Куда я попал?
Вы попали в сервис, который помогает корпоративным службам безопасности строить свои рабочие процессы: управление рисками, контроль соответствия требованиям, учет активов, планирование и сопровождение защитных мер на всем их жизненном цикле, распределение задач и т.д.
Еще SECURITM является платформой для обмена опытом и наработками между участниками сообщества служб безопасности.
Подробнее
 

Описание уязвимости

Использование недостатков реализации сетевых протоколов и уязвимостей в программном обеспечении с целью нарушения доступности актива.

DoS атака на операционную систему
Существуют различные способы DoS атаки на ОС, например атаки на состояние TCP соединений, такие как SYN floods и ACK floods.
SYN floods: При потоках SYN отправляется чрезмерное количество пакетов SYN, но 3х-стороннее TCP-рукопожатие никогда не завершается. Поскольку каждая ОС имеет максимальное количество одновременных TCP-соединений, такой способ может быстро исчерпать способность системы получать новые запросы на TCP-соединения, тем самым предотвращая доступ к любой службе TCP, предоставляемой сервером.
ACK floods: Поток пакетов ACK отправляется в ОС и это заставляет ОС искать в таблице состояний ранее установленное TCP-соединение. Поскольку ACK пакеты злоумышленника предназначены для соединений, которые не существуют, ОС придется выполнить поиск по всей таблице состояний, чтобы убедиться, что совпадения не существует. Поиск состояний для большого количества пакетов может привести к тому, что сервер будет не успевать и/или не отвечать на запросы. Это значительно сокращает ресурсы, доступные для предоставления целевой услуги легитимным пользователям.

Злоумышленник так же может выполнить атаку отказ в обслуживании влияя на доступность аппаратных ресурсов, таких как загрузка процессора, оперативной памяти, дисковой подсистемы путем создания большого количества ресурсов, процессов, задач в ОС.

DoS атака на сервис
DoS атака может быть так же направлена на прикладное ПО и сервисы, например на веб-сервер. Часть атак на веб-серверы применяется в целом для любого веб-сервера, в то время как другие специфичны для конкретного ПО.
Один из примеров такого типа атаки известен как простой HTTP flood, когда злоумышленник отправляет большое количество HTTP-запросов на веб-сервер.
Другой вариант, известный как атака на повторное согласование SSL, использует преимущества функции протокола в SSL/TLS. Набор протоколов SSL/TLS включает в себя механизмы, позволяющие клиенту и серверу согласовать алгоритм шифрования для последующего безопасного подключения. Если включено повторное согласование SSL, можно сделать запрос на повторное согласование криптоалгоритма. При атаке на повторное согласование злоумышленник устанавливает соединение SSL/TLS, а затем выполняет серию запросов на повторное согласование. Поскольку повторное согласование криптографии имеет значительные затраты для веб-сервера, это может повлиять на доступность службы при большом объеме запросов.
Злоумышленник также может выбрать как цель ресурсоемкие функции веб-приложений. Конкретные функции в веб-приложениях могут быть очень ресурсоемкими. Повторные запросы к этим функциям могут привести к исчерпанию системных ресурсов и отказу в доступе к приложению или самому серверу.
Классификация
КЦД: Доступность ? Доступность / availability
Cвойство быть доступным и готовым к использованию по запросу авторизованного субъекта.
STRIDE: Отказ в обслуживании ? Отказ в обслуживании / Denial of service
Выход из строя активов или нарушение их работоспособности приводящее к невозможности их использования. Защищаемое свойство – доступность.
Источники угрозы
Внешний нарушитель - Низкий потенциал ? Внешний нарушитель
Находящийся вне информационной системы на момент начала реализации угрозы.
Для реализации угроз в информационной системе внешний нарушитель должен тем или иным способом получить доступ к процессам, проходящим в информационной системе.
Внутрений нарушитель - Низкий потенциал ? Внутрений нарушитель
Под внутренним нарушителем понимают нарушителя, находящегося внутри информационной системы на момент начала реализации угрозы.
К внутренним нарушителям относят инсайдеров, не смотря на то, что они могут выполнять инструкции лиц, находящихся вне информационной системы.

Каталоги угроз

Техники ATT@CK:
T1499.001 Endpoint Denial of Service: OS Exhaustion Flood ? Унаследовано от входящей в состав риска уязвимости
T1499.003 Endpoint Denial of Service: Application Exhaustion Flood ? Унаследовано от входящей в состав риска уязвимости

Связанные защитные меры

Название Дата Влияние
Community
1
Включение принудительной проверки подлинности на уровне сети для RDP серверов
Разово Вручную Превентивная Техническая
17.05.2020
06.05.2021 1
Проверка подлинности на уровне сети (Network-Level Authentication, NLA) позволяет перенести нагрузку с сервера на клиент, сервер не инициирует создание сессии до прохождения проверки подлинности.
На Windows XP проблемы с подключением к RDP серверам на которых включена проверка подлинности. Решается установкой SP3 и дополнительных настроек реестра.
Дополнительно о технологии NLA: http://www.oszone.net/18001/