Управление уязвимостями активов информационно-телекоммуникационных сетей

Оглавление

Предисловие

Введение
1. Основные понятия предметной области
1.1. Информационно-телекоммуникационная сеть организации
1.2. Активы и уязвимости
1.3. Процесс
1.4. Управление, управление активами и управление уязвимостями
1.5. Базовая терминология в области информационной безопасности
1.6. Базовая терминология в области сетевой безопасности
1.7. Базовая терминология в области кибербезопасности
Выводы по разделу 1

2. Управление активами информационно-телекоммуникационных сетей
2.1. Нормативная база управления активами
2.2. Основные принципы управления активами ИТКС
2.3. Система управления активами ИТКС
2.4. Стратегический план управления активами ИТКС
2.5. Политика управления активами ИТКС
2.6. Процесс управления активами ИТКС
2.6.1. Идентификация активов ИТКС
2.6.2. Планирование управления активами ИТКС
2.6.3. Внедрение управления активами ИТКС
2.6.4. Проверка деятельности по управлению активами ИТКС
2.6.5. Оценка деятельности по управлению активами ИТКС
2.7. Краткая инструкция по процессу управления активами ИТКС
Выводы по разделу 2

3. Нормативная база и интернет-ресурсы, посвященные уязвимостями
3.1. Международные документы, посвященные уязвимостям
3.1.1. ISO/IEC 29147:2018 о раскрытии информации об уязвимостях
3.1.2. ISO/IEC 30111:2019 о процессах обработки сообщений об уязвимостях
3.1.3. ISO/IEC 27035-2:2023 об уязвимостях ИБ и форме отчета о них
3.1.4. NIST SP 1800-5 об управлении ИТ-активами с учетом их уязвимостей
3.1.5. NIST SP 800-53 о мерах обеспечения ИБ для ИС и организаций с учетом уязвимостей
3.1.6. NISTIR 8011 об управлении уязвимостями ПО
3.1.7. NIST SP 800-40 об управлении жизненным циклом уязвимостей
3.1.8. NIST SP 800-216 об уязвимостях ИС
3.1.9. NIST Cybersecurity Framework (CSF) 2.0 об оценке рисков с учетом уязвимостей активов организации
3.2. Российские нормативные документы об уязвимостях
3.2.1. Базовая модель угроз безопасности ПДн при их обработке в ИСПДн ФСТЭК России об уязвимостях
3.2.2. ГОСТ Р ИСО/МЭК 27005-2010 об идентификации уязвимостей
3.2.3. ГОСТ Р 56545-2015 об описаниях уязвимостей ИС
3.2.4. ГОСТ Р 56546-2015 о классификации уязвимостей ИС
3.2.5. ГОСТ Р 57580.3-2022 об уязвимостях объектов информатизации и их защиты
3.2.6. ГОСТ Р 57580.4-2022 об управлении уязвимостями и их исправлениями
3.2.7. Методика тестирования обновлений безопасности программных и программно-аппаратных средств ФСТЭК России
3.2.8. Методика оценки уровня критичности уязвимостей программных и программно-аппаратных средств ФСТЭК России
3.2.9. Руководство по организации процесса управления уязвимостями ФСТЭК России
3.2.10. Методика анализа защищенности информационных систем ФСТЭК России
3.3. Интернет-ресурсы, посвященные уязвимостям
3.3.1. Базы CVE и NVD
3.3.2. Перечни CWE, CPE и CCE
3.3.3. База уязвимостей ФСТЭК России и Бюллетени НКЦКИ
Выводы по разделу 3

4. Процесс управления уязвимостями активов информационно-телекоммуникационных сетей
4.1. Общее представление процесса управления уязвимостями активов ИТКС
4.2. Подпроцесс мониторинга уязвимостей и оценки их применимости к активам ИТКС
4.3. Подпроцесс оценки уязвимостей активов ИТКС
4.4. Подпроцесс определения методов и приоритетов устранения уязвимостей активов ИТКС
4.5. Подпроцесс устранения уязвимостей активов ИТКС
4.6. Подпроцесс контроля устранения уязвимостей активов ИТКС
4.7. Участники процесса управления уязвимостями активов ИТКС
4.8. Модели зрелости процесса управления уязвимостями активов ИТКС
Выводы по разделу 4

5. Классификация и примеры уязвимостей активов информационно-телекоммуникационных сетей
5.1. Классификация уязвимостей активов ИТКС
5.1.1. Классификационный признак «Место нахождения уязвимости»
5.1.2. Классификационный признак «Предпосылки появления уязвимости»
5.1.3. Классификационный признак «Стадия жизненного цикла актива, на которой возникла уязвимость»
5.1.4. Классификационный признак «Сложность обнаружения уязвимости»
5.1.5. Классификационный признак «Сложность устранения уязвимости»
5.1.6. Классификационный признак «Возможность эксплуатации уязвимости»
5.1.7. Классификационный признак «Последствия эксплуатации уязвимости»
5.1.8. Классификационный признак «Уровень опасности уязвимости»
5.2. Уязвимости активов ИТКСна уровне сети
5.2.1. Уязвимости внешнего периметра ИТКС
Уязвимости сегментации внешнего периметра ИТКС
Уязвимости интернета
Уязвимости цепочки поставок
5.2.2. Уязвимости ИТ-инфраструктуры ИТКС
Уязвимости внутренней сегментации ИТКС
Уязвимости теневой ИТ-инфраструктуры ИТКС
Уязвимости хостов ИТКС
Уязвимости каналов связи и сетевого оборудования ИТКС
Уязвимости протоколов из стека протоколов TCP/IP
Уязвимости клиент-серверной архитектуры ИТКС
5.2.3. Уязвимости архитектуры защиты информации в ИТКС
5.3. Уязвимости аппаратных активов ИТКС
5.4. Уязвимости программных активов ИТКС
5.4.1. Уязвимости операционных систем хостов
5.4.2. Уязвимости систем управления базами данных
5.4.3. Уязвимости систем искусственного интеллекта, применяемых в программных активах ИТКС
5.5. Уязвимости, связанные с персоналом
Выводы по разделу 5

6. Автоматизированные средства управления уязвимостями активов информационно-телекоммуникационных сетей
6.1. Роль аудита и мониторинга информационной безопасности в управлении уязвимостями активов ИТКС
6.2. Эволюция систем анализа защищенности и их функциональных возможностей
6.3. Классификация систем анализа защищенности
6.4. Сетевые сканеры анализа защищенности
6.4.1. Размещение агентов сетевых сканеров
6.4.2. Принципы работы сетевых сканеров
6.4.3. Этапы работы сетевых сканеров
Подготовительный этап
Первый этап — идентификация доступных сетевых устройств
Второй этап — определение топологии сети
Третий этап — идентификация ОС
Четвертый этап — идентификация открытых портов
Пятый этап — идентификация служб и приложений
Шестой этап — идентификация уязвимостей
6.5. Системные сканеры анализа защищенности
6.6. Сканеры анализа защищенности приложений
6.7. Критерии выбора сканеров анализа защищенности
Выводы по разделу 6

Заключение

Принятые сокращения

Литература

Глоссарий

Приложение А. Обобщенная классификация уязвимостей активов ИТКСс примерами

Приложение Б. Уязвимости протоколов из стека протоколов TCP/IP
Б1. Уязвимости протоколов канального уровня
Б2. Уязвимости протоколов между канальным и сетевым уровнями
Б3. Уязвимости протоколов сетевого уровня
Б4. Уязвимости протоколов транспортного уровня
Б5. Уязвимости протоколов прикладного уровня

Приложение В. Уязвимости прикладных программ общего назначения

Приложение Г. Примеры сканеров анализа защищенности