Карточка уязвимости

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Возможность очистки или отключения журналов аудита с правами администратора

Привилегированная учётная запись может удалить или очистить журналы событий (например, wevtutil cl, удаление файлов .evtx) либо отключить политику аудита. Ведение журналов не защищено от вмешательства локального администратора.

Каталоги

БДУ ФСТЭК:

УБИ.124 Угроза подделки записей журнала регистрации событий

Угроза заключается в возможности внесения нарушителем изменений в журналы регистрации событий безопасности дискредитируемой сист...

Техники ATT&CK:

T1070.001 Indicator Removal: Clear Windows Event Logs

T1562.002 Impair Defenses: Disable Windows Event Logging

Техники МУ ФСТЭК:

T7.2 Очистка/затирание истории команд и журналов регистрации, перенаправление записей в журналы регистрации, переполнение истории команд и журналов регистрации, затруднение доступа к журналам регистрации для авторизованных пользователей

T7.4 Отключение средств защиты от угроз информационной безопасности, средств антивирусной защиты, механизмов аудита, консолей оператора мониторинга и средств защиты других типов

Связанные риски

Риск	Связи
Подделка или уничтожение записей журналов регистрации событий из-за возможности очистки или отключения журналов аудита с правами администратора в операционной системе Целостность Отрицание Искажение	1

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.