Каталоги
В сервис интегрированы наиболее популярные публичных базы знаний:
- Сертификаты СЗИ - Государственный реестр сертифицированных средств защиты информации опубликованный Федеральной службой по техническому и экспортному контролю, может быть использован для контроля актуальности используемых СЗИ в организации.
- CVE уязвимости - общедоступная публичная база уязвимостей Common Vulnerabilities and Exposures (CVE). Миссия программы CVE заключается в выявлении, определении и каталогизации публично раскрываемых уязвимостей в сфере кибербезопасности. Для каждой уязвимости в каталоге существует одна запись CVE. Уязвимости обнаруживаются, затем присваиваются и публикуются организациями по всему миру, которые сотрудничают с программой CVE. Партнеры публикуют записи CVE для единообразного описания уязвимостей. Специалисты в области информационных технологий и кибербезопасности используют записи CVE, чтобы убедиться, что они обсуждают одну и ту же проблему, и координировать свои усилия по определению приоритетности и устранению уязвимостей.
- БДУ ФСТЭК уязвимости - раздел Уязвимости Банка данных уязвимостей опубликованная Федеральной службой по техническому и экспортному контролю совместно с Государственным научно-исследовательским испытательным институтом проблем технической защиты информации. Одной из целей создания банка данных угроз безопасности информации является объединение специалистов в области информационной безопасности для решения задач повышения защищенности информационных систем.
- НКЦКИ уязвимости - общедоступная публичная база уязвимостей Национального координационного центра по компьютерным инцидентам (НКЦКИ), обеспечивающего координацию деятельности субъектов КИИ по обнаружению, предупреждению, ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты.
- MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках. Это основанная на реальных наблюдениях база знаний компании Mitre, содержащая описание тактик, приемов и методов, используемых киберпреступниками. База создана в 2013 году и регулярно обновляется, цель – составление структурированной матрицы используемых киберпреступниками приемов, чтобы упростить задачу реагирования на киберинциденты.
- БДУ ФСТЭК и Новая БДУ ФСТЭК – раздел Угрозы Банка данных угроз, опубликованный в 2015 году Федеральной службой по техническому и экспортному контролю и Государственным научно-исследовательским испытательным институтом проблем технической защиты информации, обязателен при моделировании угроз при построении систем защиты персональных данных, критической информационной инфраструктуры, государственных информационных систем.
CVE, БДУ ФСТЭК и НКЦКИ
Каталоги CVE уязвимости, БДУ ФСТЭК уязвимости и НКЦКИ уязвимости предоставляют дополнительный контент и обогащают информацией описание уязвимостей от сканеров в модуле Технические уязвимости.
Интерфейс каталогов идентичен и содержит следующие блоки:
- Метрики:
- Найденные уязвимости – отображает количество найденных в отчетах от сканеров уязвимостей которые связаны с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей);
- Уязвимые хосты – отображает количество хостов на которых обнаружены уязвимости связанные с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей).
- Табличную часть Каталог уязвимостей:
- Фильтр по полю Идентификатор - особенностью данного фильтра является автоматический разбор текста с последующим извлечением из текста идентификаторов. Для этого необходимо вставить произвольный текст с идентификаторами в поле и добавить в фильтр через кнопку плюс;
- Табличную часть с полями для каталогов CVE и БДУ ФСТЭК:
- Идентификатор - id уязвимости в базе уязвимостей;
- Описание - текстовое описание уязвимости;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- CVSS - числовая оценка уязвимости согласно источнику, с указанием даты выявления уязвимости экспертами, оценка отображается цветом согласно оценке CVSS 0.1 – 3.9 Low Зеленый,
4.0 – 6.9 Medium Желтый, 7.0 – 8.9 High Оранжевый, 9.0 – 10.0 Critical Красный.
- Табличную часть с полями для каталогов CVE :
- Дата бюллетеня - информация о дате публикации бюллетеня содержащего уязвимости;
- Идентификатор - id уязвимости в базе уязвимостей;
- Информация - текстовое описание уязвимости;
- Вектор атаки - локальный или сетевой вектор атаки;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- Наличие обновления - - флаг, данный статус отображается если база уязвимостей содержит информацию о наличии обновлений от производителя уязвимого ПО;
- Дата выявления - даты выявления уязвимости экспертами.
- Чекбокс «Только обнаруженные уязвимости» - устанавливает фильтр на табличную часть для отображения только обнаруженные уязвимости.
- Функционал для экспорта всех уязвимостей каталога.
- Для каталога добавляется функционал Варианты отображения:
- Бюллетени - изменяет отображение табличной части на реестр бюллетеней, отображает общее количество уязвимостей в бюллетени в поле Уязвимостей в бюллетени и статус по обнаружению в поле Обнаружено - данный статус отображается если хотя бы одна уязвимость из бюллетеня обнаружена в инфраструктуре.
- Уязвимости.
MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК
Данные из каталогов MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК могут использоваться для контекстного наполнения риска в модуле Риски.
Каждый из указанных каталогов сформирован по собственной схеме данных, которая не соответствует подходу оценки риска, используемому в сервисе. Но в основе своей указанные базы описывают все те же риски информационной безопасности, каждый под своим углом. Поэтому они добавлены в сервис и как отдельные компоненты и как основа для создания рисков, угроз или уязвимостей.
Каталоги могут использоваться в сервисе с целью:
- Облегчения процесса формирования рисков, угроз и уязвимостей;
- Обогащения информации по рискам (угрозам, уязвимостям) созданным в сервисе.
- Взгляда на компанию и оценку рисков через публичные каталоги угроз.
Сервис позволяет установить связь между объектами из каталогов и 3 типами объектов сервиса: угрозами, уязвимостями или рисками безопасности:
- Уязвимости могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK и способами реализации Новой БДУ ФСТЭК.
- Угрозы могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами и последствиями Новой БДУ ФСТЭК.
- Риски могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами, способами реализации и последствиями Новой БДУ ФСТЭК.
Такой широкий выбор возможных связей сделан потому, что объекты из каталогов угроз могут быть или угрозой или уязвимостью в контексте сервиса.
Например, УБИ.004 Угроза аппаратного сброса пароля BIOS из БДУ ФСТЭК в контексте сервиса является уязвимостью, особенностью активов типа Микропрограммное обеспечение, которая может привести к реализации угрозы Несанкционированного локального доступа к BIOS.
В большинстве случаев угрозы из БДУ ФСТЭК и техники из MITRE ATT@CK являются именно уязвимостями, использование которых ведет к реализации угроз безопасности, но бывают и исключения.
Для рисков, угроз и уязвимостей из базы Community связи с каталогами угроз уже установлены.
Связь с каталогом угроз может быть прямой или косвенной. Например, если уязвимость связана с угрозой из БДУ ФСТЭК то и все риски, в составе которых есть данная уязвимость будут автоматически связаны с угрозой из БДУ ФСТЭК.
Каталог БДУ ФСТЭК - это реестр рисков от банка данных угроз безопасности информации ФСТЭК России.
Каждая угроза содержит описание, рекомендации к каким типам активов может быть применена эта угроза, классификация по свойствам информации и вероятные источники угрозы. Дополнительно в блоке Связанные риски указаны связанные риски, а в блоке Каталоги указываются связи с записями из других каталогов.
Каталог Новая БДУ ФСТЭК от банка данных угроз безопасности информации ФСТЭК России содержит:
- матрицу Способы реализации (возникновения угроз) - каждая ячейка которых содержит описание поверхности атаки: группу способов, уровень возможностей нарушителя, возможные реализуемые угрозы, компоненты объектов воздействия, возможные меры защиты;
- Негативные последствия - перечень негативных последствий в классификации ФСТЭК в виде кода и описания;
- Угрозы - реестр угроз с описанием, каждая угроза содержит возможные объекты воздействия и возможные способы реализации угроз;
- Объекты - перечень объектов последствий с описанием и компонентами которые могут входить в состав объекта;
- Компоненты - перечень компонентов объектов воздействия с указанием объектов воздействия на которых они могут располагаться;
- Нарушители - уровни возможностей нарушителей классифицированные по возможностям и компетенции;
- Меры защиты - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя.
Каталог MITRE ATT&CK содержит:
- Матрица - содержит тактики и техники злоумышленника, позволяет на основании тактики или техники создать риск или уязвимость, в матрице указаны связи с рисками в базе Community и с рисками в базе команды;
- Тактики - направления действия нарушителя на том или ином этапе cyberkillchane;
- Техники - конкретные действия нарушителя для достижения цели на конкретном шаге cyberkillchane;
- Контрмеры - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя;
- Преступные группы - описание APT группировок и их особенности и модель поведения;
- Инструменты - ПО используемое нарушителями для вредоносного воздействия.
Матрицы могут использоваться для построения тепловой карты рисков наложенных на матрицы угроз и уязвимостей.
Сертификаты СЗИ
Каталог Сертификаты СЗИ может быть использован в модуле Активы как источник информации для поля Номер сертификата СЗИ. В модуле активов есть возможность вести реестр СЗИ используемых в организации, в свою очередь каталог сертификатов СЗИ позволяет связать актив с каталогом через поле актива Номер сертификата СЗИ.
Каталог Сертификаты СЗИ содержит реестр с информацией о номере сертификата, сроке действия сертификата и сроке поддержки СЗИ. Кроме реестра каталог содержит следующие метрики:
- Имеющиеся СЗИ - отображает количество активов у которых заполнено поле Номер сертификата СЗИ;
- Скоро будут просрочены - отображает количество активов у которых срок действия сертификата меньше 90 календарных дней;
- Просроченные сертификаты - отображает количество активов у которых срок действия сертификата уже истек;
- Истекшая поддержка - отображает количество активов у которых срок действия сертификата уже истек.
Каждая метрика ведёт в реестр активов и выводит список СЗИ, отфильтрованный по соответствующим параметрам.
Нажав на просмотр сертификата, мы увидим карточку сертификата, сервис хранит информацию о следующих данных:
- Номер сертификата;
- Дата внесения в реестр;
- Срок действия сертификата;
- Срок окончания тех. поддержки;
- Наименование средства (шифр);
- Схема сертификации;
- Испытательная лаборатория;
- Орган по сертификации;
- Заявитель;
- Наименования документов соответствия;
- Реквизиты заявителя.
Реестр обновляется автоматически один раз в месяц.
Куда я попал?
CWE-916
Password Hash With Insufficient Computational Effort
Идентификаторы ФСТЭК уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| BDU:2017-02199 | Уязвимость файла конфигурации "ACTConfig" средства контроля и конфигурирования энергоустановок ABB PCM600, позволяющая нарушителю расшифровать пароль и получить доступ к основному приложению |
| BDU:2020-04451 | Уязвимость реализации технологии Intel Converged Security and Manageability Engine, связанная с недостаточным вычислением хеша пароля, позволяющая нарушителю повысить свои привилегии, раскрыть защищаемую информацию или вызвать отказ в обслуживании |
| BDU:2021-02290 | Уязвимость SCADA системы ОИК Диспетчер НТ, связанная с недостатками используемых криптографических алгоритмов, позволяющая нарушителю восстановить данные пользователя и повысить привилегии в системе |
| BDU:2021-02298 | Уязвимость коммуникационного сервера GateManager, связанная с недостаточным вычислением хеша пароля, позволяющая нарушителю просматривать пароли пользователей |
| BDU:2022-02204 | Уязвимость операционных систем PAN-OS, связанная с недостаточным вычислением хэша пароля, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2022-03906 | Уязвимость реализации технологии Bluetooth Low Energy (BLE) микропрограммного обеспечения камеры для видеоконференций Meeting Owl Pro, позволяющая нарушителю подобрать пароли |
| BDU:2022-04212 | Уязвимость микропрограммного обеспечения модулей станций автоматизации Desigo DXR2, PXC3, PXC4, PXC5, связанная с недостаточным вычислением хэша пароля, позволяющая нарушителю получить доступ к устройству с помощью перехвата токена авторизации |
| BDU:2022-06156 | Уязвимость программного комплекса Valmet System 2019 (Metso DNA), связанная с небезопасным использование криптографических алгоритмов, позволяющая нарушителю реализовать атаку "человек посередине" |
| BDU:2023-00638 | Уязвимость компонентов Redfish и API микропрограммного обеспечения контроллеров удаленного управления AMI MegaRAC, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2023-05900 | Уязвимость SCADA-системы InPlant SCADA, связанная с недостаточным вычислением хэша пароля, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2024-04631 | Уязвимость интерфейса командной строки операционных систем FortiOS и прокси-сервера для защиты от интернет-атак FortiProx, позволяющая нарушителю расшифровать файл резервной копии |
| BDU:2024-06544 | Уязвимость централизованной системы по управлению идентификацией пользователей FreeIPA, связанная с недостаточным вычислением хэша пароля, позволяющая нарушителю повысить свои привилегии |
| BDU:2024-07326 | Уязвимость функции верификации пароля языка программирования PHP, связанная с недостаточным вычислением хеша пароля, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2025-00891 | Уязвимость компонента Firebird программного обеспечения "Популяционный раковый регистр" и "Госпитальный раковый регистр", позволяющая нарушителю повысить свои привилегии до уровня системного администратора |
| BDU:2025-08230 | Уязвимость приложения Device Admin App операционной системы ctrlX OS, позволяющая нарушителю восстановить пароли других пользователей |
| BDU:2025-09156 | Уязвимость платформы управления устройствами систем отопления, вентиляции и кондиционирования воздуха, освещения и энергопотребления Niagara Framework и средства контроля доступа и обеспечения безопасности Niagara Enterprise Security, связанная с нед... |
Идентификаторы CVE уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| CVE-2014-2354 | Cogent DataHub Use of Password Hash With Insufficient Computational Effort |
| CVE-2018-10618 | Davolink DVW-3200N all version prior to Version 1.00.06. The device generates a weak password hash that is easily cracked, al... |
| CVE-2018-13811 | A vulnerability has been identified in SIMATIC STEP 7 (TIA Portal) (All Versions < V15.1). Password hashes with insufficient... |
| CVE-2018-15717 | Open Dental before version 18.4 stores user passwords as base64 encoded MD5 hashes. |
| CVE-2020-10040 | A vulnerability has been identified in SICAM MMU (All versions < V2.05), SICAM SGU (All versions), SICAM T (All versions < V2... |
| CVE-2020-12069 | CODESYS V3 prone to Inadequate Password Hashing |
| CVE-2020-14389 | It was found that Keycloak before version 12.0.0 would permit a user with only view-profile role to manage the resources in t... |
| CVE-2020-14512 | USE OF PASSWORD HASH WITH INSUFFICIENT COMPUTATIONAL EFFORT CWE-916 |
| CVE-2020-14516 | In Rockwell Automation FactoryTalk Services Platform Versions 6.10.00 and 6.11.00, there is an issue with the implementation... |
| CVE-2020-16231 | All Bachmann M1 System Processor Modules - Use of Password Hash with Insufficient Computational Effort |
| CVE-2020-6780 | Password Hash With Insufficient Computational Effort in the Database of Bosch FSM-2500 Server and Bosch FSM-5000 Server |
| CVE-2021-22741 | Use of Password Hash with Insufficient Computational Effort vulnerability exists in ClearSCADA (all versions), EcoStruxure Ge... |
| CVE-2021-32519 | QSAN Storage Manager, XEVO, SANOS - Use of Password Hash With Insufficient Computational Effort |
| CVE-2021-32997 | Baker Hughes Bently Nevada 3500 - Use of Password Hash with Insufficient Computational Effort |
| CVE-2021-33003 | Delta Electronics DIAEnergie Version 1.7.5 and prior may allow an attacker to retrieve passwords in cleartext due to a weak h... |
| CVE-2021-38400 | Use of Password Hash with Insufficient Computational Effort for Boston Scientific Zoom Latitude |
| CVE-2021-39182 | Use of Password Hash With Insufficient Computational Effort and Use of a Broken or Risky Cryptographic Algorithm and Reversib... |
| CVE-2021-43989 | mySCADA myPRO |
| CVE-2022-0022 | PAN-OS: Use of a Weak Cryptographic Algorithm for Stored Password Hashes |
| CVE-2022-1235 | Weak secrethash can be brute-forced in livehelperchat/livehelperchat |
| CVE-2022-24041 | A vulnerability has been identified in Desigo DXR2 (All versions < V01.21.142.5-22), Desigo PXC3 (All versions < V01.21.142.4... |
| CVE-2022-26115 | A use of password hash with insufficient computational effort vulnerability [CWE-916] in FortiSandbox before 4.2.0 may allow... |
| CVE-2022-40258 | Weak password hashes for Redfish & API |
| CVE-2022-40295 | Authenticated sensitive information disclosure in PHP Point of Sale version 19.0, by PHP Point of Sale, LLC. |
| CVE-2022-47557 | Use of Password Hash With Insufficient Computational Effort in Ormazabal products |
| CVE-2023-27580 | CodeIgniter Shield Password Shucking Vulnerability |
| CVE-2023-34433 | PiiGAB M-Bus Use of Password Hash With Insufficient Computational Effort |
| CVE-2023-46133 | crypto-es PBKDF2 1,000 times weaker than specified in 1993 and 1.3M times weaker than current standard |
| CVE-2023-46233 | crypto-js PBKDF2 1,000 times weaker than specified in 1993 and 1.3M times weaker than current standard |
| CVE-2023-4986 | Supcon InPlant SCADA Project.xml unknown vulnerability |
| CVE-2023-5846 | Use of Password Hash With Insufficient Computational Effort in Franklin Fueling System TS-550 |
| CVE-2024-21754 | A use of password hash with insufficient computational effort vulnerability [CWE-916] affecting FortiOS version 7.4.3 and bel... |
| CVE-2024-2365 | Musicshelf SHA-1 PinningTrustManager.java weak password hash |
| CVE-2024-24553 | Bludit uses SHA1 as Password Hashing Algorithm |
| CVE-2024-25607 | The default password hashing algorithm (PBKDF2-HMAC-SHA1) in Liferay Portal 7.2.0 through 7.4.3.15, and older unsupported ver... |
| CVE-2024-29886 | Improved security for stored password hashes |
| CVE-2024-3183 | Freeipa: user can obtain a hash of the passwords of all domain users and perform offline brute force |
| CVE-2024-5743 | Command Injection Vulnerability |
| CVE-2024-7701 | Misuse of SHA256 to create an encryption key |
| CVE-2025-2265 | Santesoft Sante PACS Server HTTP.db SHA1 Hash Truncation |
| CVE-2025-2349 | IROAD Dash Cam FX2 Password Hash passwd weak password hash |
| CVE-2025-26486 | Broken or Risky Cryptographic Algorithm, Use of Password Hash With Insufficient Computational Effort, Use of Weak Hash, Use... |
| CVE-2025-27551 | DBIx::Class::EncodedColumn until 0.00032 for Perl uses insecure rand() function for salting password hashes in Digest.pm |
| CVE-2025-27552 | DBIx::Class::EncodedColumn until 0.00032 for Perl uses insecure rand() function for salting password hashes in Crypt/Eksblowf... |
| CVE-2025-3937 | Use of Password Hash with Insufficient Computational Effort |
| CVE-2025-46413 | Use of password hash with insufficient computational effort issue exists in BUFFALO Wi-Fi router 'WSR-1800AX4 series'. When W... |
| CVE-2025-7789 | Xuxueli xxl-job Token Generation IndexController.java makeToken weak password hash |
НКЦКИ уязвимости
Бюллетени НКЦКИ - уязвимости ПО
| Идентификатор | Дата бюллетеня | Описание |
|---|---|---|
| VULN:20231103-1 | 03.11.2023 | Получение конфиденциальной информации в Franklin Electric TS-550 |
| VULN:20250326-21 | 26.03.2025 | Получение конфиденциальной информации в Sante PACS Server |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.