Банк данных угроз (БДУ) АСУ ТП

Уязвимости конфигурации (настройки)

Отсутствие ограничений времени неактивности пользователей

Уязвимость заключается в отсутствии механизмов блокирования сеанса доступа к компоненту АСУ ТП (удаленного или локального) при превышении заданного времени неактивности. При этом для ряда компонентов ввиду особенностей их функционирования (например, АРМ оператора) отсутствие такого ограничения не будет являться уязвимостью

BDA:C010

Отсутствие ограничения числа параллельных сеансов доступа

Уязвимость заключается в отсутствии ограничения числа параллельных сеансов доступа для каждой учетной записи пользователя компонента АСУ ТП. Уязвимость актуальна для тех компонентов АСУ ТП, для которых осуществляется штатное удаленное подключение, например, SCADA-сервер

BDA:C009

Отсутствие ограничений на количество попыток доступа

Уязвимость заключается в отсутствии временного блокирования возможности ввода пароля для пользователя при превышении им заданного количества неуспешных попыток (количества неправильно введенных паролей)

BDA:C008

Использование одной учетной записи для разных категорий пользователей

Уязвимость заключается в использовании одной учетной записи для различных пользователей, имеющих различные должностные обязанности и полномочия по доступу к системе, например, использование одной учетной записи для администратора безопасности и инженера АСУ ТП

BDA:C007

Наделение пользователей избыточными полномочиями

Уязвимость заключается в наделении пользователей полномочиями, которые им не требуются для выполнения их должностных обязанностей. Например, наделение оператора АСУ ТП полномочиями на установку и удаление программ

BDA:C006

Использование некорректных учетных записей пользователей

Уязвимость заключается в использовании учетных записей пользователей, не имеющих легитимное право на доступ к защищаемому компоненту АСУ ТП, например, уволившихся сотрудников, временных учетных записей и т.д.

BDA:C005

Использование нестойких к перебору паролей

Уязвимость заключается в использовании в качестве паролей комбинаций символов и слов, которые могут быть подобраны простым перебором, например, «123», «ivanov»

BDA:C004

Использование паролей, установленных по умолчанию

Уязвимость заключается в сохранении в модулях аутентификации и идентификации пользователей паролей и логинов, установленных производителем (паролей по умолчанию), типа «admin», «user» и т.д.

BDA:C003

Отображение символов вводимых паролей

Уязвимость заключается в отображении символов вводимых паролей на экране в явном виде без замены на скрывающие символы типа «*», «•» и т.д. Такие уязвимости могут приводить к получению аутентификационной информации лицами, не имеющим на это полномочий

BDA:C002

Открытые порты и сервисы

Уязвимость заключается в наличии открытых портов и работающих сервисов компонентов АСУ ТП, которые не требуются для реализации штатных функций этих компонентов (например, удаленный рабочий стол на АРМ оператора). Такие уязвимости могут позволить неавторизованным пользователям подключаться к системе и получать доступ к защищаемой информации

BDA:C001