Уязвимость

(в терминологии ликвидации последствий различных бедствий — степень потерь (от 0% до 100%) в результате потенциально разрушительного явления.

Справка:

сфере защиты информации термин «уязвимость» обозначает наличие у объекта (программного кода, аппаратного модуля, сетевого протокола либо организационного процесса) особенностей, которые при определенных условиях могут быть использованы злоумышленником для нанесения ущерба информационным ресурсам. Уязвимость может привести к потере доступа, нарушению конфиденциальности, подмене или искажению данных. Понятие широко используется в документах по техническому регулированию, в нормативных актах, а также в международных и отечественных стандартах.

В российской практике определение уязвимости закреплено в ряде документов, включая ГОСТ Р 51275-2006, а также в методических указаниях ФСТЭК России. Уязвимости рассматриваются в качестве элементов моделей угроз и подлежат обязательному выявлению при проектировании и эксплуатации защищенных информационных систем.

Классификация уязвимостей

Уязвимости могут быть сгруппированы по различным признакам:

1. Программные

   • Ошибки реализации (некорректная обработка исключений, переполнение буфера, уязвимости типа XSS, SQL-инъекции);

   • Пробелы в логике авторизации или шифрования.

2. Аппаратные

   • Уязвимости в процессорах (например, Spectre, Meltdown);

   • Устройства хранения и обработки данных с дефектами микропрограмм.

3. Сетевые

   • Недостатки в конфигурации оборудования и протоколов;

   • Открытые порты, незащищенные каналы связи.

4. Организационные

   • Отсутствие регламентов по реагированию на инциденты;

   • Необученный персонал, ошибки администрирования.

5. Проектные и архитектурные

   • Недоработки на уровне проектирования структуры ИС;

   • Использование унаследованных технологий, не поддерживающих современные механизмы безопасности.

Управление уязвимостями: этапы и процедуры

Комплекс мероприятий по обнаружению, оценке и устранению уязвимостей составляет систему управления уязвимостями (Vulnerability Management). Этапы:

• Идентификация: регулярное сканирование программного и аппаратного обеспечения с применением сертифицированных или рекомендованных инструментов;

• Анализ риска: определение вероятности эксплуатации уязвимости и возможных последствий;

• Классификация по критичности: присвоение уровня риска (низкий, средний, высокий);

• Реализация защитных мер: установка обновлений, настройка прав доступа, сегментирование сетей;

• Мониторинг: отслеживание появления новых уязвимостей и повторная проверка устраненных.

Нормативная база Российской Федерации

Управление уязвимостями регулируется следующими правовыми и подзаконными актами:

• Федеральный закон №149-ФЗ от 27.07.2006 «Об информации, информационных технологиях и о защите информации» — закрепляет общие принципы обеспечения безопасности информации.

• Федеральный закон №152-ФЗ от 27.07.2006 «О персональных данных» — устанавливает обязанности операторов по предотвращению утечек и несанкционированного доступа.

• Постановление Правительства РФ №1119 от 01.11.2012 — содержит перечень требований к информационной защите в ГИС.

• Методические рекомендации ФСТЭК России — определяют алгоритмы выявления и оценки уязвимостей при создании и эксплуатации ИС.

Ответственность за эксплуатацию уязвимостей

Незаконные действия, связанные с использованием уязвимостей, могут влечь за собой уголовную, административную и гражданскую ответственность.

• Статья 272 УК РФ: неправомерный доступ к охраняемой информации;

• Статья 273 УК РФ: создание и распространение вредоносного ПО, включая эксплойты;

• Статья 13.11 КоАП РФ: нарушение требований по обработке персональных данных;

• Статья 13.14 КоАП РФ: распространение информации с ограниченным доступом.

Юридические лица также могут быть привлечены к ответственности в виде штрафов или административного приостановления деятельности в случае нарушений правил защиты информации.

Практические средства обеспечения защиты

Для реализации защиты и регулярного выявления уязвимостей применяются:

• Сканеры безопасности: MaxPatrol, Nessus, Qualys, Positive Technologies;

• Каталоги уязвимостей: CVE (Common Vulnerabilities and Exposures), NVD, реестр ФСТЭК;

• Платформы SIEM: системы корреляции событий безопасности;

• Системы контроля версий и мониторинга обновлений: применяются для поддержания ПО в актуальном состоянии.

Указанные инструменты интегрируются в общую систему управления безопасностью и позволяют оперативно реагировать на обнаруженные угрозы.

Международные подходы

За пределами РФ управление уязвимостями реализуется в рамках стандартов:

• ISO/IEC 27001 и 27005 — информационная безопасность и управление рисками;

• OWASP — ориентирован на веб-приложения;

• NIST — рекомендации по обеспечению безопасности систем.

Российские организации, работающие с международными партнерами, часто обязаны учитывать эти стандарты в рамках контрактных обязательств или экспортного регулирования.

Федеральные органы и реестры

Организацию и ведение реестра уязвимостей в РФ осуществляет ФСТЭК России. Ведомство публикует:

• бюллетени по обнаруженным уязвимостям;

• методические документы по их устранению;

• перечни сертифицированных программных средств защиты.

Регистрация уязвимости осуществляется в установленном порядке, после анализа её влияния на ИС и подтверждения возможности эксплуатации.