Этап 1. Разведка.
Метод М.1: Cканирование сетевого периметра
Описание
Нарушитель может проводить сканирование сетевого периметра для сбора информации, которую он может использовать для достижения своих целей.
Нарушитель изучает информационную инфраструктуру своей жертвы с помощью сетевого сканирования, общедоступной информации. Этот метод отличается от других тем, что при его осуществлении не происходит прямого контакта с жертвой, а используются источники, которые может получить нарушитель в открытом доступе и имеющимися открытыми средствами.
Информация, которую собрал нарушитель может указать на наличие у жертвы возможностей продолжить разведку и выявить уязвимости на сетевом периметре жертвы.
Способы реализации
СР.2: Сканирование для поиска возможных уязвимостей
Нарушитель может сканировать жертву для поиска у неё в информационной инфраструктуре уязвимостей, которые могут быть им использованы. При сканировании уязвимостей как правило проверяется соответствие конфигурации целевого объекта атаки (хоста) либо приложения (например, программного обеспечения и версии) возможности использовать конкретный эксплойт, который есть в наличии у нарушителя.
Сканирование на наличие уязвимостей может позволить нарушителю получить информацию о запущенных процессах на хостах жертвы, определить открытые порты и другую доступную информацию.
Сроки реализации
От нескольких месяцев до дней.
Угрозы
ФСТЭК: УБИ.098: Угроза обнаружения открытых портов и идентификации привязанных к ним сетевых служб (описание)
ИСО: УгЧЛФ-25-ИСО: Отправка или распространение вредоносных программ
Типы активов
ТА.1: Автоматизированное рабочее место
ТА.2: Сервер
ТА.5: Устройство интернета-вещей
ТА.6: Активное сетевое оборудование
ТА.8: Телефония (VoIP, GSM)
ТА.9: Средства защиты информации
ТА.10: Мобильное устройство
Уязвимости
УяПО-02-ИСО: Известные ошибки в программном обеспечении
УяПО-07-ИСО: Широко распространенное программное обеспечение
УяПО-16-ИСО: Включены неиспользуемые службы
УяСО-10-ИСО: Незащищенные подключения к общедоступной сети
Нарушитель и действие
НВ-НП: Внешний нарушитель с низким потенциалом.
ДП: Действие преднамеренное.
Обнаружение
Мониторинг и анализ структуры трафика и проверка пакетов, связанных с протоколом (протоколами), которые не соответствуют стандартным пакетам протокола и потокам трафика (например, посторонние пакеты, которые не принадлежат внутренним активам в сети, необоснованные или аномальные структуры трафика, аномальный синтаксис или структура).
Меры защиты
МЗ-5.1-ИСО: 5.6 Контакты с профессиональными сообществами
МЗ-8.8-ИСО: Устранение технических уязвимостей
МЗ-8.32-ИСО: Управление изменениями
МЗ-АУД.2-ФСТЭК: Анализ уязвимостей и их устранение
МЗ-АУД.5-ФСТЭК: Контроль и анализ сетевого трафика
МЗ-АУД.7-ФСТЭК: Мониторинг безопасности
МЗ-СОВ.1-ФСТЭК: Обнаружение и предотвращение компьютерных атак
МЗ-УКФ.2-ФСТЭК: Управление изменениями