БДУ ФСТЭК — особенности применения и использования информации об угрозах и уязвимостях
Обеспечение информационной безопасности начинается с понимания того, какие угрозы существуют для конкретной системы и какие недостатки ее защиты могут использовать злоумышленники. Для этого недостаточно установить антивирус, настроить межсетевой экран или провести разовое сканирование инфраструктуры. Необходимо определить потенциальные сценарии атак, оценить уязвимости используемого программного обеспечения и выбрать меры защиты с учетом особенностей информационной системы.
Одним из основных российских источников такой информации является Банк данных угроз безопасности информации ФСТЭК России (БДУ ФСТЭК). Он содержит сведения об известных уязвимостях программного обеспечения и программно-аппаратных средств, а также описания угроз безопасности информации.
Информация из БДУ используется при разработке моделей угроз, анализе защищенности информационных систем, управлении уязвимостями и обосновании технических и организационных мер безопасности.
Для промышленных объектов предусмотрен также специализированный ресурс, учитывающий особенности автоматизированных систем управления технологическими процессами (АСУ ТП).
При этом БДУ нельзя рассматривать как готовый перечень угроз, который достаточно перенести в документацию организации. Чтобы информация действительно помогала защищать инфраструктуру, необходимо правильно интерпретировать записи, сопоставлять их с используемыми технологиями и оценивать применимость обнаруженных угроз.
Разберем, как устроен БДУ ФСТЭК, чем отличаются угрозы от уязвимостей, как использовать общий и специализированный банки данных и какие ограничения необходимо учитывать при работе с ними.
Содержание:
Одним из основных российских источников такой информации является Банк данных угроз безопасности информации ФСТЭК России (БДУ ФСТЭК). Он содержит сведения об известных уязвимостях программного обеспечения и программно-аппаратных средств, а также описания угроз безопасности информации.
Информация из БДУ используется при разработке моделей угроз, анализе защищенности информационных систем, управлении уязвимостями и обосновании технических и организационных мер безопасности.
Для промышленных объектов предусмотрен также специализированный ресурс, учитывающий особенности автоматизированных систем управления технологическими процессами (АСУ ТП).
При этом БДУ нельзя рассматривать как готовый перечень угроз, который достаточно перенести в документацию организации. Чтобы информация действительно помогала защищать инфраструктуру, необходимо правильно интерпретировать записи, сопоставлять их с используемыми технологиями и оценивать применимость обнаруженных угроз.
Разберем, как устроен БДУ ФСТЭК, чем отличаются угрозы от уязвимостей, как использовать общий и специализированный банки данных и какие ограничения необходимо учитывать при работе с ними.
Содержание:
- Что такое БДУ ФСТЭК России
- Общий БДУ ФСТЭК: структура и назначение
- Чем угроза отличается от уязвимости
- Как использовать БДУ ФСТЭК при разработке модели угроз
- Как использовать реестр уязвимостей БДУ ФСТЭК
- Специализированный Банк данных АСУ ТП: особенности и назначение
- Чем общий БДУ отличается от специализированного БДУ АСУ ТП
- Анализ уязвимостей АСУ ТП: почему требуется отдельный подход
- Как применять БДУ ФСТЭК на практике: пример
- Ограничения БДУ ФСТЭК
- Рекомендации по использованию БДУ ФСТЭК
- Вопросы и ответы
- Заключение
Команда редакторов "Гладиаторы ИБ"
Дата публикации: 27.09.2026
Время прочтения 12 минут
Время прочтения 12 минут
Что такое БДУ ФСТЭК России
Банк данных угроз безопасности информации ФСТЭК России — государственный информационный ресурс, содержащий сведения об угрозах безопасности информации и известных уязвимостях программного обеспечения и программно-аппаратных средств.
Банк ведет Федеральная служба по техническому и экспортному контролю (ФСТЭК России). Доступ к опубликованной информации предоставляется через официальный ресурс bdu.fstec.ru.
В информационном сообщении ФСТЭК России от 6 марта 2015 года № 240/22/879 определены назначение банка данных, его основные информационные разделы и порядок использования содержащихся в нем сведений.
БДУ предназначен для информационной поддержки работ по защите государственных информационных систем, систем персональных данных, автоматизированных систем управления и других объектов, для которых необходимо оценивать угрозы и уязвимости.
Ресурс позволяет специалистам использовать систематизированные сведения вместо самостоятельного формирования перечня потенциальных угроз исключительно на основе отдельных публикаций и результатов обследования.
Какая информация содержится в БДУ
В общем банке данных выделяются два основных направления.
Угрозы безопасности информации. Описания возможных действий и событий, способных привести к нарушению конфиденциальности, целостности или доступности информации и информационных систем.
Уязвимости программного обеспечения. Сведения о недостатках программных продуктов и программно-аппаратных средств, которые при определенных условиях могут быть использованы для реализации угроз.
Эти категории тесно связаны, но не являются взаимозаменяемыми.
Например, несанкционированный доступ к информации — возможная угроза. Ошибка проверки прав доступа в конкретной версии веб-приложения — уязвимость, эксплуатация которой может способствовать реализации такой угрозы.
Соответственно, сведения об угрозах помогают определить потенциально опасные сценарии, а информация об уязвимостях — обнаруживать конкретные недостатки в используемых технологиях.
Общий БДУ ФСТЭК: структура и назначение
Общий БДУ ФСТЭК объединяет сведения, применимые к различным типам информационных и автоматизированных систем.
Информация в нем систематизирована таким образом, чтобы специалисты могли использовать записи при анализе угроз, подготовке документации и планировании защитных мероприятий.
Перечень угроз безопасности информации
Каждая угроза имеет собственный идентификатор вида УБИ.XXX, где числовая часть обозначает конкретную запись.
Описание угрозы может включать информацию о ее источнике, объекте воздействия и возможных последствиях.
При изучении записи необходимо определить:
- какой объект информационной системы может подвергнуться воздействию;
- кто потенциально способен реализовать угрозу;
- какие возможности необходимы нарушителю;
- к каким нарушениям безопасности может привести реализация угрозы;
- существуют ли условия для реализации соответствующего сценария в конкретной инфраструктуре.
Например, для корпоративной информационной системы может рассматриваться угроза получения несанкционированного доступа к данным через внешние интерфейсы.
Однако сама возможность такой атаки зависит от архитектуры системы, доступности интерфейсов, настроек авторизации и других факторов.
Поэтому наличие угрозы в БДУ не означает, что она автоматически является актуальной для каждой организации.
База известных уязвимостей
Другой важный раздел — сведения об уязвимостях программного обеспечения.
Записи имеют идентификаторы формата BDU:ГГГГ-NNNNN, где указывается год и регистрационный номер уязвимости.
В зависимости от конкретной записи могут присутствовать следующие сведения:
- наименование и описание уязвимости;
- производитель программного продукта;
- затронутые версии программного обеспечения;
- тип ошибки безопасности;
- возможные последствия эксплуатации;
- оценка опасности;
- сведения о способах эксплуатации;
- рекомендации по устранению;
- ссылки на связанные идентификаторы и источники информации.
Отдельные уязвимости также имеют идентификаторы CVE и классифицируются по категориям ошибок CWE.
Информация об уязвимостях включается в БДУ на основании сведений производителей, исследователей и результатов специализированных исследований. Порядок их рассмотрения регулируется документами ФСТЭК России.
Чем угроза отличается от уязвимости
При использовании БДУ важно различать потенциальную угрозу безопасности и технический недостаток, позволяющий ее реализовать.
Критерий | Угроза безопасности информации | Уязвимость |
Что описывает | Потенциальный сценарий нарушения безопасности | Недостаток системы, настройки или компонента |
Пример | Несанкционированный доступ к информации | Ошибка проверки прав пользователя |
Идентификатор в общем БДУ | УБИ.XXX | BDU:ГГГГ-NNNNN |
Основное применение | Разработка модели угроз | Анализ защищенности и управление уязвимостями |
Результат анализа | Определение актуальных сценариев воздействия | Выявление и приоритизация недостатков защиты |
При этом одна уязвимость может использоваться для реализации нескольких угроз, а одна угроза — осуществляться через различные уязвимости и недостатки организационных мер.
Например, утечка конфиденциальных данных может произойти в результате ошибки авторизации, компрометации учетной записи или неправильной настройки облачного хранилища.
Следовательно, нельзя ограничивать оценку угроз исключительно поиском известных технических уязвимостей.
Как использовать БДУ ФСТЭК при разработке модели угроз
Одно из основных направлений применения БДУ — формирование модели угроз безопасности информации.
Модель угроз представляет собой описание потенциальных источников угроз, объектов воздействия, возможных способов реализации атак и последствий для конкретной системы.
При разработке модели необходимо учитывать архитектуру информационной системы, используемые технологии, характер обрабатываемых данных и возможности потенциальных нарушителей.
Методика оценки угроз безопасности информации ФСТЭК России от 5 февраля 2021 года предусматривает использование общего перечня угроз БДУ наряду с другими источниками, включая отраслевые модели угроз и описания векторов компьютерных атак.
Этап 1. Определение объектов защиты
Сначала необходимо установить, какие компоненты входят в рассматриваемую информационную систему.
Например:
- серверы приложений и баз данных;
- рабочие станции пользователей;
- сетевое оборудование;
- средства удаленного доступа;
- системы хранения информации;
- виртуальная инфраструктура;
- прикладное программное обеспечение;
- внешние и внутренние интерфейсы взаимодействия.
Также определяются обрабатываемые сведения и возможные последствия нарушения их конфиденциальности, целостности или доступности.
Для системы обработки персональных данных существенным последствием может стать раскрытие защищаемой информации. Для производственного объекта критичным риском может оказаться нарушение непрерывности технологического процесса.
Этап 2. Выбор потенциальных угроз
После описания системы специалисты обращаются к перечню угроз БДУ и другим источникам.
На этом этапе формируется предварительный список угроз, потенциально применимых к рассматриваемым объектам.
Например, если в инфраструктуре используется удаленный доступ, необходимо оценить сценарии несанкционированного подключения, компрометации учетных данных и эксплуатации уязвимостей соответствующих сервисов.
При этом отбор угроз должен основываться на реальных характеристиках системы, а не на стремлении включить в документацию максимально возможное количество записей.
Этап 3. Анализ возможностей нарушителя
Следующий этап — определение потенциальных источников угроз и их возможностей.
Необходимо учитывать, какие действия способны выполнить внешние или внутренние нарушители, какой доступ им доступен и какие условия необходимы для реализации атаки.
Например, эксплуатация уязвимости во внутреннем сервисе может требовать первоначального доступа к корпоративной сети.
Если сервис изолирован от интернета, это влияет на возможные сценарии атаки, но не обязательно исключает угрозу полностью: злоумышленник может проникнуть через другое устройство или использовать скомпрометированную учетную запись.
Этап 4. Оценка актуальности угроз
Предварительно выбранные угрозы анализируются с учетом архитектуры, условий эксплуатации и возможных способов реализации.
В результате определяется, какие сценарии необходимо учитывать при проектировании системы защиты.
Важно, что оценка актуальности не должна сводиться к отметкам в таблице. Для каждого существенного сценария необходимо понимать, через какие компоненты может осуществляться воздействие и какие последствия возможны.
Этап 5. Определение мер защиты
На основании результатов оценки угроз формируются требования к системе информационной безопасности.
В зависимости от выявленных рисков могут предусматриваться:
- сегментация сети;
- управление правами доступа;
- многофакторная аутентификация;
- контроль привилегированных учетных записей;
- защита удаленных подключений;
- мониторинг событий безопасности;
- управление уязвимостями;
- резервное копирование;
- защита конечных устройств;
- ограничение взаимодействия между компонентами.
Выбор мер должен учитывать применимые нормативные требования, особенности системы и результаты анализа угроз.
Как использовать реестр уязвимостей БДУ ФСТЭК
База уязвимостей используется для выявления известных недостатков программного обеспечения и определения необходимых корректирующих мероприятий.
Однако сам по себе реестр уязвимостей не показывает, какие проблемы действительно присутствуют в инфраструктуре организации.
Для этого сведения БДУ необходимо сопоставлять с результатами инвентаризации и обследования информационных систем.
Инвентаризация программного обеспечения
Первый этап — получение актуального перечня используемых технологий.
Необходимо определить:
- наименования программных продуктов;
- установленные версии;
- используемые операционные системы;
- программные компоненты и библиотеки;
- прошивки сетевого оборудования;
- программное обеспечение виртуальной инфраструктуры;
- компоненты, доступные из внешних сетей.
Без достоверной информации о составе инфраструктуры даже регулярно обновляемая база уязвимостей имеет ограниченную практическую ценность.
Сопоставление с опубликованными уязвимостями
Далее специалисты проверяют, существуют ли в БДУ записи, относящиеся к используемым продуктам и версиям.
Если совпадение найдено, необходимо определить, действительно ли система подвержена уязвимости.
Например, наличие уязвимой версии библиотеки не всегда означает возможность эксплуатации соответствующего недостатка. Иногда опасная функциональность не используется, либо для атаки необходимы дополнительные условия.
Поэтому автоматическое совпадение продукта и версии требует подтверждения.
Оценка опасности
При определении приоритетов устранения можно учитывать оценки CVSS, наличие известных способов эксплуатации и значимость затронутой системы.
Однако числовая оценка критичности не должна быть единственным основанием для принятия решения.
Например, уязвимость средней критичности в общедоступном сервисе, обеспечивающем обработку конфиденциальных данных, может иметь более высокий практический приоритет, чем критическая уязвимость компонента, который отсутствует в рабочей конфигурации.
Необходимо учитывать условия эксплуатации, доступность компонента, возможные последствия и наличие компенсирующих мер.
Устранение уязвимостей
По результатам анализа принимается решение о дальнейших действиях.
Это может быть:
- установка обновления безопасности;
- изменение конфигурации;
- ограничение сетевого доступа;
- отключение неиспользуемого сервиса;
- применение дополнительных средств защиты;
- замена неподдерживаемого компонента;
- временное применение компенсирующих мер.
После устранения проблемы необходимо подтвердить результат повторной проверкой.
Если установить исправление невозможно, остаточный риск должен оцениваться отдельно, а выбранные компенсирующие меры — документироваться и контролироваться.
Специализированный Банк данных АСУ ТП: особенности и назначение
Для промышленной инфраструктуры используются не только сведения общего БДУ, но и специализированный ресурс — Банк данных угроз АСУ ТП.
Он доступен по адресу bduasutp.fstec.ru и ориентирован на угрозы, уязвимости и способы воздействия, характерные для автоматизированных систем управления технологическими процессами.
Специализированный Банк данных АСУ ТП содержит сведения об угрозах безопасности технологических систем, возможных объектах воздействия, способах реализации угроз, недостатках конфигурации и рекомендуемых мерах защиты.
Необходимость отдельного рассмотрения промышленной инфраструктуры связана с ее особенностями.
В отличие от обычных корпоративных ИТ-систем, АСУ ТП могут управлять оборудованием и физическими процессами. Нарушение их работы способно привести не только к потере данных, но и к остановке производства, повреждению оборудования или другим значимым последствиям.
Какие угрозы рассматривает БДУ АСУ ТП
Специализированный банк содержит сценарии, связанные с воздействием на технологическую инфраструктуру.
Например:
Несанкционированное удаленное подключение. Получение доступа к компонентам АСУ ТП через штатные сервисы удаленного администрирования или сетевые механизмы.
Несанкционированная модификация информации. Изменение управляющих, измерительных или конфигурационных данных, способное повлиять на выполнение технологического процесса.
Подмена компонентов или данных. Внедрение ложной информации или изменение работы отдельных элементов системы управления.
Нарушение функционирования. Воздействие на программируемые логические контроллеры (ПЛК), промышленные серверы и другие компоненты, способное нарушить их штатную работу.
Несанкционированный сбор сведений об инфраструктуре. Получение информации о сетевой архитектуре, сервисах, оборудовании и потенциальных уязвимостях технологической сети.
Эти сценарии представлены в специализированном банке с учетом характеристик промышленных систем и возможных способов воздействия.
Какие объекты учитываются при анализе угроз АСУ ТП
К потенциальным объектам воздействия относятся различные компоненты технологической инфраструктуры:
- автоматизированные рабочие места операторов;
- инженерные станции;
- промышленные серверы;
- программируемые логические контроллеры;
- панели оператора;
- датчики и исполнительные механизмы;
- сетевое оборудование;
- устройства промышленного интернета вещей;
- средства защиты информации.
При этом особенности каждого компонента влияют на способы реализации угроз и допустимые меры защиты.
Например, для инженерной станции может быть актуальна защита от несанкционированного изменения программ контроллеров, а для промышленного сетевого оборудования — обеспечение сегментации и контроль межсегментных соединений.
Чем общий БДУ отличается от специализированного БДУ АСУ ТП
Оба ресурса используются для анализа угроз и совершенствования информационной безопасности, однако имеют разную предметную направленность.
Критерий | Общий БДУ ФСТЭК | Специализированный БДУ АСУ ТП |
Основная направленность | Угрозы и известные уязвимости информационных систем и ПО | Угрозы и недостатки защиты промышленной автоматизации |
Объекты анализа | Серверы, приложения, сетевое оборудование и другие компоненты | ПЛК, инженерные станции, АРМ операторов, промышленные сети и оборудование |
Типовые последствия | Нарушение конфиденциальности, целостности и доступности информации | В том числе нарушение управления технологическим процессом |
Учет особенностей архитектуры | Общие характеристики информационных систем | Специфика промышленных протоколов и технологических компонентов |
Примеры применения | Разработка моделей угроз, управление уязвимостями | Анализ угроз АСУ ТП и проектирование защиты технологических сегментов |
Адрес | bdu.fstec.ru | bduasutp.fstec.ru |
Использовать эти источники целесообразно совместно, если в организации присутствуют и корпоративная ИТ-инфраструктура, и технологические системы.
Например, атака на АСУ ТП может начинаться с компрометации корпоративного компьютера, после чего злоумышленник пытается получить доступ к технологическому сегменту.
В этом случае анализ только промышленных компонентов может оказаться недостаточным, поскольку первоначальные способы проникновения связаны с обычной ИТ-инфраструктурой.
Анализ уязвимостей АСУ ТП: почему требуется отдельный подход
В промышленной среде устранение уязвимостей часто сложнее, чем в корпоративных информационных системах.
Оборудование может эксплуатироваться многие годы, использовать специализированное ПО и требовать согласования изменений с производителем или технологическими подразделениями.
Кроме того, установка обновлений и проведение активного сканирования могут влиять на стабильность технологического процесса.
Поэтому анализ уязвимостей в АСУ ТП должен учитывать не только техническую критичность недостатка, но и условия эксплуатации оборудования.
Уязвимости конфигурации
Специализированный банк рассматривает, в частности, ошибки настройки технологических систем.
Примеры:
- наличие ненужных открытых портов и сервисов;
- использование слабых паролей;
- предоставление пользователям избыточных полномочий;
- отсутствие необходимых ограничений доступа;
- неправильная настройка сетевого взаимодействия.
Например, в БДУ АСУ ТП описана уязвимость BDA:C001, связанная с наличием открытых портов и работающих сервисов, не требующихся для штатных функций компонентов. В качестве возможного примера рассматривается использование удаленного рабочего стола на АРМ оператора.
Открытые порты и сервисы
Другой пример — BDA:C006, связанный с назначением пользователям избыточных полномочий. Такая конфигурация может создавать условия для несанкционированного изменения параметров системы.
Наделение пользователей избыточными полномочиями
Подобные проблемы не обязательно связаны с ошибками разработчика программного продукта. Они могут возникать из-за неправильной конфигурации и недостаточного контроля изменений.
Особенности проверки промышленного оборудования
При обследовании АСУ ТП необходимо учитывать возможность негативного воздействия диагностических инструментов.
Например, агрессивное сканирование сетевых сервисов может создавать дополнительную нагрузку на устройства, которые не рассчитаны на интенсивный обмен диагностическими запросами.
В отдельных случаях это способно привести к нестабильной работе компонентов.
Поэтому активные проверки промышленной инфраструктуры должны проводиться только после оценки допустимости, согласования с ответственными подразделениями и учета рекомендаций производителей оборудования.
Для первичной инвентаризации и анализа сетевого взаимодействия в зависимости от архитектуры могут применяться пассивные методы мониторинга.
Как применять БДУ ФСТЭК на практике: пример
Рассмотрим условную производственную компанию, инфраструктура которой включает корпоративную сеть и отдельный технологический сегмент.
В корпоративной сети используются почтовые серверы, рабочие станции, VPN и системы управления производством. В технологическом сегменте работают промышленные контроллеры, АРМ операторов и инженерные станции.
Компания планирует провести оценку защищенности и актуализировать модель угроз.
Шаг 1. Инвентаризация инфраструктуры
Специалисты определяют состав информационных и технологических систем, используемые версии ПО, сетевые соединения и способы удаленного доступа.
Отдельно фиксируются точки взаимодействия корпоративного и технологического сегментов.
Шаг 2. Формирование перечня угроз
Из общего БДУ выбираются потенциально применимые угрозы для корпоративных систем.
Для АСУ ТП дополнительно используются сведения специализированного банка.
Например, могут рассматриваться сценарии компрометации удаленного доступа, проникновения через инженерную станцию и несанкционированного изменения параметров контроллеров.
Шаг 3. Анализ известных уязвимостей
Сведения о программном обеспечении сопоставляются с опубликованными записями об уязвимостях.
Дополнительно анализируются недостатки конфигурации, возможные ошибки разграничения доступа и небезопасные сетевые соединения.
В технологическом сегменте методы проверки подбираются с учетом требований непрерывности производства.
Шаг 4. Оценка сценариев реализации угроз
Специалисты определяют, какие сценарии действительно могут реализоваться в существующей архитектуре.
Например, если инженерная станция имеет доступ к корпоративной сети и технологическим контроллерам, необходимо оценить возможность использования этого взаимодействия для перемещения злоумышленника между сегментами.
Шаг 5. Разработка мер защиты
На основании выявленных рисков организация может принять решение о дополнительной сегментации сети, ограничении удаленного доступа, изменении полномочий пользователей и усилении мониторинга.
Для компонентов, которые невозможно оперативно обновить, могут быть предусмотрены компенсирующие меры.
Шаг 6. Документирование результатов
По результатам работы формируются или актуализируются:
- модель угроз безопасности информации;
- перечень выявленных уязвимостей;
- результаты оценки применимости угроз;
- рекомендации по устранению недостатков;
- план корректирующих мероприятий;
- требования к дополнительным средствам защиты.
Такой подход позволяет использовать БДУ как практический источник информации для принятия технических и организационных решений.
Ограничения БДУ ФСТЭК
Несмотря на значимость банка данных, использовать его как единственный источник информации о киберугрозах нецелесообразно.
Не все уязвимости сразу появляются в базе
Между обнаружением уязвимости, ее подтверждением и публикацией информации может проходить определенное время.
Поэтому отсутствие записи в БДУ не означает, что программный продукт не содержит известных недостатков безопасности.
Для получения более полной картины необходимо учитывать сообщения производителей, результаты собственных проверок и сведения других профильных источников.
Наличие угрозы не означает ее актуальность
Общий перечень угроз предназначен для использования при анализе различных информационных систем.
Некоторые сценарии могут быть неприменимы к конкретной инфраструктуре из-за отсутствия соответствующих компонентов, интерфейсов или условий реализации.
Поэтому механическое включение всех угроз в модель не повышает качество оценки безопасности.
Оценки критичности требуют контекста
Даже высокие показатели опасности уязвимости не всегда отражают фактический риск для конкретной компании.
Необходимо учитывать доступность системы, наличие исправлений, возможности потенциального нарушителя и последствия успешной эксплуатации.
БДУ не заменяет техническое обследование
Банк данных предоставляет информацию об известных угрозах и уязвимостях, но не выполняет автоматическую проверку конкретной инфраструктуры.
Для выявления реальных недостатков необходимо проводить инвентаризацию, анализ конфигураций, обследование архитектуры и другие применимые мероприятия.
Требуется регулярная актуализация
Информационные системы изменяются: обновляется программное обеспечение, появляются новые сервисы, меняются сетевые соединения и механизмы доступа.
Одновременно появляются новые сведения об угрозах и уязвимостях.
Поэтому результаты оценки должны пересматриваться при значимых изменениях инфраструктуры и в рамках установленного процесса управления рисками.
Рекомендации по использованию БДУ ФСТЭК
Для систематической работы с банком данных рекомендуется организовать несколько связанных процессов.
Актуальная инвентаризация. Поддерживать сведения о программном обеспечении, оборудовании и версиях компонентов, включая системы, критичные для бизнеса.
Периодический анализ новых уязвимостей. Проверять появление записей, затрагивающих используемые технологии, и оценивать необходимость корректирующих действий.
Актуализация модели угроз. Пересматривать применимые сценарии при изменении архитектуры, появлении новых интерфейсов и существенных изменениях условий эксплуатации.
Использование нескольких источников. Дополнять сведения БДУ рекомендациями производителей, результатами обследований и данными Threat Intelligence.
Приоритизация по риску. Учитывать не только формальную критичность уязвимости, но и ее применимость, доступность затронутого компонента и возможные последствия.
Контроль устранения. Фиксировать ответственных, сроки исправления и результаты повторной проверки.
Отдельный подход к АСУ ТП. Согласовывать проверки и изменения, способные повлиять на технологический процесс, с ответственными подразделениями и производителями оборудования.
Вопросы и ответы
Что такое БДУ ФСТЭК простыми словами?
БДУ ФСТЭК — государственный банк данных, содержащий сведения об угрозах безопасности информации и известных уязвимостях программного обеспечения. Он используется специалистами для оценки рисков, разработки моделей угроз и планирования защитных мероприятий.
Где находится официальный БДУ ФСТЭК?
Общий банк данных доступен на сайте bdu.fstec.ru. Специализированный ресурс для автоматизированных систем управления технологическими процессами расположен на bduasutp.fstec.ru.
Чем БДУ ФСТЭК отличается от CVE?
CVE — международная система присвоения идентификаторов публично известных уязвимостей. БДУ ФСТЭК представляет собой российский банк данных, который содержит сведения об уязвимостях, а также отдельный перечень угроз безопасности информации. Для уязвимостей могут указываться связанные идентификаторы CVE.
Что такое БДУ АСУ ТП?
БДУ АСУ ТП — специализированный банк данных угроз и уязвимостей, ориентированный на промышленные автоматизированные системы управления. Он учитывает особенности технологических компонентов, возможные способы воздействия на них и последствия нарушения работы производственных систем.
Обязательно ли использовать БДУ при разработке модели угроз?
Методика оценки угроз безопасности информации ФСТЭК России предусматривает использование сведений общего БДУ в качестве одного из источников информации. Конкретные обязательства организации определяются применимыми нормативными требованиями и характеристиками защищаемой системы.
Можно ли использовать БДУ ФСТЭК для автоматического анализа уязвимостей?
Данные банка могут использоваться в процессах автоматизированного сопоставления известных уязвимостей с установленным программным обеспечением, если это поддерживают применяемые инструменты и доступны необходимые данные. Однако для подтверждения уязвимости и оценки ее фактической опасности требуется дополнительный анализ.
Чем специализированный банк АСУ ТП отличается от общего БДУ?
Общий БДУ содержит сведения об угрозах и уязвимостях, применимые к широкому кругу информационных систем. Специализированный банк АСУ ТП подробнее рассматривает особенности промышленной автоматизации, включая контроллеры, инженерные станции, технологические сети и возможное воздействие атак на производственные процессы.
Заключение
Банк данных угроз безопасности информации ФСТЭК России — важный источник сведений для оценки защищенности информационных систем, разработки моделей угроз и управления уязвимостями.
Общий БДУ позволяет изучать потенциальные угрозы и известные недостатки программного обеспечения, а специализированный Банк данных АСУ ТП дополняет эту информацию с учетом особенностей промышленной инфраструктуры.
Однако практическая ценность этих ресурсов определяется правильным применением опубликованных сведений. Недостаточно перенести перечень угроз в документацию или автоматически сопоставить версии программного обеспечения с записями базы. Необходимо учитывать реальную архитектуру системы, возможности нарушителей, условия эксплуатации и возможные последствия атак.
Комплексный подход предполагает использование БДУ совместно с инвентаризацией инфраструктуры, техническим обследованием, оценкой угроз, анализом уязвимостей и последующим контролем выполнения защитных мероприятий.
Специалисты компании «Гладиаторы информационной безопасности» помогут провести анализ защищенности информационных систем и АСУ ТП, определить актуальные угрозы с использованием БДУ ФСТЭК, разработать модель угроз и подобрать необходимые организационные и технические меры защиты с учетом особенностей инфраструктуры и применимых нормативных требований.
Есть вопросы или запрос на проект по безопасности?
Нажимая на кнопку, вы даете согласие на обработку персональных данных и соглашаетесь c политикой конфиденциальности