Министерство цифрового развития связи и массовых коммуникаций

Ордена Трудового Красного Знамени

Федеральное государственное бюджетное образовательное учреждение

высшего образования

«МОСКОВСКИЙ ТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ

СВЯЗИ И ИНФОРМАТИКИ»

Кафедра «Информационная безопасность»

Отчёт по лабораторной работе №3

по дисциплине «Методы и средства защиты информации

в компьютерных сетях»

Вариант №22

Выполнили: студенты группы БСТ2104

Ягудин Р.

Эренбург А.

Кривоносов Я.

Антонов С.

Проверили: ассистент Рыбаков С.Ю.

ассистент Раковский Д.И.

Москва, 2024 г.

СОДЕРЖАНИЕ

№ стр.

1. Цель работы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3

2. Ход работы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3

   1. Раздел с 10 основными угрозами безопасности КС сайта OWASP . . 3

   2. Раздел «Новый раздел угроз» сайта БДУ ФСТЭК . . . . . . . . . . . . . . . . 7

   3. Актуализация рекомендаций по повышению защищённости хоста в КС прошлых лабораторных работ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41

3. Вывод . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42

1. Цель работы

Ознакомление и получение первичных практических навыков работы с банком данных угроз (БДУ) ФСТЭК.

2. Ход работы

1. Раздел с 10 основными угрозами безопасности кс сайта owasp

Зайдём в браузер и перейдём по адресу https://owasp.org/www-project-topten/ в раздел с 10 основными угрозами безопасности КС сайта OWASP

Рисунок 1 – Переход в раздел с 10 основными угрозами безопасности КС сайта OWASP

Краткое описание каждой из 10 основных угроз безопасности:

1. A01:2021-Broken Access Control (Нарушение контроля доступа)

Угроза, при которой система плохо контролирует уровни доступа к информации или к своей функциональности. Из-за этого, злоумышленники могут пользоваться функциями, к которым не должны иметь доступа, что может привести к разглашению или утрате конфиденциальной информации, взлому учётных записей пользователей и нарушению целостности данных.

2. A02:2021-Cryptographic Failures (Криптографические ошибки)

Угрозы, возникающие из-за неправильного использования криптографических методов, таких как слабое шифрование, неправильное управление ключами или использование устаревших алгоритмов шифрования.

3. A03:2021-Injection (Инъекции)

Угрозы, возникающие при внедрении злоумышленником вредоносного кода в систему через входные данные, такие как SQL-инъекции, XSS и другие.

4. A04:2021-Insecure Design (Ненадёжный дизайн)

Угрозы, приводящие к уязвимостям в архитектуре и дизайне системы из-за недостаточного планирования и анализа рисков при проектировании (например, отсутствие механизмов защиты от перебора паролей)

5. A05:2021-Security Misconfiguration (Ошибки конфигурации безопасности)

Угрозы, возникающие из-за неправильной настройки систем безопасности (например, неправильное управление правами доступа).

6. A06:2021-Vulnerable and Outdated Components (Уязвимые и устаревшие компоненты)

Угроза, связанная с использованием устаревшего или уязвимого ПО, которое может быть эксплуатировано злоумышленником для проникновения в систему.

7. A07:2021-Identification and Authentication Failures (Ошибки идентификации и аутентификации)

Угрозы, связанные с неправильной проверкой подлинности пользователей, включая слабые пароли, отсутствие многофакторной аутентификации и неправильное управление учётными записями.

8. A08:2021-Software and Data Integrity Failures (Ошибки целостности программного обеспечения и данных)

Угрозы, возникающие при нарушении целостности ПО и данных (внедрение вредоносного ПО, подделка кода и другие).

9. A09:2021-Security Logging and Monitoring Failures (Ошибки логирования и мониторинга безопасности)

Угрозы, возникающие при недостаточном или отсутствующем контроле за логированием и мониторингом безопасности, что не позволяет своевременно обнаружить или реагировать на атаки.

10. A10:2021-Server-Side Request Forgery (Подделка серверных запросов)

Угроза, возникающая при действиях злоумышленника заставить сервер делать запросы на другие ресурсы, такие как внутренние системы или внешние сайты, что может привести к утечке данных.

Продублируем таблицу сводного перечня потенциальных векторов атак на хост КС, полученную в ходе выполнения ЛР №2, добавив столбец «номер основной угрозы безопасности OWASP» и присвоив каждому потенциальному вектору атаки минимум одну основную угрозу безопасности OWASP.

Таблица 1 – Сводный перечень потенциальных векторов атак на хост КС39

№	Способ проникновения в целевую КС	Способ, через который может быть реализовано проникновение в КС	Способ закрепления злоумышленника в КС	Последствия атаки	Номер основной угрозы безопасности OWASP
1	Перехват сеанса (Программное обеспечение → Эксплуатация доверенных идентификаторов → Перехват сеанса)	Поиск и захват токена сеанса в незашифрованном трафике	Уязвимость BDU:2021-03361	Компрометация сеансов связи	A01:2021-Broken Access Control; A02:2021-Cryptographic Failures
2	Атака на целостность программного обеспечения (Социальная инженерия → Атака на целостность программного обеспечения)	Инициирование злоумышленником выполнение действий, которые подрывают целостность программного кода	Уязвимости BDU:2021-00213, BDU:2018-00532, BDU:2018-00341, BDU:2018-00339, BDU:2018-00336, BDU:2021-00501, BDU:2018-00449	Удалённое выполнение кода	A03:2021-Injection; A08:2021-Software and Data Integrity Failures
3	Целевой фишинг (Социальная инженерия → Фишинг → Целевой фишинг)	Отправка зараженного письма на электронную почту	Уязвимости BDU:2017-01816, BDU:2018-00133	Раскрытие конфиденциальной информации	A03:2021-Injection
4	Вредоносное ручное обновление ПО (Социальная инженерия → Атака на целостность программного обеспечения → Обновление вредоносного ПО → Вредоносное ручное обновление ПО)	Внедрение вредоносного кода в систему	Уязвимости BDU:2018-00235, BDU:2018-00480	Отказ в обслуживании	A03:2021-Injection; A06:2021-Vulnerable and Outdated Components
5	Подрыв средств подписи кода (Программное обеспечение → Повышение привилегий → Подрыв средств подписи кода)	Подрыв механизма подписи кода	Уязвимости BDU:2019-04385, BDU:2021-00390	Повышение привилегий	A01:2021-Broken Access Control; A05:2021-Security Misconfiguration
6	Использование доверия клиента (Связь → Использование доверия клиента)	Использование злоумышленником уязвимости в аутентификации канала связи клиент/сервер и целостности данных	Уязвимости BDU:2022-00005, BDU:2022-05898, BDU:2020-05744	Нарушение достоверности данных	A01:2021-Broken Access Control; A07:2021-Identification and Authentication Failures; A10:2021-Server-Side Request Forgery