Несоответствующий доступ к ресурсам кс

Чтобы предотвратить компрометацию безопасности ресурса (то есть разрушение ресурса, или уменьшение его доступности), нужно разрешать использовать этот ресурс только тем, кому требуется использование ресурса. Несоответствующий доступ происходит, когда пользователь, законный или неавторизованный, получает доступ к ресурсу, который пользователю не разрешено использовать.

Несоответствующий доступ может происходить просто потому, что права доступа пользователей к ресурсу не назначены должным образом. Однако, несоответствующий доступ может также происходить потому, что механизм управления доступом или механизм назначения привилегий обладают недостаточной степенью детализации. В этих случаях единственный способ предоставить пользователю необходимые права доступа или привилегии для выполнения определенной функции состоит в том, чтобы предоставлять пользователю больше доступа, чем необходимо, или больше привилегий, чем необходимо.

Несоответствующий доступ к ресурсам КС может происходить при использовании следующих типов уязвимых мест:

• использование при назначении прав пользователям по умолчанию таких системных установок, которые являются слишком разрешающими для пользователей,

• неправильное использование привилегий администратора или менеджера КС,

• данные, хранящиеся с неадекватным уровнем защиты или вообще без защиты,

• недостаточное или неправильное использование механизма назначения привилегий для пользователей,

• ПК, на которых не используют никакого контроля доступа на уровне файлов.

Раскрытие данных

Некоторые из хранящихся или обрабатываемых в КС данных могут требовать некоторого уровня конфиденциальности. Раскрытие данных или программного обеспечения КС происходит, когда к данным или программному обеспечению осуществляется доступ, при котором они читаются и, возможно, разглашаются некоторому лицу, которое не имеет доступа к данным. Это может производиться кем-либо путем получения доступа к информации, которая не зашифрована, или путем просмотра экрана монитора или распечаток информации.

Компрометация данных КС может происходить при использовании следующих типов уязвимых мест:

• неправильные установки управления доступом,

• данные, которые считаются достаточно критичными, чтобы нужно было использовать шифрование, но хранятся в незашифрованной форме,

• исходные тексты приложений, хранимые в незашифрованной форме,

• мониторы, находящиеся в помещениях, где много посторонних людей

• станции печати, находящиеся в помещениях, где много посторонних людей

• резервные копии данных и программного обеспечения, хранимые в открытых помещениях.

Неавторизованная модификация данных и программ

Поскольку пользователи КС разделяют данные и приложения, изменения в этих ресурсах должны быть управляемы. Неавторизованная модификация данных или программного обеспечения происходит, когда в файле или программе производятся неавторизованные изменения (добавление, удаление или модификации).

Неавторизованная модификация данных и программного обеспечения может происходить при использовании следующих типов уязвимых мест:

• разрешение на запись, предоставленное пользователям, которым требуется только разрешение на доступ по чтению,

• необнаруженные изменения в программном обеспечении, включая добавление кода для создания программы троянского коня,

• отсутствие криптографической контрольной суммы критических данных,

• механизм привилегий, который позволяет избыточное разрешение записи,

• отсутствие средств выявления и защиты от вирусов,