Материал: Утверждена приказом ау

Скачать

Заказать новую работу

Внимание! Если размещение файла нарушает Ваши авторские права, то обязательно сообщите нам

Идентифи- катор

угрозы

Наименование угрозы

УБИ.114
Угроза переполнения целочисленных переменных

УБИ.115
Угроза перехвата вводимой и выводимой на периферийные устройства ин-

формации

УБИ.116
Угроза перехвата данных, передаваемых по вычислительной сети

УБИ.117
Угроза перехвата привилегированного потока

УБИ.118
Угроза перехвата привилегированного процесса

УБИ.119
Угроза перехвата управления гипервизором

УБИ.120
Угроза перехвата управления средой виртуализации

УБИ.121
Угроза повреждения системного реестра

УБИ.122
Угроза повышения привилегий

УБИ.123
Угроза подбора пароля BIOS

УБИ.124
Угроза подделки записей журнала регистрации событий

УБИ.128
Угроза подмены доверенного пользователя

УБИ.129
Угроза подмены резервной копии программного обеспечения BIOS

УБИ.130
Угроза подмены содержимого сетевых ресурсов

УБИ.140
Угроза приведения системы в состояние «отказ в обслуживании»

УБИ.143
Угроза программного выведения из строя средств хранения, обработки и

(или) ввода/вывода/передачи информации

УБИ.144
Угроза программного сброса пароля BIOS

УБИ.145
Угроза пропуска проверки целостности программного обеспечения

УБИ.149
Угроза сбоя обработки специальным образом изменённых файлов

УБИ.150
Угроза сбоя процесса обновления BIOS

УБИ.151
Угроза сканирования веб-сервисов, разработанных на основе языка описания

WSDL

УБИ.152
Угроза удаления аутентификационной информации

УБИ.153
Угроза усиления воздействия на вычислительные ресурсы пользователей при

помощи сторонних серверов

УБИ.154
Угроза установки уязвимых версий обновления программного обеспечения

BIOS

УБИ.155
Угроза утраты вычислительных ресурсов

УБИ.156
Угроза утраты носителей информации

УБИ.157
Угроза физического выведения из строя средств хранения, обработки и (или)

ввода/вывода/передачи информации

УБИ.158
Угроза форматирования носителей информации

УБИ.159
Угроза «форсированного веб-браузинга»

УБИ.160
Угроза хищения средств хранения, обработки и (или) ввода/вывода/передачи

информации

УБИ.162
Угроза эксплуатации цифровой подписи программного кода

УБИ.163
Угроза перехвата исключения/сигнала из привилегированного блока функций

УБИ.165
Угроза включения в проект не достоверно испытанных компонентов

УБИ.166
Угроза внедрения системной избыточности

УБИ.167
Угроза заражения компьютера при посещении неблагонадёжных сайтов

УБИ.168
Угроза «кражи» учётной записи доступа к сетевым сервисам

УБИ.169
Угроза наличия механизмов разработчика

УБИ.170
Угроза неправомерного шифрования информации

УБИ.171
Угроза скрытного включения вычислительного устройства в состав бот-сети

УБИ.172
Угроза распространения «почтовых червей»

Идентифи- катор

угрозы

Наименование угрозы

УБИ.173
Угроза «спама» веб-сервера

УБИ.174
Угроза «фарминга»

УБИ.175
Угроза «фишинга»

УБИ.176
Угроза нарушения технологического/производственного процесса из-за вре-

менны́ х задержек, вносимых средством защиты

УБИ.177
Угроза неподтверждённого ввода данных оператором в систему, связанную с

безопасностью

УБИ.178
Угроза несанкционированного использования системных и сетевых утилит

УБИ.179
Угроза несанкционированной модификации защищаемой информации

УБИ.180
Угроза отказа подсистемы обеспечения температурного режима

УБИ.182
Угроза физического устаревания аппаратных компонентов

УБИ.185
Угроза несанкционированного изменения параметров настройки средств за-

щиты информации

УБИ.186
Угроза внедрения вредоносного кода через рекламу, сервисы и контент

УБИ.187
Угроза несанкционированного воздействия на средство защиты информации

УБИ.188
Угроза подмены программного обеспечения

УБИ.191
Угроза внедрения вредоносного кода в дистрибутив программного обеспе-

чения

УБИ.192
Угроза использования уязвимых версий программного обеспечения

УБИ.203
Угроза утечки информации с неподключенных к сети Интернет компьютеров

УБИ.205
Угроза нарушения работы компьютера и блокирования доступа к его данным

из-за некорректной работы установленных на нем средств защиты

УБИ.208
Угроза нецелевого использования вычислительных ресурсов средства вычис-

лительной техники

УБИ.209
Угроза несанкционированного доступа к защищаемой памяти ядра процессо-

ра

УБИ.211
Угроза использования непроверенных пользовательских данных при форми- ровании конфигурационного файла, используемого программным обеспе-

чением администрирования информационных систем

УБИ.212
Угроза перехвата управления информационной системой

УБИ.214
Угроза несвоевременного выявления и реагирования компонентами информа- ционной (автоматизированной) системы (в том числе средствами защиты ин-

формации) на события безопасности информации

УБИ.217
Угроза использования скомпрометированного доверенного источника об-

новлений программного обеспечения
  1. 1   ...   7   8   9   10   11   12   13   14   ...   88

ОЦЕНКА УГРОЗ В СООТВЕТСТВИИ С МЕТОДИЧЕСКИМИ ДОКУМЕНТАМИ ФСБ РОССИИ


  1. На основании исходных данных об объектах защиты (в соответствии с разделом 5 настоящей Модели угроз) и источниках атак (в соответствии с разделом 6.1 настоящей Модели угроз) 1С КОЛЛЕДЖА ПРОФ определены обобщенные возможности источников атак (таблица 14).


Таблица 14 – Обобщенные возможности источников атак


№

Обобщенные возможности источников атак
Предположение

о возможности источников атак

1.
Возможность самостоятельно осуществлять созда- ние способов атак, подготовку и проведение атак

только за пределами контролируемой зоны

Да

2.
Возможность самостоятельно осуществлять созда- ние способов атак, подготовку и проведение атак в пределах контролируемой зоны, но без физического доступа к аппаратным средствам, на которых реали-

зованы СКЗИ и среда их функционирования


Да

3.
Возможность самостоятельно осуществлять созда- ние способов атак, подготовку и проведение атак в пределах контролируемой зоны с физическим досту- пом к аппаратным средствам, на которых реализова-

ны СКЗИ и среда их функционирования


Да

4.
Возможность привлекать специалистов, имеющих опыт разработки и анализа СКЗИ (включая специ- алистов в области анализа сигналов линейной пе- редачи и сигналов побочного электромагнитного из-

лучения и наводок СКЗИ)


Нет

5.
Возможность привлекать специалистов, имеющих опыт разработки и анализа СКЗИ (включая специ- алистов в области использования для реализации атак недокументированных возможностей прик-

ладного программного обеспечения)


Нет

6.
Возможность привлекать специалистов, имеющих опыт разработки и анализа СКЗИ (включая специ- алистов в области использования для реализации атак недокументированных возможностей аппарат-

ного и программного компонентов среды функци- онирования СКЗИ)


Нет




    1. В соответствии с нормативно-правовыми документами ФСБ России реализация угроз безопасности информации определяется возможностями источников атак.

    2. Исходя из обобщенных возможностей источников атак определены уточненные возможности нарушителей и направления атак (соответствующие актуальные угрозы). Результаты приведены в Приложении № 7.

    3. Используемые для защиты информации криптосредства должны обеспечить криптографическую защиту по уровню не ниже КС3.

Источники разработки модели угроз
Система должна соответствовать требованиям следующих Федеральных законов и принятых в соответствии с ними нормативно-правовых актов:

    • Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

    • Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;

    • Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119

«Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

    • Приказ Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;

    • Методический документ «Методика оценки угроз безопасности информации», утвержденный Федеральной службы по техническому и экспортному контролю 5 февраля 2021 г.;

    • Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденная заместителем директора Федеральной службы по техническому и экспортному контролю 15 февраля 2008 г.;

    • ГОСТ 15971-90 «Системы обработки информации. Термины и определения», утвержденный постановлением Государственного комитета СССР по управлению качеством продукции и стандартам от 26 октября 1990 г. № 2698;

    • ГОСТ 19781-90 «Обеспечение систем обработки информации программное. Термины и определения», утвержденный постановлением Государственного комитета СССР по управлению качеством продукции и стандартам от 27 августа 1990 г. № 2467;

    • ГОСТ 29099-91 «Сети вычислительные локальные. Термины и определения», утвержденный постановлением Комитета стандартизации и метрологии СССР от 25 сентября 1991 г. № 1491;

    • ГОСТ Р 59853-2021 «Информационные технологии. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения», утвержденный приказом Росстандарта от 19 ноября 2021 г. № 1520-ст;

    • ГОСТ 34.201-2020 «Информационные технологии. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем», утвержденный приказом Росстандарта от 19 ноября 2021 г.
Источник: https://tut-files.ru/previewfile/21504

Смотрите также:

2014 biblioonline ru
Изложение содержания дела, по которому приняты судебные постановления
Отформатировать текстовый фрагмент в MS Word. Текстовый фрагмент, который подлежит форматированию, приведен в документе Задание 1, прикрепленном ниже.