Общая характеристика БДУ ФСТЭК России (Реестр – уязвимости)

Введение

Данная работа посвящена анализу Банка данных угроз безопасности информации,
разработанному Федеральной службой по техническому и экспортному контролю РФ
(далее – БДУ ФСТЭК России).
Данная организация является открытой коммерческой организацией, так как в
соответствии с пунктом 6 «Раздела уязвимости» сайта БДУ «ФСТЭК России»
информация, размещенная в настоящем Банке данных угроз безопасности информации,
является общедоступной и может распространяться на безвозмездной основе с указанием
источника информации. Использование информации, размещенной в Банке данных угроз
безопасности информации, в автоматизированных средствах контроля защищенности
информации (сканерах безопасности), создаваемых и распространяемых в коммерческих
целях, осуществляется по согласованию с ФСТЭК России.
К полномочиям данной организации, в числе прочего, относится лицензирование
деятельности различных организаций по осуществлению мероприятий или оказанию
услуг в области защиты государственной тайны, по созданию средств защиты
информации, по технической защите конфиденциальной информации, а также по
разработке и производству средств защиты конфиденциальной информации. Кроме того
ФСТЭК России выдает сертификаты на различные средства защиты информации
(антивирусные средства, системы обнаружения вторжений, межсетевые экраны и
аналогичные средства обеспечения информационной безопасности), которые прошли
специальные проверки и допускаются для использования в информационных системах
органов государственной власти и организаций с государственным участием.

1. Общая характеристика БДУ ФСТЭК России (Реестр – уязвимости)
Для обеспечения деятельности по сертификации средств защиты информации и
обнаружения уязвимостей программного обеспечения, ФСТЭК России с 2014 года
поддерживает собственный реестр известных угроз информационной безопасности и
уязвимостей программного обеспечения – Банк данных угроз безопасности информации
(БДУ ФСТЭК России, http://www.bdu.fstec.ru/).
Данный реестр уязвимостей в первую очередь ориентирован на сбор и хранение
информации об угрозах и уязвимостях ПО, используемого в государственных
организациях Российской Федерации, включая информационные системы и системы
управления критичными производственными процессами. Пополняется реестр
ФСТЭК России путем мониторинга общедоступных источников информации –
информационных бюллетеней российских и иностранных компаний, производящих ПО, а
также реестров и информационных бюллетеней исследовательских организаций и
компаний, предоставляющих услуги в области информационной безопасности.
На конец августа 2018 года в базе данных БДУ ФСТЭК России содержалось чуть
менее 19 тысяч записей, и реестр продолжает активно пополняться по мере публикации
информации об уязвимостях в других общедоступных базах данных. Так, за последние
два года в базу БДУ ФСТЭК России было добавлено порядка 4 тысяч новых записей.
Все хранящиеся в БДУ ФСТЭК России записи имеют единообразный формат и
включают: текстовое описание уязвимости, дату обнаружения уязвимости, названия,
версии и производителей уязвимого ПО, информацию о типе ошибки, классе уязвимости
и текущем ее статусе (потенциально возможная либо подтвержденная производителями
ПО или независимыми исследователями уязвимость, устранена ли уязвимость в новых
версиях ПО). Также записи содержат оценку критичности уязвимости и сопутствующий
вектор CVSS, пометку о наличии известных готовых сценариев эксплуатации уязвимости
и возможного результата эксплуатации уязвимости, указание уязвимых аппаратных
платформ или операционных систем, список возможных методов противодействия
уязвимости и ссылки на источники дополнительной информации по уязвимости (включая
идентификаторы данной уязвимости в иных реестрах и базах данных).