Осуществляется поддержка уязвимостей из банка данных угроз безопасности информации (БДУ) ФСТЭК России. ФСТЭК России: российские разработчики ПО постоянно нарушают требования по срокам устранения уязвимостей. Но в отличие от BDU:2024-00878, эта уязвимость затрагивает только старые версии продукта — до 2022.1.3.451 (Websoft HCM).
Федеральная служба по техническому и экспортному контролю
Банки данных угроз безопасности. Федеральная служба по техническому и экспортному контролю. ФСТЭК иконка. ФСТЭК логотип на прозрачном фоне.
Гостехкомиссия России. ФСТЭК эмблема. ФСТЭК кии.
Категории кии. ФСТЭК информационная безопасность. МСЭ В информационной безопасности это.
Федеральная служба по техническому и экспортному контролю РФ. Уязвимости банка. Банки данных угроз и уязвимостей.
Федеральная служба технического и экспортного контроля. Модель угроз безопасности информации 2021 пример.
В своей статье мы хотим рассмотреть и оценить новый подход регулятора к моделированию угроз, а также ответить на следующий вопрос — насколько такой подход отвечает текущим реалиям в области информационной безопасности.
Как сейчас регулируется вопрос моделирования угроз? Следовательно, обработка информации с использованием таких объектов требует четкого понимания кто или что и каким образом может стать причиной нарушения информационной безопасности. Вместе с тем, единственным действующим на сегодняшний день документом в области моделирования угроз безопасности является «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» , выпущенная в далеком 2008 году.
Помимо преклонного возраста, данный документ может похвастаться рядом моментов, свидетельствующих о том, что он, к сожалению, давно потерял свою актуальность и продолжает использоваться только по причине отсутствия какой-либо замены. Жесткая привязка к персональным данным, использование показателя исходной защищенности системы, в качестве фактора, влияющего на определение актуальности угроз, отсутствие какого-либо разделения ответственности в вопросах моделирования угроз безопасности при использовании внешних хостингов — лишь часть огрехов, которые продолжают обсуждаться ИБ-сообществом. В такой ситуации обладателям информации операторам приходится импровизировать, самостоятельно «дорабатывая» документ для собственных нужд.
Такой подход, во-первых, не является абсолютно легальным в своих приказах ФСТЭК настаивает на использование разработанных ими методических документов для определения угроз безопасности , а во-вторых, представляет весьма нетривиальную задачу, особенно при отсутствии соответствующего опыта у исполнителя. В связи с этим, новая Методика должна стать если и не панацеей, то инструментом, значительно упрощающим процесс моделирования угроз информационной безопасности. Ключевые особенности новой методики Область применения Методики Первой и одной из наиболее важных отличительных черт новой Методики является область ее применения, которая теперь не ограничивается лишь ИСПДн.
Документ должен использоваться для определения угроз безопасности информации при ее обработке с использованием любых объектов, требования по защите к которым утверждены ФСТЭК. Какой-либо порядок разработки и согласования «дочерних» методик не предусмотрен, единственное требование — они не должны противоречить положениям Методики. Такой подход выглядит вполне логичным, если бы не одно «но».
Дело в том, что разнообразие «базовых и типовых моделей угроз» на сегодняшний день оставляет желать лучшего — в свободном доступе опубликован лишь один документ, попадающий под это описание, да и тот представляет собой выписку и нацелен на все те же ИСПДн. Означает ли это, что в ближайшее время после утверждения Методики стоит ожидать пополнение в рядах базовых и типовых моделей угроз? Вопрос остается открытым.
Порядок моделирования угроз безопасности Обновленный порядок включает в себя пять этапов, выполняемых в определенной последовательности. Общая схема процесса, представленная в Методике, выглядит следующим образом: За определение актуальности угрозы безопасности информации отвечают этапы с первого по четвертый. В соответствии с Методикой, угроза безопасности будет являться актуальной при наличии хотя бы одного сценария ее реализации и если ее реализация приведет к каким-либо негативным последствиям для обладателя информации оператора или государства.
Цель пятого этапа — определить опасность каждой из актуальных угроз.
В связи с утверждением настоящего методического документа не применяются для оценки угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных ФСТЭК России, 2008 г.
В выгруженном файле кроме актуальных угроз и исходной информации будут рекомендации о том, какие меры лучше предпринять. Пока данный раздел сайта БДУ находится в опытной эксплуатации, и неизвестно, когда перейдет в постоянную эксплуатацию. Новый раздел можно использовать для моделирования угроз и определения, какие меры защиты необходимо применять в конкретном случае, чтобы четко сформировать техническое задание на создание системы защиты информации. На сегодня система может выдавать на каждую угрозу достаточно широкий спектр потенциально возможных мер.
Так или иначе нельзя сразу использовать результаты работы мастера определения актуальных угроз. Чтобы добиться более однозначного результата придётся смотреть более внимательно на то, какие меры применимы конкретно к вашей ИТ-инфраструктуре, а какие нет. В любом случае это проще, чем делать самостоятельно определять с нуля актуальные угрозы и необходимые меры защиты. Я крайне рекомендую использовать новый раздел угроз БДУ — он сильно облегчает работу. Разработать модель угроз.
Новая методика оценки УБИ — Утверждено ФСТЭК России
Теперь крупные компании могут использовать наше ПО для построения отказоустойчивых высоконагруженных систем в чувствительных к безопасности проектах Александр Виноградов Руководитель Tarantool Tarantool — ПО для хранения и обработки данных, которое ускоряет цифровые сервисы и снижает нагрузку на ключевые системы. Сочетает в себе сервер приложений, базу данных с гибкой схемой данных и мощные средства масштабирования для построения отказоустойчивых сервисов.
Далее компании формируют свои модели угроз для своих систем, используя перечень и характеристики от службы. Использование БДУ в этом случае обязательно, но можно дополнительно применять и иные источники. С 2020 года и до сих пор в БДУ есть всего 222 угрозы. Шесть из них добавлены в конце 2020 года и касаются машинного обучения и искусственного интеллекта. БДУ хранит не только угрозы, но и уязвимости. Эта база растет достаточно быстро — на сегодняшний день в ней более 45 000 уязвимостей.
Это не так много по сравнению с крупными международными базами уязвимостями такими как CVE, например , которые существуют более 20 лет и в несколько раз больше чем БДУ, появившегося 8 лет назад. С другой стороны в отечественном банке меньше уязвимостей устаревшего и не используемого программного обеспечения. Сайт bdu. Для этого предусмотрены формы обратной связи.
В связи с утверждением настоящего методического документа не применяются для оценки угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных ФСТЭК России, 2008 г.
Возможность работы в режиме Live USB, а также развертывания в ИТ-инфраструктуре предприятия с поддержкой одновременной удаленной работы пользователей. Формирование отчета с техническими рекомендациями по устранению обнаруженных брешей в защите. В комплексе предустановлены словари, содержащие самые распространенные пароли имена, числовые, клавиатурные последовательности и т. Также доступна функция безопасного затирания свободного места на носителях данных, предусмотрена защита от удаления системных файлов, совместимо с модулем поиска остаточной информации.
Защита документов
фстэк россии опубликовала инструмент под названием scanoval, предназначенный для автоматического обнаружения уязвимостей в по серверов и. ФАУ «ГНИИИ ПТЗИ ФСТЭК России». Поддержка БДУ ФСТЭК России и других сторонних баз уязвимостей. Обзор приказа ФСТЭК России от 29.04.2021 г. № 77. НОВОСИБИРСК, 26 окт – РИА Новости. Российские разработчики ПО не соблюдают регламенты ФСТЭК в части скорости реагирования на обнаруженные уязвимости. Новые угрозы в БДУ ФСТЭК. 6457 подписчиков.
Новая методика оценки УБИ — Утверждено ФСТЭК России
Раздел тестирования обновлений БДУ ФСТЭК России Сведения о результатах тестирований в описаниях уязвимостей. В 2015 году ФСТЭК России совместно с заинтересованными органами власти и организациями сформировала банк данных угроз безопасности информации (БДУ). г) включения в банк данных угроз безопасности информации ФСТЭК России () сведений о новых угрозах безопасности информации, сценариях (тактиках, техниках) их реализации. Справочник мер защиты новой БДУ соответствует только составу мер из Требований, утвержденных приказом ФСТЭК России от 25 декабря 2017 года № 239 (для объектов КИИ). Сертификат соответствия ФСТЭК РФ № 3509 на Enterprise Security Suite. ФСТЭК России подтвердила соответствие технологической операционной системы TOPAZ Linux требованиям к средствам технической защиты информации для систем АСУ ТП и объектов.
Федеральная служба по техническому и экспортному контролю
Для полноценной работы не требуются агенты на конечных станциях. Найдет уязвимости Выявит сетевые уязвимости с помощью, безопасных инвентаризационных и баннерных проверок, фаззинга. Подберет пароли Проверяет протоколы электронной почты и удаленного управления, служб передачи файлов и баз данных. Также проверит веб-приложения собственной разработки. Проинформирует об угрозах По каждой обнаруженной уязвимости XSpider предоставит подробное описание, инструкцию по исправлению, ссылки на общедоступные источники и выставит базовую и временную оценку по вектору CVSS v2 и v3.
Сформирует отчеты XSpider выдаст в структурированном виде данные о результатах сканирования. Можно фильтровать данные, сравнивать результаты различных сканирований и получать общие оценки состояния системы.
Хорошая новость в том, что на сайте БДУ появился новый раздел угроз. В нём как раз учтены большинство из перечисленных недостатков, есть мастер по моделированию угроз. Просто выбираете необходимые пункты и на выходе получаете информацию в одном из возможных форматов: jsom, xlsx, csv. В выгруженном файле кроме актуальных угроз и исходной информации будут рекомендации о том, какие меры лучше предпринять.
Пока данный раздел сайта БДУ находится в опытной эксплуатации, и неизвестно, когда перейдет в постоянную эксплуатацию. Новый раздел можно использовать для моделирования угроз и определения, какие меры защиты необходимо применять в конкретном случае, чтобы четко сформировать техническое задание на создание системы защиты информации. На сегодня система может выдавать на каждую угрозу достаточно широкий спектр потенциально возможных мер. Так или иначе нельзя сразу использовать результаты работы мастера определения актуальных угроз. Чтобы добиться более однозначного результата придётся смотреть более внимательно на то, какие меры применимы конкретно к вашей ИТ-инфраструктуре, а какие нет. В любом случае это проще, чем делать самостоятельно определять с нуля актуальные угрозы и необходимые меры защиты.
Компенсирующие меры: - использование средств межсетевого экранирования для ограничения возможности удаленного доступа; - ограничение доступа из внешних сетей Интернет ; - использование виртуальных частных сетей для организации удаленного доступа VPN. Использование рекомендаций производителя:.
И тут на сцену выходит дедушка Карл Николиус Линней со своей таксономией [4]. И чем так привлекателен для нас «отец систематики» Карл Линней? Наверное, самое важное — это то, что он нашёл тот самый критерий или признак, который, с одной стороны, является общим для всех систематизируемых сущностей, а с другой — индивидуален для каждой такой сущности. Вернее, их количество — вот что объединяет и в тоже время разъединяет сущности, и это самое главное открытие Линнея в деле систематизации по признакам их сходств и различий. И в результате получилась иерархическая, чётко ранжированная структура, состоящая из отдельных групп — таксонов [5]: класс — отряд — семейство — род — вид — подвид — разновидность. В деле систематизации угроз безопасности — на опыте «отца систематики» — надо прежде всего найти такой критерий. На первый взгляд, ответ лежит на поверхности: таким критерием должно выступать полезное свойство информации, которое надо защищать конфиденциальность, целостность, доступность.
Но не всё так просто. Я уже отмечал, что эти свойства в принципе весьма субъективны и зависят от заинтересованности субъекта в обеспечении сохранности этих полезных свойств. А брать за критерий систематизации заведомо субъективный критерий — обречь её на неудачу. Кроме того, нарушение таких свойств информации не всегда понятно бизнесу а именно он даёт деньги на обеспечение безопасности информации , он, бизнес, мыслит немного другими категориями, ему ближе рисковая модель. Действительно, если бизнесу сказать, что в результате компьютерной атаки будет реализована возможность несанкционированного доступа к базе данных АСУ управления движением поездов, он задаст вопрос: ну и что? А вот если бизнесу сказать, что в результате такой атаки 35 вагонов не будут поданы к погрузке, что приведёт к такому-то финансовому ущербу, то мозги у него повернутся в нужную сторону. Если посмотреть недавно утверждённый новый вариант Методики оценки угроз безопасности информации, то можно увидеть, что одной из основных задач при оценке угроз безопасности информации является определение негативных последствий, которые могут наступить от реализации возникновения угроз безопасности информации. Вот это уже близко к риск-ориентированной модели! Это как раз и может стать критерием классификации угроз, вернее, первой ступенью в иерархии систематизации угроз.
И за основу можно взять те угрозы, которые приведены в методике: ущерб физическому лицу; ущерб юридическому лицу, связанный с хозяйственной деятельностью; ущерб государству в области обороны страны и безопасности; ущерб в социальной, экономической, политической, экологической сферах. Кстати, если уж мы заговорили об ущербе. Ущерб — это всегда нарушение прав субъекта, то есть совершение какого-то правонарушения, а это уже категория юридическая. То есть в качестве признака первого таксона в классификации угроз безопасности информации можно использовать составы преступлений и правонарушений, приведённые в уголовном и административном кодексах. И, самое главное, такие составы правонарушений легко увязываются с полезными свойствами самой информации и исключают их смешение. Да и бизнесу они будут понятны рис. Рисунок 1. Примерный вариант классификации угроз безопасности информации на основе первого таксона Ну, это мы только первый таксон нашли. А дальше можно в качестве признака второго таксона использовать возможные типовые негативные последствия, приведённые в методике ФСТЭК России.
Дальше — глубже. Здесь уже можно и на более «технократическом» языке говорить. Деление угроз вернее, их возможных реализаций по видам их воздействия на элементы инфраструктуры, которые могут привести к негативным последствиям.
Анализ уязвимостей и оценка соответствия по ОУД4
В Положении 719-П и 757-П имеется похожее требование к использованию безопасного прикладного ПО, однако в данном нормативном документе говорится об оценке соответствия прикладного ПО по ОУД4. Разница между анализом уязвимостей по ОУД4 и оценкой соответствия по ОУД4 заключается в том, что анализ уязвимостей — это комплекс мероприятий по оценке лишь части компонентов доверия в пределах определённого уровня доверия, например, при проведении анализа уязвимостей оцениваются классы доверия «Разработка», «Руководства», «Оценка уязвимостей». В отличии от анализа уязвимостей, в оценку соответствия по ОУД4 входит анализ всего перечня классов доверия и выполнения всех действий оценщика. В рамках анализа уязвимостей и оценки соответствия оценщики должны использовать ГОСТ 15408 в качестве справочного руководства при интерпретации изложения как функциональных требований, так и требований доверия.
Пополняется реестр ФСТЭК России путем мониторинга общедоступных источников информации — информационных бюллетеней российских и иностранных компаний, производящих ПО, а также реестров и информационных бюллетеней исследовательских организаций и компаний, предоставляющих услуги в области информационной безопасности.
На конец августа 2018 года в базе данных БДУ ФСТЭК России содержалось чуть менее 19 тысяч записей, и реестр продолжает активно пополняться по мере публикации информации об уязвимостях в других общедоступных базах данных. Все хранящиеся в БДУ ФСТЭК России записи имеют единообразный формат и включают: текстовое описание уязвимости, дату обнаружения уязвимости, названия, версии и производителей уязвимого ПО, информацию о типе ошибки, классе уязвимости и текущем ее статусе потенциально возможная либо подтвержденная производителями ПО или независимыми исследователями уязвимость, устранена ли уязвимость в новых версиях ПО. Также записи содержат оценку критичности уязвимости и сопутствующий вектор CVSS, пометку о наличии известных готовых сценариев эксплуатации уязвимости и возможного результата эксплуатации уязвимости, указание уязвимых аппаратных платформ или операционных систем, список возможных методов противодействия уязвимости и ссылки на источники дополнительной информации по уязвимости включая идентификаторы данной уязвимости в иных реестрах и базах данных. Кроме того, пользовательский интерфейс для выборки из базы БДУ ФСТЭК России отличается большей гибкостью настроек поиска и фильтрации результатов в сравнении с интерфейсами указанных иностранных баз данных.
Все содержимое реестра БДУ ФСТЭК России предоставляется для скачивания в форматах XLSX и XML, что обеспечивает получение информации как виде, удобном для обработки человеком посредством популярных офисных приложений семейства MS Excel , так и в машиночитаемом варианте для различных автоматизированных средств например, сканеров безопасности и систем обнаружения атак. Для подписки на обновления базы данных доступны каналы RSS и Atom. Отметим, что некоммерческое использование и распространение материалов из БДУ ФСТЭК России доступно без ограничений, а применение полученных данных для различных коммерческих систем и продуктов возможно при согласовании с федеральной службой. Преимущественно данные записи описывают уязвимости ПО, созданного российскими компаниями, такими как, 1С или «Лаборатория Касперского» но есть и исключения из этого правила.
Данное обстоятельство, а также удобный для человеческого восприятия формат и подробное описание различных аспектов уязвимости статус, наличие эксплойтов и т. Кроме того, поскольку реестр БДУ ФСТЭК России ориентирован на сбор и хранение информации об уязвимостях ПО, используемого в российских организациях и компаниях включая компании с государственным участием и бюджетные организации , отечественным производителям ПО и системным администраторам российских организаций разумно ориентироваться именно на данный реестр уязвимостей в процессах оценки информационной безопасности создаваемых программных продуктов и поддержания защищенного состояния своих компьютерных сетей. К возможным недостаткам БДУ ФСТЭК России можно отнести меньшее общее количество покрытых реестром уязвимостей в сравнении как с базами CVE List и NVD, так и с базами данных уязвимостей, созданных коммерческими компаниями , а также отсутствие какой-либо агрегации отдельных записей которая характерна для такой базы данных, как Vulnerability Notes Database. С другой стороны, следует понимать, что иностранные реестры известных уязвимостей зачастую содержат большое количество записей, мало полезных для практического применения, в частности: информацию об очень старых более 15 лет уязвимостях устаревшего ПО и информацию об уязвимостях редкого и мало распространенного как в России, так и в мире в целом программного обеспечения.
Данный стандарт непосредственно определяет как формат идентификаторов и содержимого записей об отдельных обнаруженных уязвимостях, так и процесс резервирования идентификаторов для новых обнаруженных уязвимостей и пополнения соответствующих баз данных. Уже в 2000 году инициатива MITRE по созданию единого стандарта для регистрации и идентификации обнаруженных уязвимостей ПО получила широкую поддержку со стороны ведущих производителей программного обеспечения и исследовательских организаций в области информационной безопасности. В настоящее время по данным на март 2018 года поддержкой и администрированием реестра уязвимостей CVE занимается группа из 84 организаций по всему миру, в число которых входят ведущие производители программного обеспечения, телекоммуникационного оборудования и интернет-сервисов, такие как Apple, Cisco, Facebook, Google, IBM, Intel, Microsoft, Oracle и ряд компаний, специализирующихся в области информационной безопасности, например, F5 Networks, McAfee, Symantec, «Лаборатория Касперского» и др. При этом, хотя сами базы данных различаются на уровне функциональных возможностей, предоставляемых пользователям, сами списки записей об уязвимостях фактически идентичны друг другу.
Формально CVE List выступает изначальным источником записей для базы данных NVD, а специалисты, отвечающие за поддержку базы NVD, производят уточненный анализ и сбор доступной информации по уязвимостям, зарегистрированным в CVE List например, собирают ссылки на сторонние источники информации об уязвимости и мерах по ее устранению или предотвращению эксплуатации. Для каждой из обнаруженных уязвимостей запись в базе содержит краткое описание типа и причин уязвимости, уязвимые версии ПО, оценку критичности уязвимости в соответствии со стандартом CVSS Common Vulnerability Scoring System и ссылки на внешние источники с информацией об уязвимости — чаще всего, таковыми выступают информационные бюллетени на сайтах производителей программного обеспечения или исследовательских организаций. Также возможно автоматическое получение обновлений в машиночитаемом виде через специальный data feed CVE Change Log он позволяет как отслеживать появление новых идентификаторов CVE, так и изменения в записях для уже существующих. При обнаружении новой уязвимости производителем ПО или исследовательской организацией или подтверждении наличия уязвимости вендором ПО в ответ на сообщение от частных исследователей или организаций, не входящих в CVE Numbering Authorities под нее оперативно регистрируется новый идентификатор CVE и создается запись в базе, после чего происходит периодическое обновление информации.
При этом уникальность регистрируемого идентификатора обеспечивается иерархической структурой CNAs как показано на рисунке , в которой корневые организации Root CNA делят и распределяют между подчиненными организациями Sub CNA диапазон доступных в этом году идентификаторов CVE. Каждая из соответствующих подчиненных организаций в свою очередь распоряжается предоставленным диапазоном идентификаторов для создания записей об обнаруженных уязвимостях в своих собственных продуктах, либо обнаруженных уязвимостях в продуктах третьей стороны, при условии, что она не является участником CVE Numbering Authorities. Рисунок 1: Иерархическая структура CNAs Сильной стороной самого стандарта CVE является его повсеместная поддержка в современных программных продуктах и сервисах, направленных на обеспечение информационной безопасности. Некоторым естественным ограничением баз данных CVE List и NVD является отсутствие в записях об уязвимостях какой-либо информации о точном месте локализации уязвимости в коде уязвимого ПО и возможных векторах атак, посредством которых возможна эксплуатация данной уязвимости.
В некоторых случаях данная информация может быть найдена по ссылкам на внешние ресурсы, однако в большинстве случаев производители и вендоры ПО избегают публикации данной информации, причем не только на период разработки и внедрения патчей, закрывающих обнаруженную уязвимость, но и в последующем. Частично такая политика объясняется нежеланием участников CVE Numbering Authorities предоставлять подобную информацию потенциальным злоумышленникам, особенно в свете того, что уязвимое программное обеспечение может быть широко распространено по всему миру, а эксплуатирующие его организации часто не имеют возможностей или не придают должного значения своевременной установке обновлений. Иным же из подобных инициатив в области информационной безопасности, например, базе данных уязвимостей OSVDB Open Sourced Vulnerability Database — повезло гораздо меньше.
Предельная штатная численность центрального аппарата ведомства составит 289 единиц сейчас — 260 , территориальных органов — 1 101 единиц сейчас — 1 012.
Теперь служба будет заниматься в том числе созданием информационной автоматизированной системы для управления деятельностью по технической защите информации и обеспечению безопасности значимых объектов КИИ и функционирования этой системы. В пределах своей компетенции ФСТЭК будет вести централизованный учет информационных систем и иных объектов КИИ по отраслям экономики, а также мониторинг текущего состояния технической защиты информации и обеспечения безопасности значимых объектов КИИ. Объекты КИИ — это информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов КИИ. К субъектам КИИ относятся ведомства, операторы связи, банки и другие социально-значимые учреждения.
Просмотреть базу данных угроз ФСТЭК России можно на официальном сайте контролирующего органа в разделе «Техническая защита информации» либо перейти по прямой ссылке bdu. На сегодняшний день в банке описано более 200 УБ и почти 30 тысяч уязвимостей. Есть ряд производителей софта, разработки которых постоянно отслеживаются. Особенности банка данных угроз ФСТЭК России для входа в БДУ не требуется регистрация, доступ предоставляется с любого устройства; необходимо обязательно ознакомиться со сведениями, которые содержатся в БДУ разработчикам ПО, компаниям-производителям средств защиты, операторам ПДн, испытательным лабораториям и органам сертификации СЗИ; база существует только в электронном формате, постоянно обновляется и корректируется по запросу пользователей, при этом не имеет признаков иерархической классификационной системы то есть это просто список без градации угроз по каким-либо параметрам. Определять степень опасности и вероятности каждому оператору предстоит самостоятельно, учитывая характеристики и особенности эксплуатации ИС; получать данные из БДУ можно бесплатно и неограниченное количество раз, а при её распространении нужно указывать источник полученной информации; дополнение списка осуществляется в соответствии с установленным регламентом, который предполагает проверку запроса об уязвимости. Нужно учитывать, что отправка сведений через раздел «Обратная связь», предполагает публикацию их в БДУ с целью изучения и проработки механизмов устранения уязвимостей ПО; если планируется применение информации из базы в коммерческих целях, например, в работе сканеров безопасности, то требуется получить разрешение от ФСТЭК.
БДУ ФСТЭК РОССИИ Telegram канал
| Новая методика оценки УБИ - Утверждено ФСТЭК России - НПП СВК | Расчет базовой, контекстной и временной метрик по методике CVSS с использованием калькулятора CVSS6 V3 или V3.1, размещенного в БДУ ФСТЭК России7. |
| Анализ уязвимостей и оценка соответствия по ОУД4 | 01.03.2024 на сайте ФСТЭК России опубликован проект национального стандарта ГОСТ Р. upd На праздниках развернул сервер с альтернативной формой БДУ ФСТЭК. |
Общий обзор реестров и классификаций уязвимостей (CVE, OSVDB, NVD, Secunia)
ФСТЭК России Олег Василенко Россия. Заместитель руководителя ФСТЭК России Виталий Лютиков заявил о подготовке новых требований по защите информации, содержащейся в государственных системах. Итоги совместной работы с БДУ БИ ФСТЭК России за последние 3 года. 6457 подписчиков. В течение 2015 года ФСТЭК России планирует осуществлять мониторинг и анализ функционирования банка данных угроз безопасности. АИС «Налог-3» Информационная система ФНС России.
Банк угроз ФСТЭК: использовать нельзя игнорировать
В первую очередь будет проведена аналитика по сравнению техник и тактик из методики ФСТЭК России (FST&CK) с техниками, тактиками и контрмерами из матрицы MITRE ATT&CK и контрмерами из NIST 800-53. Главные новости об организации ФСТЭК России на В чисто прикладном смысле БДУ ФСТЭК содержит огромное количество различных возможных угроз. БДУ) ФСТЭК России. Что такое банк угроз: цели создания и доступ к информации. Что такое банк угроз: цели создания и доступ к информации. ПО для хранения и обработки данных Tarantool успешно прошло испытания в системе сертификации ФСТЭК России.