Политика:Все новые программы или обновления программ, на физических носителях или полученные через Интернет, должны пройти проверку подлинности перед установкой. Данная политика особенно важна для IT-отдела, когда установка программного обеспечения требует системных привилегий.
Пояснения/заметки: Программное обеспечение, упоминаемое в данной политике, включает в себя компоненты операционной системы, прикладные программы или любые обновления. Многие разработчики программного обеспечения предоставляют методы, посредством которых пользователи могут проверить целостность дистрибутива, обычно с помощью цифровой подписи. Во всех случаях, когда целостность не может быть проверена, следует убедиться у разработчика в подлинности программного обеспечения. Известно, что компьютерные взломщики отправляют программу жертве в том виде, как это делает производитель. Важно убедиться перед установкой в подлинности любой полученной программы, особенно если она поступила без запроса.
Обратите внимание на то, что опытный атакующий может узнать, что ваша организация заказала программное обеспечение у разработчика. Располагая такой информацией, атакующий может отменить заказ у разработчика и заказать его самостоятельно. Затем программа изменяется так, чтобы выполнить некоторую вредоносную функцию, и доставляется в вашу компанию в оригинальной упаковке. После установки продукта атакующий владеет ситуацией.