований доверия.

Сергей Борисов

Уязвимость актуальна для версий до 2023. Но в отличие от BDU:2024-00878, эта уязвимость затрагивает только старые версии продукта — до 2022. Уязвимость актуальна для всех версий до 2020. Уязвимость возникает в случаях, когда приложение использует недоверенные пользовательские данные в качестве пути к запрашиваемому файлу без проведения необходимых проверок. Уязвимости подвержены версии продукта до 2022. Websoft HCM. Для проведения атаки необходимо спровоцировать жертву перейти по специальной ссылке.

Доступ к банку данных угроз безопасности информации осуществляется через сеть "Интернет" адрес: www. Банк данных угроз безопасности информации включает базу данных уязвимостей программного обеспечения далее - уязвимости , а также перечень и описание угроз безопасности информации, наиболее характерных для государственных информационных систем, информационных систем персональных данных и автоматизированных систем управления производственными и технологическими процессами на критически важных объектах далее - информационные автоматизированные системы.

Другой аспект — это вовлечение российских специалистов в работу над платформой.

Когда речь идет о практических инструментах «для людей», делать их без оглядки на исполнителей и потребителей — это неэффективный путь. Сергей Вихорев Советник генерального директора ГК «ИТ-Экспертиза», эксперт по информационной безопасности Стоит открыть любой документ ФСТЭК России, касающийся требований к мерам защиты информации, и увидим: «Требования к системе защиты информации информационной системы определяются в зависимости от... И далее: «В качестве исходных данных для определения угроз безопасности информации должен использоваться банк данных угроз безопасности информации bdu. При этом по факту до сих пор меры защиты выбираются исходя из класса информационной системы который, кстати, определяется по другим критериям и не обращает внимание на угрозы или требуемого уровня защищенности, но не от угроз. Нет взаимосвязи между самими угрозами и теми мерами, которые позволяют их нейтрализовать.

Сама идея — использовать модель угроз при выборе мер защиты — абсолютно верная. Но при этом сейчас нет связи между угрозами и мерами. Некоторые специалисты пытаются составить таблицы соответствия угроз и мер защиты, но по большому счёту это всё же «самоделки». А нужен системный подход и четкая проработка и соответствующие разделы в банке угроз. Вот тогда модель угроз станет действенным инструментом при выборе мер защиты и не потребуется заставлять бизнес разрабатывать формальную модель угроз «документ ради документа» , он сам почувствует ее необходимость, так как это будет экономить деньги.

А еще лучше, если угрозы будут увязаны не только с мерами защиты, но и необходимыми функциями безопасности, которые реализуются средствами защиты читай классами средств защиты.

ПО Tarantool теперь можно применять: в информационных системах персональных данных ИСПДн при необходимости обеспечения 1 уровня защищенности персональных данных, в государственных информационных системах ГИС 1 класса защищенности, в значимых объектах критической информационной инфраструктуры ЗОКИИ 1 категории, в автоматизированных системах управления производственными и технологическими процессами АСУ ТП 1 класса защищенности, в информационных системах общего пользования 2 класса. Теперь крупные компании могут использовать наше ПО для построения отказоустойчивых высоконагруженных систем в чувствительных к безопасности проектах Александр Виноградов Руководитель Tarantool Tarantool — ПО для хранения и обработки данных, которое ускоряет цифровые сервисы и снижает нагрузку на ключевые системы.

Сканеры уязвимостей — обзор мирового и российского рынков

АИС «Налог-3» Информационная система ФНС России. Еженедельно обновляемая база уязвимостей, совместимая с банком данных угроз безопасности информации (БДУ) ФСТЭК России. б) база данных уязвимостей, содержащаяся в Банке данных угроз безопасности информации (далее – БДУ) ФСТЭК России3. В первую очередь будет проведена аналитика по сравнению техник и тактик из методики ФСТЭК России (FST&CK) с техниками, тактиками и контрмерами из матрицы MITRE ATT&CK и контрмерами из NIST 800-53. ФАУ «ГНИИИ ПТЗИ ФСТЭК России». Обзор приказа ФСТЭК России от 29.04.2021 г. № 77. НОВОСИБИРСК, 26 окт – РИА Новости. Российские разработчики ПО не соблюдают регламенты ФСТЭК в части скорости реагирования на обнаруженные уязвимости. Новые угрозы в БДУ ФСТЭК.

Что такое банк угроз: цели создания и доступ к информации

Банк угроз ФСТЭК: использовать нельзя игнорировать
Защита документов
Импортозамещение
Уязвимость BDU:2023-00291
About the creator

Защита документов

С помощью Сканера-ВС можно проводить тестирование на проникновение, сканирование уязвимостей, а также анализ конфигурации, организовать непрерывный контроль защищенности. Использование «Сканер-ВС» позволяет обеспечить непрерывный мониторинг защищенности информационных систем, а также повысить эффективность деятельности IT-подразделений и служб безопасности. Возможность работы в режиме Live USB, а также развертывания в ИТ-инфраструктуре предприятия с поддержкой одновременной удаленной работы пользователей. Формирование отчета с техническими рекомендациями по устранению обнаруженных брешей в защите.

Продукция поставляется через официального дистрибьютора — компанию OCS Distribution. В пул авторизованных партнеров бренда сегодня входит более 400 компаний. В 2023 году компания «АВРОИД» создала продукт, позволяющий организациям совершить стратегический переход на устройства с отечественной защищенной операционной системой «Аврора».

Используя контейнер, пользователи сразу получают доступ к большинству уже существующих приложений: от сервисов для личной и рабочей коммуникации до мультимедийных платформ. Их функциональность сохраняется в полном объеме, при этом за безопасность можно не беспокоиться — приложения запускаются в изолированной среде внутри отечественной защищённой операционной системы «Аврора», сертифицированной ФСТЭК и ФСБ России. Для отправки push-уведомлений используется сервис собственной разработки Pushed. Само приложение можно скачать из каталога «Авроры Маркета». Мобильное приложение Multifactor для ОС Аврора поддерживает функционал с настройками и контролем аккаунтов, запросами доступа и подтверждением доступа OTP-кодом. Приложение Multifactor для ОС Аврора уже доступно для загрузки и представлено в каталоге компании «Открытая мобильная платформа».

Это система для автоматизированного обмена электронными документами в защищенном режиме между федеральными органами исполнительной власти и органами исполнительной власти субъектов РФ, а также информирования высших органов государственной власти о ходе исполнения поручений. Теперь "Роспатент" имеет возможность участвовать в электронном обмене документами. Softline объявляет о выходе на рынок Центральной Азии ГК Softline выходит на рынок республики Казахстан, формируя Хаб в городе Алматы, который станет связующим звеном между российскими ИТ-технологиями и центрально-азиатскими компаниями. Основная цель ГК Softline в новом регионе — продвижение собственных продуктов, отраслевых решений и экспертизы, а также решений российских вендоров. При этом компания будет обеспечивать полный комплекс услуг, включая внедрение, сопровождение, техническую поддержку и обучение. В рамках сотрудничества ГК Softline получила статус «Золотого партнера».

Специалисты группы компаний будут осуществлять продажу, внедрение и техническое сопровождение Altevics. Команды вендоров провели обучение специалистов ГК Softline по работе с системой. Эксперты группы компаний получили сертификацию по курсам «ESM на базе Altevics» и «Автоматизация процессов в продукте Altevics». Таким образом, команда ГК Softline приобрела компетенции для эффективной кастомизации и масштабирования системы под задачи клиентов. Altevics — ESM-система для автоматизации сервисных подразделений и сервисных компаний. Платформа разработана с использованием импортонезависимых low-code технологий.

Система рассчитана на взаимодействие в режиме реального времени с более чем 16 млн точек учета. Благодаря этому система может использоваться как единое решение для обработки данных энергопотребления в любых масштабах — от населенного пункта до всей страны. К ней уже подключены порядка 2 500 защищенных шлюзов, «опрашивающих» интеллектуальные приборы учета, а к концу 2024 года их количество вырастет до 24 000. К2Тех и Альфа-Лизинг разработали систему управления лизинговой деятельностью Разработка сделана на базе 1С. С помощью этой системы произошел рефакторинг более 240 бизнес-процессов свыше 1,5 тысяч требований на автоматизацию и 200 форм отчетности. Общий охват проекта составил 500 пользователей.

Внедрение было обусловлено федеральным законом. Управление предприятием 2» — архитектура подходила для дальнейшей кастомизации. Однако анализ выявил больше комплексных требований, чем предполагалось изначально — проект потребовал вовлечения большего количества ресурсов, увеличения сроков, принятия управленческих решений по распараллеливанию этапов и одновременному проведению аналитики, проектирования и разработки по различным функциональным блокам для достижения быстрого результата. Документы, системы для учета ИТ-активов и категорирования объектов критической информационной инфраструктуры КИИ. В решении появилась функция автоматического формирования модели угроз, которая позволит компаниям оценивать актуальность опасностей, опираясь на добавленные редактируемые справочники. Документы» отражена информация об угрозах, способах их реализации, техниках и тактиках злоумышленников, выгруженная из банка данных угроз безопасности информации БДУ ФСТЭК.

Кроме того, теперь компании могут редактировать и дополнять справочники, опираясь на собственные ресурсы и опыт.

Дмитрий Ковалев Руководитель департамента информационной безопасности компании «Сиссофт» Я не стал бы называть базу данных угроз ФСТЭК «юридическим» инструментом для определения уровня ИБ конкретных компаний. Предпосылкой для ее появления была, в большей степени, идея создать практический инструмент от регулятора — собрать единую базу знаний для информирования о фундаментальных угрозах и мерах по защите от них.

При этом, не стоит ограничиваться только лишь использованием данной базы и относиться к ней как к единственному рабочему инструменту и источнику знаний. Ее стоит использовать как вспомогательный и инструмент к базам знаний о уязвимостях от профильных вендоров по ИБ. В рамках этой статьи мы оставим за скобками все «государственные атрибуты» этой базы и рассмотрим ее так, будто бы она была продуктом команды энтузиастов. На данных момент в базе их более двухсот. Уязвимостей информационных систем CVE. Более сорока тысяч в банке. В настоящий момент идет тестовая эксплуатация нового формата раздела угроз на платформе.

Он дает возможность сформировать персонализированный перечень угроз под конкретную инфраструктуру. С ее помощью удобно корректировать политику информационной безопасности. Некоторые обновления создают новые дыры в безопасности, на исправление которых нужны новые доработки.

Новости бду фстэк россии