3.2. Внешний анализ уязвимостей

3.2.1. Работы по внешнему анализу уязвимостей должны предусматривать выявление уязвимостей сетевых служб и сервисов, системного и прикладного программного обеспечения, доступных из сети "Интернет", в том числе уязвимостей, связанных с недостатками их конфигураций.

3.2.2. В целях проведения внешнего анализа уязвимостей осуществляется:

а) выявление известных уязвимостей программного обеспечения сетевых служб, сервисов, программных, программно-аппаратных средств, интерфейсы которых доступны из сети "Интернет";

б) выявление уязвимостей конфигурации сетевых протоколов, системного и прикладного программного обеспечения, интерфейсы которых доступны из сети "Интернет";

в) выявление уязвимостей аутентификации, использования паролей, заданных по умолчанию, и устойчивости паролей;

г) выявление уязвимостей кода и конфигурации прикладного программного обеспечения (веб-приложений, мобильных приложений, программного обеспечения, реализующего модели машинного обучения и другого прикладного программного обеспечения), доступных из сети "Интернет".

3.2.3. Внешний анализ уязвимостей проводится исполнителем:

путем сканирования интерфейсов сетевой инфраструктуры информационной системы, приложений с использованием средств выявления уязвимостей, иных инструментальных средств, предназначенных для поиска уязвимостей программного кода и конфигурации с использованием пассивных и активных методов анализа уязвимостей в автоматизированном режиме;

путем поиска информации об уязвимостях программных, программно-аппаратных средств, средств защиты информации, находящихся на периметре информационной системы, в банке данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru), а также в иных базах данных уязвимостей в автоматизированном режиме;

путем применения пассивных и активных методов анализа уязвимостей в ручном режиме.

3.2.4. По результатам проведения внешнего анализа исполнителем формируется перечень уязвимостей периметра информационной системы, включающий:

а) уязвимости программного обеспечения телекоммуникационного оборудования и межсетевых экранов, находящихся на периметре информационной системы;

б) уязвимости конфигурации сетевой инфраструктуры периметра информационной системы;

в) уязвимости сетевых служб, сервисов, веб-серверов, приложений, мобильных приложений, систем управления базами данных, операционных систем, прокси-серверов и иного программного обеспечения, интерфейсы которых доступны из сети "Интернет";

г) уязвимости, связанные с недостатками конфигурации сетевых служб, сервисов, веб-приложений, мобильных приложений, систем управления базами данных, операционных систем, прокси-серверов и иного программного обеспечения, интерфейсы которых доступны из сети "Интернет".

3.2.5. Перечень работ, проводимых исполнителем в ходе внешнего сканирования, приведен в таблице 2.

Таблица 2

Условное обозначение и номер работы

Наименование работы <4>

Вид анализа

С1

Внешнее сканирование

СИН

Сетевая инфраструктура

СИН.1

Поиск уязвимостей программного обеспечения телекоммуникационного оборудования и межсетевых экранов

+

СИН.2

Поиск уязвимостей конфигурации сетевых служб и протоколов (HTTP, HTTPS, SMTP, SSH, NTP, IPSec, SNMP, DNS, FTP, RDP, RPC, PPTP, NetBIOS, Telnet, SIP, POP3, IMAP и других протоколов)

+

СИН.3

Поиск уязвимостей, связанных с использованием паролей, заданных по умолчанию

+

СИН.4

Поиск уязвимостей механизмов аутентификации (например, применение протокола Telnet вместо SSH)

+

СИН.5

Поиск уязвимостей управления доступом к интерфейсам управления сетевых служб

+

СИН.6

Поиск уязвимостей, связанных с отсутствием блокировки учетной записи пользователей после неудачных попыток входа

+

СИН.7

Поиск активных сетевых служб, использующих небезопасные протоколы передачи данных (FTP, Telnet, rlogin, rsh, Finger)

+

СИН.8

Поиск безопасных версий сетевых протоколов (SMBvl, SSL 2.0/3.0, TLS 1.0, NTLMvl)

+

СУД

Службы удаленного доступа

СУД.1

Поиск уязвимостей конфигурации служб удаленного доступа

+

СУД.1.1

Поиск уязвимостей реализации аутентификации

+

СУД.1.2

Поиск недостатков управления доступом к порту служб удаленного доступа

+

СУД.1.3

Поиск уязвимостей протоколов служб удаленного доступа

+

СУД.1.4

Поиск иных уязвимостей служб удаленного доступа

+

СУД.2

Поиск уязвимостей в программном обеспечении служб удаленного доступа

+

СДИ

Службы доменных имен (DNS)

СДИ.1

Поиск уязвимостей конфигурации службы доменных имен

+

СДИ.1.1

Поиск уязвимостей, связанных с отсутствием проверки и валидации данных

+

СДИ.1.2

Поиск уязвимостей, связанных с недостатками защиты протоколов передачи данных

+

СДИ.1.3

Поиск иных уязвимостей службы доменных имен

+

СДИ.2

Поиск уязвимостей программного обеспечения DNS-сервера

+

ИСС

Иные сетевые сервисы и службы

ИСС.1

Поиск уязвимостей конфигурации иных сетевых сервисов и служб

+

ИСС.2

Поиск уязвимостей программного обеспечения сетевых сервисов и служб

+

ВЕБ

Веб-приложения

ВЕБ.1

Поиск уязвимостей конфигурации веб-приложений

+

ВЕБ.1.1

Поиск уязвимостей идентификации и аутентификации пользователей

+

ВЕБ.1.2

Поиск уязвимостей управления доступом пользователей к ресурсам

+

ВЕБ.1.3

Поиск уязвимостей, связанных с возможностью запуска произвольного программного кода

+

ВЕБ.1.4

Поиск уязвимостей в управлении ресурсами, доступными веб-приложению

+

ВЕБ.1.5

Поиск уязвимостей, связанных с недостатками проверки вводимых данных

+

ВЕБ.1.6

Поиск уязвимостей реализации криптографических механизмов

+

ВЕБ.1.7

Поиск неправильной конфигурации приложения (например, включенный режим отладки)

+

ВЕБ.1.8

Поиск небезопасной конфигурации веб-сервера

+

ВЕБ.1.9

Поиск иных уязвимостей конфигурации веб-приложений

+

ВЕБ.2

Поиск уязвимостей в программном обеспечении веб-приложений (например, в веб-сервере, CMS, фреймворках и иных компонентах)

+

ДИС

Доменные инфраструктурные службы

ДИС.1

Поиск уязвимостей конфигурации доменных инфраструктурных служб

+

ДИС.1.1

Поиск уязвимостей реализации идентификации и аутентификации пользователей

+

ДИС.1.2

Поиск уязвимостей управления и разграничения доступом

+

ДИС.1.3

Поиск иных уязвимостей конфигурации домена

+

ДИС.2

Поиск уязвимостей в программном обеспечении доменных служб

+

МОБ

Мобильные приложения

МОБ.1

Поиск уязвимостей конфигурации мобильных приложений

+

МОБ.1.1

Поиск уязвимостей в реализации функций идентификации и аутентификации пользователей

+

МОБ.1.2

Поиск уязвимостей в реализации функций управления доступом

+

МОБ.1.3

Поиск уязвимостей, связанных с небезопасным хранением данных на мобильном устройстве

+

МОБ.1.4

Поиск уязвимостей, связанных с возможностью запуска произвольного программного кода

+

МОБ.1.5

Поиск уязвимостей, связанных с некорректной работой с памятью

+

МОБ.1.6

Поиск уязвимостей защиты протоколов передачи данных

+

МОБ.1.7

Поиск иных уязвимостей конфигурации мобильных приложений

+

МОБ.2

Поиск уязвимостей программного обеспечения мобильных приложений

+

МИИ

Модели машинного обучения

МИИ.1

Поиск уязвимостей конфигурации модели машинного обучения

+

МИИ.1.1

Поиск уязвимостей, позволяющих исказить поведение модели машинного обучения путем формирования специальных запросов (промптов)

+

МИИ.1.2

Поиск уязвимостей, связанных с использованием для обучения модели машинного обучения модифицированных данных или наборов данных

+

МИИ.1.3

Поиск уязвимостей, позволяющих в результате ответа модели машинного обучения получить конфиденциальную информацию

+

МИИ.1.4

Поиск уязвимостей контроля и управления данными, используемыми моделью машинного обучения

+

МИИ.1.5

Поиск уязвимостей, позволяющих модифицировать обучающие наборы данных

+

МИИ.1.6

Поиск уязвимостей управления доступом к модели машинного обучения

+

МНИ.1.7

Поиск уязвимостей механизмов фильтрации и контроля входных и выходных данных модели машинного обучения

+

МИИ.1.8

Поиск прочих уязвимостей конфигурации модели машинного обучения

+

--------------------------------

<4> Если в информационной системе не применяются информационные технологии, приведенные в наименовании работы не проводятся.

Знаком "+" отмечены необходимые работы для каждого из видов анализа.