98 lines
11 KiB
Markdown
98 lines
11 KiB
Markdown
# Модуль 1. Введение в уязвимости
|
||
## Практическое задание №1
|
||
### Задание 1.1
|
||
|
||
Описание уязвимости:
|
||
```
|
||
В корпоративной сети крупной финансовой организации была обнаружена уязвимость в системе управления конфигурациями серверов. Система управления конфигурациями используется для автоматизации развертывания и поддержания состояния серверов, включая веб-серверы, базы данных и приложения. Уязвимость позволяет злоумышленнику, имеющему доступ к сети, удаленно модифицировать конфигурационные файлы серверов без аутентификации. Это может привести к изменению поведения серверов, внедрению вредоносного кода или даже полному отказу в обслуживании.
|
||
|
||
Серверы доступны из интернета через брандмауэр и прокси-сервер, но уязвимость в системе управления конфигурациями может быть эксплуатирована только через внутреннюю сеть. Базы данных содержат конфиденциальную информацию клиентов и финансовые данные.
|
||
```
|
||
|
||
Действовать, проводя оценку, будем из того, что с помощью данной уязвимости можно воздействовать и на саму уязвимую систему.
|
||
|
||
Для данной уязимости я предлагаю установить следующие метрики
|
||
|
||
| Metric | Value | Comment |
|
||
| ----- | ----- | ----- |
|
||
| | **Exploitability Metrics** | |
|
||
| Attack Vector (AV) | Adjacent (A) | Уязвимость в системе управления конфигурациями может быть эксплуатирована только через внутреннюю сеть |
|
||
| Attack Complexity (AC) | Low (L) | Информации о сложности нет, поэтому предполагаем -- низкую сложность |
|
||
| Attack Requirements (AT) | Present (P) | Для проведения атаки необходимо знать архитектуру внутернней сети (какие устройства, за что отвечают) |
|
||
| Privileges Required (PR) | None (N) | Аутентификация не требуется |
|
||
| User Interaction (UI) | None (N) | Взаимодействие с пользователями не требуется |
|
||
| | **Vulnerable System Impact Metrics** | |
|
||
| Confidentiality (VC) | High (H) | В случае, если система управления конфигурациями может управлять в том числе собой, то согласно тому, что может быть внедрен вредоносный код -- нарушение конфиденциальности является высоким |
|
||
| Integrity (VI) | High (H) | Аналогично VC, целостность может быть нарушена |
|
||
| Availability (VA) | High (H) | Возможен полный отказ в обслуживании |
|
||
| | **Subsequent System Impact Metrics** | |
|
||
| Confidentiality (SC) | High (H) | согласно тому, что может быть внедрен вредоносный код -- нарушение конфиденциальности является высоким |
|
||
| Integrity (SI) | High (H) | Аналогично VC, целостность может быть нарушена |
|
||
| Availability (SA) | High (H) | Возможен полный отказ в обслуживании |
|
||
|
||
|
||
### Итог задания 1.1
|
||
Вектор CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
|
||
|
||
Метрика CVSS v4.0 Score: 9.0 / Critical
|
||
|
||
|
||
### Задание 1.2
|
||
|
||
Описание уязвимости:
|
||
|
||
```
|
||
В системе мониторинга сетевого трафика, используемой в организации для обеспечения безопасности корпоративной сети, была обнаружена уязвимость. Система мониторинга отвечает за анализ трафика в реальном времени и идентификацию подозрительных действий, таких как попытки вторжения или аномальное поведение. Уязвимость заключается в недостаточной проверке входных данных, что позволяет злоумышленнику отправлять специально сформированные пакеты, вызывающие переполнение буфера и потенциальное выполнение произвольного кода.
|
||
|
||
Система мониторинга доступна только из внутренней сети и не имеет прямого доступа из интернета, однако эксплуатация уязвимости может привести к обходу сетевых защитных механизмов и дальнейшему распространению атаки внутри корпоративной сети. Базы данных, связанные с системой мониторинга, содержат метаданные о сетевом трафике и не включают конфиденциальную информацию.
|
||
```
|
||
|
||
Для данной уязимости я предлагаю установить следующие метрики:
|
||
|
||
| Metric | Value | Comment |
|
||
| ----- | ----- | ----- |
|
||
| | **Exploitability Metrics** | |
|
||
| Attack Vector (AV) | Adjacent (A) | Система мониторинга доступна только из внутренней сети |
|
||
| Attack Complexity (AC) | Low (L) | Просто отправку модифицированных выполнить можно довольно легко, сложностей нет |
|
||
| Attack Requirements (AT) | None (N) | Особых требований для проведения атаки нет |
|
||
| Privileges Required (PR) | None (N) | Аутентификация не требуется |
|
||
| User Interaction (UI) | None (N) | Взаимодействие с пользователями не требуется |
|
||
| | **Vulnerable System Impact Metrics** | |
|
||
| Confidentiality (VC) | High (H) | Потенциальное выполнение произвольного кода означает вероятную потерю конфиденциальности. Несмотря на то, что базы данных, связанные с системой мониторинга не содержат конф. информацию, метрика строится на состоянии самой системы |
|
||
| Integrity (VI) | High (H) | Потенциальное выполнение произвольного кода означает вероятную потерю целостности |
|
||
| Availability (VA) | High (H) | Переполнение буфера обычно сопровождается потерей доступности |
|
||
| | **Subsequent System Impact Metrics** | |
|
||
| Confidentiality (SC) | High (H) | В связи с тем, что возможно распространение атаки с обходом защитных механизмов, конфиденциальность теряется |
|
||
| Integrity (SI) | High (H) | Согласно VC, целостность может быть нарушена |
|
||
| Availability (SA) | High (H) | Возможен полный отказ в обслуживании, согласно VC |
|
||
|
||
### Итог задания 1.2
|
||
Вектор CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
|
||
|
||
Метрика CVSS v4.0 Score: 9.4 / Critical
|
||
|
||
|
||
### Задание 1.3
|
||
|
||
В ходе заданий 1.2 и 1.3 мы получили следующие векторы и показатели критичности уязвимостей:
|
||
|
||
| Уязвимость | Вектор CVSS:4.0 | Метрика CVSS v4.0 |
|
||
| ----- | ----- | ----- |
|
||
| Уязвимость системы управления конфигурациями | CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H | 9.0 / Critical |
|
||
| Уязвимость системы мониторинга сетевого трафика | CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H | 9.4 / Critical |
|
||
|
||
Согласно полученным метрикам более критичной можно считать уязвимость системы мониторинга сетевого трафика. Я согласен с тем, что говорят цифры:
|
||
1. Это часть системы защиты информации. Данная уязвимость может привести к отключению других защитных механизмов, что может раскрыть и прочие уязвимости для атакующего.
|
||
2. Уязвимость из задания 1 может быть теоретически полностью митигирована системой защиты информации, а данная -- нет, так как уявзим компонент защиты.
|
||
3. Уявзимость из задания 1, возможно, не позволяет эксплуатировать её в самой системе управления конфигурациями (нет информации), тогда её конечная метрика будет снижена.
|
||
|
||
### Итог задания 1.3
|
||
|
||
Таким образом, в первую очередь необходимо устранить именно вторую уязвимость, так как она ставит под сомнение абсолютно всю систему защиты информации, и её экслуатация может привести к демитигации других уязвимостей.
|
||
|
||
Тем не менее, первая уязвимость тоже крайне опасна для любой информационной системы, так что устранив вторую уязвимость, нельзя забывать о первой, в идеале устранять их одновременно.
|
||
|
||
# Итог лабораторной работы
|
||
На этом лабораторная работа окончена, файл отчет в формате pdf во вложении.
|
||
|
||
Выполнил: Харитонов Марат Русланович, студенческий билет №М235314. |