Профиль нарушителя: кого считать угрозой и когда обновлять
Соберите за рабочий день профиль нарушителя: кто вам реально угрожает, чего хочет и каким типичным путём до вас доходит. Модель угроз за день разбирает систему по сценариям «что сломают у компонента»; профиль отвечает на другой вопрос — кто это делает в вашей реальности. Без этого реестр обрастает «APT и ноль-днями», а фишинг бухгалтера остаётся без владельца. STRIDE по активам не копируем: модель угроз за день. Модель информационной системы персональных данных (ИСПДн) — другой закон: уровни защищённости.
Статья опирается на логику направления «Риск-ориентированный подход» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Источники угроз в оценке риска описывает NIST SP 800-30: SP 800-30 Rev. 1. Это не российский закон и не инструкция по атаке.
Кого включать в небольшой компании
| Тип | Чего хочет | Типичный путь к вам | Чего в профиль не кладём |
|---|---|---|---|
| Внешний преступник «на поток» | Деньги, шифрование, перепродажа доступа | Фишинг, украденные учётки, открытый удалённый вход, известные дыры на периметре | Целевая многомесячная кампания под вашу фамилию |
| Подрядчик и партнёр | Удобство, иногда копия данных «на всякий» | Живой VPN после договора, общая учётка, тестовая база с ПДн | «Хакер внутри интегратора» без фактов |
| Свой сотрудник по ошибке | Не хочет вреда | Письмо, флешка, слишком широкие права, выкладка секрета | Намеренный саботаж, пока нет сигнала |
| Свой с намерением | Месть, деньги, унести базу | Легитимный доступ, который не отозвали | Не закладывайте без привилегий и без сигнала; отзыв доступа — отдельный процесс |
Государственные группировки в профиль небольшой клиники или магазина не ставьте «для солидности»: вы не сможете против них мерить меры, а бюджет уйдёт в сказку. Если вы субъект критической информационной инфраструктуры (КИИ) — это уже отдельный контур закона, не эта страница.
Каждый тип переведите в две-три строки реестра: реестр рисков. Владелец строки — не «нарушитель», а человек в компании: владелец риска.
Когда обновлять, не раз в пятилетку
- Появился новый продукт, облако или подрядчик с доступом к данным.
- Был инцидент или «почти»: фишинг сработал, учётка утекла.
- Открыли удалённый доступ там, где его не было.
- Раз в год — даже если «ничего не менялось»: проверьте, не живёт ли в профиле прошлогодний RDP «на время».
Риск: обновить STRIDE и забыть нарушителя. Тогда меры остаются «по компонентам», а канал сообщений и отзыв доступа не попадают в приоритет. После обновления профиля пересмотрите верхние риски в отчёте директору.
Не расписывайте, как реализуется фишинг или подбор пароля. В профиле достаточно «путь: письмо с поддельной почтой» и «путь: пароль, который не отозвали».
Диагностика
| Симптом | Причина и что делать |
|---|---|
| В профиле только «хакер» и «стихия» | Нет подрядчика и своей ошибки. Добавьте из таблицы |
| Профиль = полная STRIDE-таблица | Смешали документы. Оставьте одну страницу про кто |
| Не обновляли три года | Появились SaaS и удалёнка. Пересмотрите за полдня |
| Меры заточены под ноль-день | Нет соответствия профилю. Верните фишинг, учётки, периметр |
Где это в модели зрелости
Материал относится к направлению «Риск-ориентированный подход» (хаб: риск, карта: карта зрелости). Реестр без профиля наполняется чужими страхами. Архитектурная модель угроз без профиля не говорит, кого вы вообще ждёте у двери.
Как проверить
- Есть страница с датой: типы нарушителя, цель, типичный путь, что исключено.
- STRIDE-документ и профиль — разные файлы со ссылками друг на друга.
- Верхние риски реестра читаются из этих типов, а не из общих слов «киберугроза».
- После последнего крупного изменения (облако, подрядчик, инцидент) стоит новая дата профиля.
- Нет раздела с шагами атаки.
Источники
- NIST SP 800-30 Rev. 1, Guide for Conducting Risk Assessments: csrc.nist.gov.
