Продлен сертификат соответствия ФСТЭК России №3509 на Enterprise Security Suite. ФСТЭК России Олег Василенко Россия. Основным источником информации об угрозах станет БДУ ФСТЭК, а также базовые и типовые модели угроз безопасности.
Мы выявили пять уязвимостей в Websoft HCM
и ИБ-департаменты в российских компаниях и учреждениях. Методический документ должен применяться совместно с банком данных угроз безопасности информации ФСТЭК России (). Главная страница:: Новости:: Центр безопасности информации представил доклад на XIV конференции "Актуальные вопросы защиты информации", проводимой ФСТЭК России в рамках. Документы» отражена информация об угрозах, способах их реализации, техниках и тактиках злоумышленников, выгруженная из банка данных угроз безопасности информации (БДУ) ФСТЭК.
UDV DATAPK Industrial Kit
| Купить Сканер-ВС, цена лицензий, сертификат ФСТЭК | г) включения в банк данных угроз безопасности информации ФСТЭК России () сведений о новых угрозах безопасности информации, сценариях (тактиках, техниках) их реализации. |
| Код Безопасности - лидер в области средств защиты информации | Разберем новый методический документ «Руководство по организации процесса управления уязвимостями в органе (организации)» от ФСТЭК0:06 область применения0:41. |
| Сергей Борисов - exclusive content on Boosty | Обзор приказа ФСТЭК России от 29.04.2021 г. № 77. НОВОСИБИРСК, 26 окт – РИА Новости. Российские разработчики ПО не соблюдают регламенты ФСТЭК в части скорости реагирования на обнаруженные уязвимости. Новые угрозы в БДУ ФСТЭК. |
| Обновления базы уязвимостей “Сканер-ВС” – Система комплексного анализа защищенности "Сканер-ВС" | Новости по тегу фстэк россии, страница 1 из 4. |
Мы выявили пять уязвимостей в Websoft HCM
Уязвимость актуальна для всех версий до 2020. Уязвимость возникает в случаях, когда приложение использует недоверенные пользовательские данные в качестве пути к запрашиваемому файлу без проведения необходимых проверок. Уязвимости подвержены версии продукта до 2022. Websoft HCM. Для проведения атаки необходимо спровоцировать жертву перейти по специальной ссылке. Уязвимость затрагивает версии до 2022.
Несмотря на то что разработчик уже выпустил обновление, не все компании готовы оперативно переходить на новую версию продукта.
Прежде всего, Банк данных угроз безопасности — это сведения об основных угрозах и уязвимостях, которые характерны для автоматизированных систем управления, государственных информационных систем, а с недавних пор применимы и для информационных систем персональных данных. Банк угроз ФСТЭК содержит, помимо названия и кода угрозы, её краткое описание, вероятные источники, объекты воздействия и, конечно, последствия, которые повлечёт за собой реализация угрозы.
Банк угроз ФСТЭК: содержимое Банк данных не структурирован в нём нет иерархической структуры , тем не менее угрозы классифицированы по нарушителям, которые могут ими воспользоваться, а также последствиям, которые использование этих угроз может повлечь нарушение конфиденциальности, целостности или доступности информации. К примеру, мы можем воспользоваться поиском и найти угрозы целостности данных, которые исходят от внутренних нарушителей с высоким потенциалом к реализации угроз: Перейдя по названию, мы можем получить подробности конкретной угрозы: Конечно, список, содержащийся в банке, не исчерпывающий, но он постоянно дополняется и обновляется. В его создании принимают участие ряд крупных компаний в сфере информационной безопасности, а также множество частных исследователей, которые пользуются встроенной формой обратной связи на сайте.
Это означает, что одной записи из базы данных Secunia может соответствовать множество различных CVE-идентификаторов. В настоящее время база данных Secunia Research содержит приблизительно 75 тысяч записей об уязвимостях, обнаруженных начиная с 2003 года. Бесплатный доступ к Secunia Advisories производится только на условиях некоммерческого использования предоставленной информации и только в формате html по всей видимости, это делается для того, чтобы затруднить автоматизированное извлечение информации из базы. Для коммерческого использования доступ к базе данных от Secunia Research предоставляется посредством специализированного средства Software Vulnerability Manager и соответствующей подписки на сервис компании Flexera, которой и принадлежит с 2015 года Secunia Research. Каждая запись в базе VND агрегирует информацию о множестве сходных уязвимостей для какого-либо конкретного ПО, ссылаясь на множество соответствующих CVE идентификаторов. Данные характеристики базы VND относятся к числу ее сильных сторон и дополняются разрешением на бесплатное использование всех материалов базы для любых целей и возможностью полного скачивания всех записей базы в формате JSON с помощью специального бесплатно предоставляемого программного обеспечения.
Недостатками базы VND являются редкие обновления единицы раз в месяц и слабый охват всех существующих уязвимостей в том числе даже зарегистрированных в CVE List , что существенно ограничивают полезность данного каталога уязвимостей для оперативного реагирования на новые уязвимости ПО. В частности, в настоящий момент в базе зарегистрировано лишь около 3,5 тысяч записей, и по состоянию на март 2018 года было опубликовано лишь пять новых записей. Exploit Database Альтернативным подходом к каталогизации информации об обнаруженных уязвимостях ПО является регистрация не самих уязвимостей, а сценариев их эксплуатации эксплойтов, exploits или примеров эксплуатации уязвимости Proof of Concept. База Exploit Database на настоящий момент содержит порядка 39 тысяч записей, разбитых на различные категории эксплойты для веб-приложений, удаленной и локальной эксплуатации уязвимостей, примеры атак Denial of Service и исполнимые фрагменты кода shellcode для различных уязвимостей переполнения стека или доступа к памяти. Данные записи покрывают множество уязвимостей, обнаруженных с 2000 года по настоящее время. Типичная запись в базе Exploit Database содержит краткое описание уязвимости, указание уязвимых версий приложений или их компонентов, уязвимую программную платформу операционную систему или фреймворк веб-приложения , CVE-идентификатор, присвоенный данной уязвимости при его наличии , и ссылки на сторонние источники информации об уязвимости.
Однако самая важная и содержательная часть записи — это детальное описание самих причин возникновения уязвимости, места локализации уязвимости в коде с непосредственной демонстрацией уязвимого фрагмента кода, если код приложения публично доступен и описание работоспособных сценариев эксплуатации уязвимостей или сценариев Proof of Concept PoC. Кроме этого, поддерживается архив уязвимых версий приложений для того, чтобы исследователи, использующие базу Exploit Database, имели возможность воспроизвести наличие уязвимости и проверить работоспособность нацеленного на нее эксплойта. Наибольшую пользу подобные базы с эксплойтами и PoC-сценариями могут принести специалистам, занятым тестированием компьютерных сетей на проникновение, в составе инструментальных средств проверки наличия уязвимостей в исследуемых сетях. Также доступные в базе эксплойты могут быть использованы в качестве дидактического материала для начинающих исследователей и специалистов в области информационной безопасности в рамках образовательного процесса или повышения квалификации. Наконец, подобная база с набором работоспособных сценариев эксплуатации уязвимостей для веб-приложений и удаленной эскалации привилегий могла бы быть полезна и в качестве источника информации для компаний, занятых разработкой сигнатурных систем обнаружения атак и подобных средств мониторинга трафика. Однако в этом случае использование информации может быть затруднено в силу отсутствия в Exploit Database интерфейса для получения обновлений базы, возможностей для скачивания рхива всех записей и, в некоторых случаях, соглашениями об использовании предоставляемых материалов.
Агрегаторы информации об уязвимостях Разнообразие различных реестров и баз данных уязвимостей их общее число в несколько раз больше, чем было рассмотрено в статье вызывает у специалистов в области информационной безопасности в первую очередь, разработчиков средств защиты, специалистов по тестированию на проникновение и исследователей, ищущих и изучающих новые уязвимости ПО естественное желание использовать различного рода агрегаторы информации, которые бы обеспечивали автоматизированный сбор доступной информации об уязвимостях и дополнительные функции поиска и фильтрации интересующей информации. Подобного рода агрегаторы информации об уязвимостях существуют и представлены различного рода сервисами, начиная от специализированного агрегатора CVE-релевантной информации и до агрегатора с интерфейсом полноценной поисковой машины, адаптированной под предметную область. Фактическим функционалом данного сервиса является автоматизация поиска всей доступной информации по CVE-идентификатору с дополнительными функциями поиска по вендорам, типам уязвимостей, оценке критичности по метрикам CVSS и т. Также реализованы сбор и хранение различного рода статистики по уязвимостям, например, распределение уязвимостей по степени критичности согласно метрике CVSS , распределение уязвимостей по вендорам ПО и др. Что касается интерфейса, то CVEDetails в целом ориентирован на компактное и удобное для восприятия человеком табличное представление данных, а для автоматизированных систем поддерживает формирование RSS-подписки в формате JSON для получения обновленных данных об уязвимостях выбранных категорий, например, для всех новых уязвимостей класса SQL-инъекций или XSS. Интересным примером другого подхода является Vulners — разработанный российскими специалистами и весьма популярный среди экспертов в области информационной безопасности сервис с собственной базой данных, предназначенный для поиска информации по самым разным материалам в области информационной безопасности включая публикации на тематических ресурсах, бюллетени вендоров, информацию о мероприятиях Bug Hunting и специалистах, непосредственно обнаруживших уязвимости и др.
Фактически Vulners представляет собой поисковый движок с собственной базой данных, адаптированный под предметную область. Таким образом он покрывает гораздо более широкое множество сущностей, чем простые агрегаторы уязвимостей. В настоящее время база данных Vulners агрегировала в себя порядка 870 тысяч записей об уязвимостях и примерно 170 тысяч записей об известных эксплойтах. По данному массиву информации возможны поиск по ключевым словам и фильтрация результатов как по источнику информации организации, опубликовавшей запись об уязвимости , так и по дате публикации записи, CVSS-оценке критичности уязвимости и другим подобным параметрам.
Более подробно о продукте можно узнать в посвящённом ему разделе сайта производителя. Данный продукт обладает следующими характерными особенностями: Обнаружение узлов сети и сканирование на предмет уязвимостей операционных систем, общесистемного и прикладного ПО. Выявление уязвимостей и слабых конфигураций в серверах приложений и веб-серверах. Контроль конфигураций и оценка соответствия политикам и стандартам безопасности. Сканирование в режиме «Пентест», сетевые проверки и сканирование портов. Проведение аудита парольной политики и подбор паролей.
Инвентаризация сети для получения детальной информации об аппаратных и программных средствах. Контроль целостности с выбором алгоритма контрольного суммирования. Контроль изменений в системе. Управление обновлениями для общесистемного ПО. Рисунок 3. Схема работы сканера защищённости RedCheck Ещё одной ключевой особенностью сканера RedCheck является его работа с унифицированным SCAP-контентом обновления, уязвимости, конфигурации, политики безопасности , получаемым из собственного репозитория OVALdb. Это — один из крупнейших международных банков контента по безопасности, позволяющий формировать оценку защищённости информационных систем. Сканер представлен в нескольких редакциях, включая вариант «Enterprise». Модульная компоновка позволяет масштабировать систему и использовать её в территориально распределённых сетях и ЦОД. Техническая поддержка оказывается до 23.
Больше сведений о данном сканере можно найти на сайте RedCheck. Рисунок 4. Выявление уязвимостей производится следующим образом: состояние системных параметров сканируемого программного обеспечения системного и прикладного сравнивается с базой уязвимостей, представленной в виде описаний, которые разработаны в соответствии со спецификацией OVAL. Сканер позволяет выявлять одиночные и множественные бреши. XSpider Сканер защищённости XSpider компании Positive Technologies впервые появился на рынке ещё в 2002 году — причём в это же время была основана сама компания. XSpider предназначен для компаний с количеством узлов до 10 000. Задачи по проверке парольной политики также решаются XSpider, при этом будет задействован брутфорс с использованием базы паролей, которые наиболее распространены или применяются по умолчанию. Рисунок 5. Более подробно об этом сканере можно узнать в посвящённом ему разделе сайта производителя. Также данный сканер осуществляет поиск брешей, содержащихся в международных базах cve.
Кроме того, «Ревизор сети» может импортировать в состав своих отчётов результаты, полученные при использовании сетевого сканера Nmap в части определения типов операционных систем и выявления сетевых сервисов на открытых TCP- и UDP-портах. Основными особенностями «Ревизора сети» являются: проверки уязвимостей ОС семейств Windows и Linux, СУБД, средств виртуализации, общесистемного и прикладного ПО с использованием регулярно обновляемых баз данных; проверка наличия неустановленных обновлений ОС семейства Windows; проверки учётных записей для узлов сети, подбор паролей; определение открытых TCP- и UDP-портов на узлах проверяемой сети с верификацией сервисов, поиск уязвимостей; определение NetBIOS- и DNS-имён проверяемых узлов сети; проверки наличия и доступности общих сетевых ресурсов на узлах сети; сбор дополнительной информации об ОС семейства Windows. Рисунок 6. Окно для просмотра задач сканирования в «Ревизоре сети 3. Сканер уязвимости «Ревизор сети» версии 3. С более подробной информацией о сканере можно ознакомиться на странице разработчика. Также данный сканер может проводить тесты на проникновение и осуществлять анализ конфигурации различных узлов. Рисунок 7. Главное меню системы «Сканер-ВС» Помимо этого можно отметить наличие следующих возможностей: Инвентаризация ресурсов сети. Сканирование на наличие уязвимостей как с учётной записью администратора, так и без неё.
Сетевой и локальный анализ стойкости паролей. Поиск подходящих эксплойтов на основе собранной информации об узле. Перехват и анализ сетевого трафика, а также реализация атак типа MitM Man in the Middle, «внедрённый посредник». Анализ беспроводных сетей. Создание отчёта с техническими рекомендациями по устранению обнаруженных уязвимостей. Также «Сканер-ВС» предлагает проведение контроля целостности — подсчёт контрольных сумм заданных папок и файлов по 13 алгоритмам. Больше информации о данном сканере размещено на сайте данного продукта. Обзор зарубежных сканеров уязвимостей F-Secure Radar Этот сканер уязвимостей является продуктом компании F-Secure, которая активно работает на рынке антивирусов. Radar — облачное решение, для полноценной работы которого необходима установка агентов. На данный момент поддерживается совместимость с ОС семейств Windows и Linux.
F-Secure Radar представляет собой не только сканер уязвимостей, но и платформу для управления уязвимостями и активами.
Банк угроз ФСТЭК: использовать нельзя игнорировать
Что такое банк угроз: цели создания и доступ к информации. Таблица соответствия угрозы из БДУ ФСТЭК И мер защиты из приказов 17 21. Все хранящиеся в БДУ ФСТЭК России записи имеют единообразный формат и включают: текстовое описание уязвимости, дату обнаружения уязвимости, названия, версии и производителей уязвимого ПО, информацию о типе ошибки. Все хранящиеся в БДУ ФСТЭК России записи имеют единообразный формат и включают: текстовое описание уязвимости, дату обнаружения уязвимости, названия, версии и производителей уязвимого ПО, информацию о типе ошибки. БДУ ФСТЭК России: основные моменты (модель угроз). В чисто прикладном смысле БДУ ФСТЭК содержит огромное количество различных возможных угроз.
Новый раздел на сайте БДУ - Форум по вопросам информационной безопасности
У разработчика антивирусов приостановлена лицензия Федеральной службы по техническому и экспортному контролю (ФСТЭК) для одного из ключевых продуктов за «несоответствие требованиям безопасности информации». Таблица соответствия угрозы из БДУ ФСТЭК И мер защиты из приказов 17 21. Документы» отражена информация об угрозах, способах их реализации, техниках и тактиках злоумышленников, выгруженная из банка данных угроз безопасности информации (БДУ) ФСТЭК.
MARKET.CNEWS
- Банк угроз ФСТЭК: что внутри
- Новая методика оценки УБИ — Утверждено ФСТЭК России
- Банк данных угроз безопасности информации. Что такое банк угроз ФСТЭК?
- Сергей Борисов - exclusive content on Boosty
- Авторизоваться
Новая методика оценки УБИ — Утверждено ФСТЭК России
Первая группа цифр "ХХХХ" представляет собой календарный год включения уязвимости в банк данных угроз безопасности информации. Вторая группа цифр "ХХХХХ" является порядковым номером уязвимости в банке данных угроз безопасности информации. Идентификатор, присваиваемый угрозе безопасности информации, состоит из буквенной аббревиатуры "УБИ" и группы цифр и имеет вид: УБИ. Группа цифр "ХХХ" представляет собой порядковый номер угрозы безопасности информации в банке данных угроз безопасности информации от 001 до 999. Уязвимость подлежит включению в банк данных угроз безопасности информации, если по результатам ее анализа получена и проверена информация, как минимум, по описанию уязвимости, наименованию и версии программного обеспечения, в котором возможна уязвимость, уровню опасности уязвимости. Угроза безопасности информации подлежит включению в банк данных угроз безопасности информации, если по результатам ее анализа и проверки получена вся необходимая информация.
На Форуме руководители и специалисты обсуждают стратегию и структуру внедрения технологий, состав цифровых команд, импортозамещение ключевых цифровых решений и обеспечение технологического суверенитета, практику и проекты цифровой трансформации.
ПО Tarantool теперь можно применять: в информационных системах персональных данных ИСПДн при необходимости обеспечения 1 уровня защищенности персональных данных, в государственных информационных системах ГИС 1 класса защищенности, в значимых объектах критической информационной инфраструктуры ЗОКИИ 1 категории, в автоматизированных системах управления производственными и технологическими процессами АСУ ТП 1 класса защищенности, в информационных системах общего пользования 2 класса. Теперь крупные компании могут использовать наше ПО для построения отказоустойчивых высоконагруженных систем в чувствительных к безопасности проектах Александр Виноградов Руководитель Tarantool Tarantool — ПО для хранения и обработки данных, которое ускоряет цифровые сервисы и снижает нагрузку на ключевые системы.
БДУ включает в себя базу данных уязвимостей программного обеспечения и описание угроз, характерных, в первую очередь, для государственных информационных систем и автоматизированных систем управления производственными и технологическими процессами критически важных объектов. Целью создания данного банка является повышение информированности заинтересованных лиц о существующих угрозах безопасности информации в информационных автоматизированных системах. Банк данных предназначен для: заказчиков информационных автоматизированных систем и их систем защиты; операторов информационных автоматизированных систем и их систем защиты; разработчиков информационных автоматизированных систем и их систем защиты; разработчиков и производителей средств защиты информации; испытательных лабораторий и органов по сертификации средств защиты информации; иных заинтересованных организаций и лиц.
Защита документов
Модели угроз безопасности информации систем и сетей, разработанные и утверждённые до утверждения Методики, продолжают действовать и подлежат изменению в соответствии с настоящей Методикой при развитии модернизации соответствующих систем и сетей. В связи с утверждением настоящего методического документа не применяются для оценки угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных ФСТЭК России, 2008 г.
Специальные условия раннего бронирования! Направление 1 деловой программы и экспозиции Форума Цифровая трансформация предприятий и органов власти Процессы цифровизации в крупных предприятиях и в госсекторе, высокая потребность в быстром создании и развитии цифровых продуктов, управлении цифровыми услугами требуют переосмысления подходов.
Модели угроз безопасности информации систем и сетей, разработанные и утверждённые до утверждения Методики, продолжают действовать и подлежат изменению в соответствии с настоящей Методикой при развитии модернизации соответствующих систем и сетей. В связи с утверждением настоящего методического документа не применяются для оценки угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных ФСТЭК России, 2008 г.
Использование рекомендаций производителя:.
Общий обзор реестров и классификаций уязвимостей (CVE, OSVDB, NVD, Secunia)
- О МЕТОДИКЕ ОПРЕДЕЛЕНИЯ АКТУАЛЬНЫХ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ С ИСПОЛЬЗОВАНИЕМ БДУ ФСТЭК
- база данных уязвимостей фстэк россии | Дзен
- Банк данных угроз безопасности информации. Что такое банк угроз ФСТЭК?
- Новый раздел на сайте БДУ - Форум по вопросам информационной безопасности |
- БДУ ФСТЭК создал раздел с результатами тестирования обновлений: комментарии Руслана Рахметова
Новый раздел банка данных угроз: что важно знать
| ФСТЭК подтвердил безопасность российского ПО Tarantool | Новости БДУ ФСТЭК России Открыть. #Наука и технологии. |
| Сканеры уязвимостей — обзор мирового и российского рынков | Необходимость расширения полномочий ФСТЭК связана с тем, что попросту некому поручить, считает руководитель компании «Интернет-розыск» Игорь Бедеров. |
Публикации
- ScanOVAL для Astra Linux 1.6 Бесплатный анализ на наличие уязвимостей Linux БДУ ФСТЭК
- Обзоры и сравнения
- Авторизоваться
- БДУ ФСТЭК создал раздел с результатами тестирования обновлений: комментарии Руслана Рахметова
- Федеральная служба по техническому и экспортному контролю - все новости и статьи -
- база данных уязвимостей фстэк россии | Дзен