Куда я попал?
Приказ ФСТЭК России № 31 от 14.03.2014
Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности автоматизированной системы управления
ИАФ.7
Для проведения оценки соответствия по документу войдите в систему.
Список требований
-
ИАФ.7 Защита аутентификационной информации при передачеОбязательно для класса защищенности К1 К2 К3
Похожие требования
ГОСТ Р № 57580.1-2017 от 01.01.2018 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 7. Требования к системе защиты информации":
РД.18
РД.18 Запрет на передачу аутентификационных данных в открытом виде по каналам и линиям связи и их передачу куда-либо, кроме средств или систем аутентификации
3-Т 2-Т 1-Т
3-Т 2-Т 1-Т
Framework № PCI DSS 4.0 от 01.03.2022 "Payment Card Industry Data Security Standard":
Requirement 8.3.2
8.3.2
Defined Approach Requirements:
Strong cryptography is used to render all authentication factors unreadable during transmission and storage on all system components.
Customized Approach Objective:
Cleartext authentication factors cannot be obtained, derived, or reused from the interception of communications or from stored data.
Defined Approach Testing Procedures:
Defined Approach Requirements:
Strong cryptography is used to render all authentication factors unreadable during transmission and storage on all system components.
Customized Approach Objective:
Cleartext authentication factors cannot be obtained, derived, or reused from the interception of communications or from stored data.
Defined Approach Testing Procedures:
- 8.3.2.a Examine vendor documentation and system configuration settings to verify that authentication factors are rendered unreadable with strong cryptography during transmission and storage.
- 8.3.2.b Examine repositories of authentication factors to verify that they are unreadable during storage. 8.3.2.c Examine data transmissions to verify that authentication factors are unreadable during transmission
Purpose:
Network devices and applications have been known to transmit unencrypted, readable authentication factors (such as passwords and passphrases) across the network and/or store these values without encryption. As a result, a malicious individual can easily intercept this information during transmission using a “sniffer,” or directly access unencrypted authentication factors in files where they are stored, and then use this data to gain unauthorized access.
Network devices and applications have been known to transmit unencrypted, readable authentication factors (such as passwords and passphrases) across the network and/or store these values without encryption. As a result, a malicious individual can easily intercept this information during transmission using a “sniffer,” or directly access unencrypted authentication factors in files where they are stored, and then use this data to gain unauthorized access.
CIS Critical Security Controls v7.1 (SANS Top 20):
CSC 16.5
CSC 16.5 Encrypt Transmittal of Username and Authentication Credentials
Ensure that all account usernames and authentication credentials are transmitted across networks using encrypted channels.
Ensure that all account usernames and authentication credentials are transmitted across networks using encrypted channels.
Framework № PCI DSS 4.0 от 01.03.2022 "Payment Card Industry Data Security Standard (RU)":
Requirement 8.3.2
8.3.2
Определенные Требования к Подходу:
Надежная криптография используется для того, чтобы сделать все факторы аутентификации нечитаемыми во время передачи и хранения во всех компонентах системы.
Цель Индивидуального подхода:
Факторы аутентификации открытого текста не могут быть получены, выведены или повторно использованы в результате перехвата сообщений или из сохраненных данных.
Определенные Процедуры Тестирования Подхода:
Определенные Требования к Подходу:
Надежная криптография используется для того, чтобы сделать все факторы аутентификации нечитаемыми во время передачи и хранения во всех компонентах системы.
Цель Индивидуального подхода:
Факторы аутентификации открытого текста не могут быть получены, выведены или повторно использованы в результате перехвата сообщений или из сохраненных данных.
Определенные Процедуры Тестирования Подхода:
- 8.3.2.a Изучите документацию поставщика и параметры конфигурации системы, чтобы убедиться, что факторы аутентификации становятся нечитаемыми с помощью надежной криптографии во время передачи и хранения.
- 8.3.2.b Проверьте хранилища факторов аутентификации, чтобы убедиться, что они нечитаемы во время хранения. 8.3.2.c Проверяйте передачи данных, чтобы убедиться, что факторы аутентификации нечитаемы во время передачи
Цель:
Известно, что сетевые устройства и приложения передают незашифрованные, читаемые факторы аутентификации (такие как пароли и кодовые фразы) по сети и/или сохраняют эти значения без шифрования. В результате злоумышленник может легко перехватить эту информацию во время передачи с помощью “сниффера” или напрямую получить доступ к незашифрованным факторам аутентификации в файлах, где они хранятся, а затем использовать эти данные для получения несанкционированного доступа.
Известно, что сетевые устройства и приложения передают незашифрованные, читаемые факторы аутентификации (такие как пароли и кодовые фразы) по сети и/или сохраняют эти значения без шифрования. В результате злоумышленник может легко перехватить эту информацию во время передачи с помощью “сниффера” или напрямую получить доступ к незашифрованным факторам аутентификации в файлах, где они хранятся, а затем использовать эти данные для получения несанкционированного доступа.
Приказ ФСТЭК России № 239 от 25.12.2017 "Состав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости":
ИАФ.7
ИАФ.7 Защита аутентификационной информации при передаче
Связанные защитные меры
Название | Дата | Влияние | ||
---|---|---|---|---|
Community
2
2 / 28
|
Включение подписи SMB пакетов
Вручную
Техническая
Превентивная
15.06.2021
|
15.06.2021 | 2 2 / 28 | |
Community
2
2 / 28
|
Перевод доменной аутентификации на Kerberos (отключение NTLM)
Вручную
Техническая
Превентивная
15.06.2021
|
15.06.2021 | 2 2 / 28 |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.