Cервис управления информационной безопасностью
Cервис управления информационной безопасностью
Поиск
Работа с текстом
Сравнение текстов Генератор паролей IP-калькулятор Base64 Контрольные суммы JSON-форматирование JWT-декодер URL-кодирование CSV/JSON конвертер Конвертер времени Cron-расшифровщик Генератор QR-кодов
Вход Регистрация

Карточка риска

Риски Риск угрозы утечки информации...
Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.
Подробнее
Наш канал
Угроза

Угроза утечки информации

из-за уязвимости

Использование недостатков механизмов разграничения доступа

в Активе

Коммерческая тайна

Описание угрозы

Угроза заключается в возможности противоправного получения либо передачи информации (конфиденциальной, конфигурационной, аутентификационной и др.).
Например, утечка персональных данных вследствие нарушения хранения или нарушения конфигурации.

Описание уязвимости

Механизмы разграничения доступа настроены с недостатками: избыточные права, некорректные разрешения, отсутствие разделения ролей. Позволяет нарушителю обращаться к ресурсам и операциям сверх положенных ему полномочий.

Описание типа актива

Общепринятое наименование данного типа информации - коммерческая тайна.
Регулируется ФЗ "О коммерческой тайне" от 29.07.2004 № 98-ФЗ, который дает следующее определение информации, составляющей коммерческую тайну:
Сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны.
Область действия: Вся организация
Классификация
КЦД: Конфиденциальность ?
STRIDE: Раскрытие информации ?
Источники угрозы
Внешний нарушитель - Низкий потенциал ?
Внутренний нарушитель - Низкий потенциал ?
МУ ФСТЭК: УБИ.1.2.11 УБИ.1.18.1 УБИ.1.18.2 УБИ.1.22.6

Каталоги

БДУ ФСТЭК:
УБИ.028 Угроза использования альтернативных путей доступа к ресурсам ?
Угроза заключается в возможности осуществления нарушителем несанкционированного доступа к защищаемой информации в обход штатных...
УБИ.031 Угроза использования механизмов авторизации для повышения привилегий ?
Угроза заключается в возможности получения нарушителем доступа к данным и функциям, предназначенным для учётных записей с более...
УБИ.122 Угроза повышения привилегий ?
Угроза заключается в возможности осуществления нарушителем деструктивного программного воздействия на дискредитируемый процесс (...
УБИ.213 Угроза обхода многофакторной аутентификации ?
Угроза заключается в возможности обхода многофакторной аутентификации путем внедрения вредоносного кода в дискредитируемую систе...
Новая БДУ ФСТЭК Угрозы:
УБИ.1 Угроза утечки информации ?
Угроза заключается в возможности противоправного получения либо передачи информации (конфиденциальной, конфигурационной, аутенти...
Новая БДУ ФСТЭК Способы реализации:
СП.18.1 Доступ без авторизации ?
СП.18.2 Использование ошибок или отсутствия проверки прав доступа ?
СП.2.11 Использование недостатков, связанных с некорректной настройкой прав доступа ?
СП.22.6 Обход механизмов разграничения доступа ?
Техники МУ ФСТЭК:
T10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках ?
T4.3 Скрытая установка и запуск средств удаленного доступа и управления операционной системы. Внесение изменений в конфигурацию и состав программных и программно-аппаратных средств атакуемой системы или сети, вследствие чего становится возможен многократный запуск вредоносного кода ?
T6.5 Манипуляции с идентификатором сессии, токеном доступа или иным параметром, определяющим права и полномочия пользователя в системе ?
T6.6 Обход политики ограничения пользовательских учетных записей в выполнении групп операций, требующих привилегированного режима ?
T2.8 Использование методов социальной инженерии, в том числе фишинга, для получения прав доступа к компонентам системы ?
T6.8 Эксплуатация уязвимостей, связанных с отдельным, и вероятно менее строгим контролем доступа к некоторым ресурсам для непривилегированных учетных записей ?
T2.10 Несанкционированный доступ путем подбора учетных данных сотрудника или легитимного пользователя ?
T2.11 Несанкционированный доступ путем компрометации учетных данных сотрудника организации ?
T2.14 Доступ путем эксплуатации недостатков систем биометрической аутентификации ?
Название Severity IP Integral
1111111 111 11 1111 11111111111111111 1111111 1 11111111111111111
 - 
1
 - 
11 111111111 111 1111111111111111111111111 1111 1 11111 1111111
 - 
1
 - 

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.