Этап 1. Разведка.
Метод М.1: Cканирование сетевого периметра
Описание
Нарушитель может проводить сканирование сетевого периметра для сбора информации, которую он может использовать для достижения своих целей.
Нарушитель изучает информационную инфраструктуру своей жертвы с помощью сетевого сканирования, общедоступной информации. Этот метод отличается от других тем, что при его осуществлении не происходит прямого контакта с жертвой, а используются источники, которые может получить нарушитель в открытом доступе и имеющимися открытыми средствами.
Информация, которую собрал нарушитель может указать на наличие у жертвы возможностей продолжить разведку и выявить уязвимости на сетевом периметре жертвы.
Способы реализации
СР.1: Сканирование адресного пространства
Нарушитель может сканировать диапазон IP-адресов жертвы для сбора информации, которая может быть использована в будущем для совершения компьютерной атаки. Как правило, компании имеют свой диапазон общедоступных IP-адресов, который им выделил провайдер. Сканирование диапазона адресов может осуществляться, например пингованием (направлением ICMP-запросов на адрес жертвы и ожидание ответа).
Сроки реализации
От нескольких месяцев до дней.
Угрозы
ФСТЭК: УБИ.098: Угроза обнаружения открытых портов и идентификации привязанных к ним сетевых служб (описание)
ФСТЭК: УБИ.104: Угроза определения топологии вычислительной сети (описание)
ИСО: УгЧЛФ-25-ИСО: Отправка или распространение вредоносных программ
Типы активов
ТА.1: Автоматизированное рабочее место
ТА.2: Сервер
ТА.5: Устройство интернета-вещей
ТА.6: Активное сетевое оборудование
ТА.8: Телефония (VoIP, GSM)
ТА.9: Средства защиты информации
ТА.10: Мобильное устройство
Уязвимости
УяПО-02-ИСО: Известные ошибки в программном обеспечении
УяПО-05-ИСО: Недостаточная настройка журналов для целей аудита
УяПО-07-ИСО: Широко распространенное программное обеспечение
УяПО-11-ИСО: Неправильная настройка параметров
УяПО-16-ИСО: Включены неиспользуемые службы
УяСО-09-ИСО: Неадекватное управление сетью (устойчивость маршрутизации)
УяСО-10-ИСО: Незащищенные подключения к общедоступной сети
Нарушитель и действие
НВ-НП: Внешний нарушитель с низким потенциалом
ДП: Действие преднамеренное
Обнаружение
Постоянный контроль за присутствием аномального трафика (несвойственного для обычного состояния). Подозрительным является трафик процессов, которые используются в сети не имеющий внутреннеого источника в пределах внутренней сети.
Меры защиты
МЗ-5.6-ИСО: Контакты с профессиональными сообществами
МЗ-8.7-ИСО: Защита от вредоносных программ
МЗ-8.8-ИСО: Устранение технических уязвимостей
МЗ-8.32-ИСО: Управление изменениями
МЗ-АУД.2-ФСТЭК: Анализ уязвимостей и их устранение
МЗ-АУД.5-ФСТЭК: Контроль и анализ сетевого трафика
МЗ-АУД.7-ФСТЭК: Мониторинг безопасности
МЗ-АВЗ.2-ФСТЭК: Антивирусная защита электронной почты и иных сервисов
МЗ-АВЗ.4-ФСТЭК: Обновление базы данных признаков вредоносных компьютерных программ (вирусов)
МЗ-СОВ.1-ФСТЭК: Обнаружение и предотвращение компьютерных атак
МЗ-УКФ.2-ФСТЭК: Управление изменениями