ГОСТ Р ИСО/МЭК ТО 13335-3—2007
Приложение D
(справочное)
Примеры общих уязвимостей
В настоящем приложении приведены примеры уязвимых мест применительно к различным объектам,
требующим обеспечения безопасности, а также примеры угроз, которые могут возникнуть на конкретных объек
тах. Данные примеры могут оказаться полезными при оценке уязвимых мест. Следует отметить, что в некоторых
случаях упомянутым выше уязвимым местам могут угрожать другие угрозы.
1Среда и инфраструктура
Отсутствие физической защиты зданий, дверей и окон (возможна, например, угроза кражи).
Неправильное или халатное использование физических средств управления доступом в здания, помеще
ния (возможна, например, угроза намеренного повреждения).
Нестабильная работа электросети (возможна, например, угроза колебаний напряжения).
Размещение в зонах возможного затопления (возможна, например, угроза затопления).
2Аппаратное обеспечение
Отсутствие схем периодической замены (возможна, например, угроза ухудшения состояния запоминающей
среды).
Подверженность колебаниям напряжения (возможна, например, угроза возникновения колебаний напря
жения).
Подверженность температурным колебаниям (возможна, например, угроза возникновения экстремаль
ных значений температуры).
Подверженность воздействию влаги, пыли, загрязнения (возможна, например, угроза запыления).
Чувствительность к воздействию электромагнитного излучения (возможна, например, угроза воздействия
электромагнитного излучения).
Недостаточное обслуживание/неправильная инсталляция запоминающих сред (возможна, например, уг
роза возникновения ошибки при обслуживании).
Отсутствие контроля за эффективным изменением конфигурации (возможна, например, угроза ошибки
операторов).
3Программное обеспечение
Неясные или неполные технические требования к разработке средств программного обеспечения (воз
можна. например, угроза программных сбоев).
Отсутствие тестирования или недостаточное тестирование программного обеспечения (возможна, напри
мер. угроза использования программного обеспечения несанкционированными пользователями).
Сложный пользовательский интерфейс (возможна, например, угроза ошибки операторов).
Отсутствие механизмов идентификации и аутентификации, например аутентификации пользователей (воз можна.
например, угроза нелегального проникновения злоумышленников под видом законных пользователей).
Отсутствие аудиторской проверки (возможна, например, угроза использования программного обеспече
ния несанкционированным способом).
Хорошо известные дефекты программного обеспечения (возможна, например, угроза использования про
граммного обеспечения несанкционированными пользователями).
Незащищенные таблицы паролей (возможна, например, угроза нелегального проникновения злоумыш
ленников под видом законных пользователей).
Плохое управление паролями (легко определяемые пароли, хранение в незашифрованном виде, недоста
точно частая замена паролей).
Неправильное присвоение прав доступа (возможна, например, угроза использования программного обес
печения несанкционированным способом).
Неконтролируемая загрузка и использование программного обеспечения (возможна, например, угроза
столкновения с вредоносным программным обеспечением).
Отсутствие регистрации конца сеанса при выходе с рабочей станции (возможна, например, угроза исполь
зования программного обеспечения несанкционированными пользователями).
изменений (возможна, например, угроза программных
Отсутствие эффективного контроля внесения
сбоев).
39