ГОСТ 33397—2015
Продолжение таблицы А. 1
Наименование угрозы
Источник угроэы.’категория
нарушителя
Используемая уязвимость (пример)
Отказ от действий
Внешние/внутренние
злоумышленники
Отсутствие регистрации событий.
Неиспользование системы ведения системных собы
тий
Сбой в работе внешнего
сервиса
Поставщики сервиса Отсутствие в договорах положений, регулирующих
максимально допустимое время простоя важных серви
сов
Угрозы уровня сетевых ин Форс-мажорные об Неконтролируемый физический доступ к среде пере
терфейсов стоятельства дачи данных, позволяющий осуществить атаку типа
«отказ в обслуживании» с нарушением целостности фи
зической среды передачи данных
Угрозы уровня межсетевых Внешние/внутренние Не применяются средства криптографической защи
взаимодействий злоумышленники ты информации, что позволяет осуществлять перехват
и модификацию информации, передаваемой по кана
лам связи.
Отсутствуют средства контроля целостности переда
ваемой информации, что позволяет осуществлять пе
рехват и модификацию информации, передаваемой по
каналам связи
Угрозы уровня приложений Внешние/внутренние Использование уязвимых версий программного
злоумышленники обеспечения на активном сетевом оборудовании, сер
верах и рабочих станциях, позволяющее получать не
санкционированный доступ к активному сетевому обо
рудованию и сервисам.
Отсутствие средства контроля доступа, позволяю
щее получать несанкционированный доступ к активно
му сетевому оборудованию и сервисам с использовани
ем метода подбора пароля (в том числе в комбинации с
атакой типа «отказ в обслуживании», направленной на
серверы аутентификации)
вания служб DNS. SMTP, злоумышленники
SNMP
Нарушение функционироВнешние/внутренниеНекорректные настройки штатных механизмов защи
ты программного обеспечения.
Отсутствие дополнительных мер и средств защиты.
Несвоевременная установка обновлений програм
много обеспечения
фигурации телекоммуникаци нарушитель
онного оборудования
Модификация файлов конВнешний/внутреннийОтсутствие разделения полномочий.
Недостаточность регистрируемых системой аудита
событий.
Недостаточный контроль над действиями персонала
подразделений эксплуатации.
Отсутствие дополнительных мер и средств защиты
Ознакомление с проектной
и нормативной документацией
на систему
Внешний нарушительОтсутствие разделения полномочий.
Отсутствие регламента хранения и доступа к доку
ментации
онного оборудования
Получение информации оВнешний/внутреннийНедостаточный контроль над действиями персонала
состоянии телекоммуникаци нарушитель подразделений эксплуатации.
Отсутствие категорирования информации, контроля
доступа и аудита
Разрушение канала связи
Внешний/внутренний
нарушитель
Размещение кабеля на неконтролируемой террито
рии
Нарушение штатного функ
ционирования
Диверсия
Недостаточный контроль над действиями персонала
подразделений эксплуатации
Нарушение условий согла
Внешний/внутренний
Предоставление разработчику избыточной инфор
шения о конфиденциальности нарушительмации.
и разглашение материаловОтсутствие механизмов контроля соблюдения усло
проекта (документации) вий конфиденциальности
20