Наименование | Источник угрозы/категория нарушителя | Используемые уязвимости (пример) |
Недопустимое использование оборудования | Внешние/внутренние злоумышленники | Неопределение ответственности за обеспечение безопасности информационной системы. Возможность установки вредоносного программного обеспечения на операционную систему |
Отказ от действий | Внешние/внутренние злоумышленники | Отсутствие регистрации событий. Не использование системы ведения системных событий |
Сбой в работе внешнего сервиса | Поставщики сервиса | Отсутствие в договорах положений, регулирующих максимально допустимое время простоя важных сервисов |
Угрозы уровня сетевых интерфейсов | Форс-мажорные обстоятельства | Неконтролируемый физический доступ к среде передачи данных, позволяющий осуществить атаку типа «отказ в обслуживании» с нарушением целостности физической среды передачи данных |
Угрозы уровня межсетевых взаимодействий | Внешние/внутренние злоумышленники | Не применяются средства криптографической защиты информации, что позволяет осуществить перехват и модификацию информации, передаваемой по каналам связи. Отсутствуют средства контроля целостности передаваемой информации, что позволяет осуществить перехват и модификацию информации, передаваемой по каналам связи |
Угрозы уровня приложений | Внешние/внутренние злоумышленники | Использование уязвимых версий программного обеспечения на активном сетевом оборудовании, серверах и рабочих станциях, позволяющее получить несанкционированный доступ к активному сетевому оборудованию и сервисам. Отсутствие средства контроля доступа, позволяющее получить несанкционированный доступ к активному сетевому оборудованию и сервисам с использованием метода подбора пароля (в том числе в комбинации с атакой типа «отказ в обслуживании», направленной на серверы аутентификации) |
Нарушение функционирования служб DNS, SMTP, SNMP | Внешние/внутренние злоумышленники | Некорректные настройки штатных механизмов защиты программного обеспечения. Отсутствие дополнительных мер и средств защиты. Несвоевременная установка обновлений программного обеспечения |
Модификация файлов конфигурации телекоммуникационного оборудования | Внешний/внутренний нарушитель | Отсутствие разделения полномочий. Недостаточность регистрируемых системой аудита событий. Недостаточный контроль над действиями персонала подразделений эксплуатации. Отсутствие дополнительных мер и средств защиты |
Ознакомление с проектной и нормативно-технической документацией на систему | Внешний нарушитель | Отсутствие разделения полномочий. Отсутствие регламента хранения и доступа к документации |