Войти
| Эта статья является частью серии статей о |
| Взлом компьютеров |
|---|
| История |
| Хакерская культура и этика |
| Конференции |
| Компьютерное преступление |
| Инструменты для взлома |
| Сайты практики |
| Вредоносное ПО |
| Компьютерная безопасность |
| Группы |
|
| Публикации |
|
В компьютерной безопасности, уязвимость является слабостью, которая может быть использована с помощью угрозы актера, например, злоумышленник, чтобы пересечения границ привилегий (т.е. выполнять несанкционированные действия) в пределах компьютерной системы. Чтобы воспользоваться уязвимостью, злоумышленник должен иметь хотя бы один применимый инструмент или методику, которые могут подключиться к уязвимости системы. В этом кадре уязвимости также известны как поверхность атаки.
Управление уязвимостями - это циклическая практика, которая варьируется в теории, но содержит общие процессы, которые включают: обнаружение всех активов, определение приоритетов активов, оценку или выполнение полного сканирования уязвимостей, отчет о результатах, устранение уязвимостей, проверку исправления - повторить. Эта практика обычно относится к программным уязвимостям в вычислительных системах. Под гибким управлением уязвимостями понимается предотвращение атак путем скорейшего выявления всех уязвимостей.
Риск безопасности часто ошибочно классифицируется как уязвимость. Использование уязвимости с тем же значением риска может привести к путанице. Риск - это возможность значительного воздействия в результате использования уязвимости. Тогда есть уязвимости без риска: например, когда затронутый актив не имеет ценности. Уязвимость с одним или несколькими известными экземплярами действующих и полностью реализованных атак классифицируется как уязвимость, которую можно использовать - уязвимость, для которой существует эксплойт. Окно уязвимости - это время с момента появления или проявления дыры в безопасности в развернутом программном обеспечении до момента, когда доступ был удален, исправление безопасности было доступно / развернуто или злоумышленник был отключен - см. Атака нулевого дня.
Ошибка безопасности ( дефект безопасности ) - более узкое понятие. Существуют уязвимости, не связанные с программным обеспечением: уязвимости оборудования, сайта, персонала являются примерами уязвимостей, которые не являются ошибками безопасности программного обеспечения.
Конструкции на языках программирования, которые сложно использовать должным образом, могут проявлять большое количество уязвимостей.
ISO 27005 определяет уязвимость как:
Уязвимость IETF RFC 4949 как:
Комитет по системам национальной безопасности в Соединенных Штатах Америки определенных уязвимостей в CNSS Инструкция № 4009 от 26 апреля 2010 Национального Обеспечение информации Глоссария :
Многие публикации NIST определяют уязвимость в контексте ИТ в различных публикациях: термин FISMApedia предоставляет список. Между ними SP 800-30, дайте более широкий:
ENISA определяет уязвимость как:
Open Group определяет уязвимость как
Факторный анализ информационных рисков (FAIR) определяет уязвимость как:
Согласно FAIR уязвимость связана с силой контроля, т. Е. Силой контроля по сравнению со стандартной мерой силы и возможностями угрозы, то есть вероятным уровнем силы, которую агент угрозы способен применить к активу.
ISACA определяет уязвимость в структуре Risk It как:
Безопасность данных и компьютерная безопасность: Словарь стандартных понятий и терминов, авторы Деннис Лонгли и Майкл Шейн, Stockton Press, ISBN 0-935859-17-9, определяют уязвимость как:
Мэтт Бишоп и Дэйв Бейли дают следующее определение компьютерной уязвимости:
Национальный учебно-образовательный центр по обеспечению информационной безопасности определяет уязвимость:
Ресурс (физический или логический) может иметь одну или несколько уязвимостей, которыми может воспользоваться злоумышленник. Результат может потенциально поставить под угрозу конфиденциальность, целостность или доступность ресурсов (не обязательно уязвимых), принадлежащих организации и / или другим вовлеченным сторонам (клиентам, поставщикам). Так называемая триада ЦРУ - краеугольный камень информационной безопасности.
Атака может быть активной, когда она пытается изменить системные ресурсы или повлиять на их работу, нарушая целостность или доступность. « Пассивная атака » пытается изучить или использовать информацию из системы, но не затрагивает системные ресурсы, нарушая конфиденциальность.
OWASP: взаимосвязь между агентом угрозы и влиянием на бизнес OWASP (см. Рисунок) описывает то же явление в несколько иных терминах: агент угрозы через вектор атаки использует слабость (уязвимость) системы и связанных с ней мер безопасности, оказывая техническое воздействие на ИТ-ресурс (актив), подключенный к влияние на бизнес.
Общая картина представляет факторы риска сценария риска.
Набор политик, связанных с системой менеджмента информационной безопасности (СМИБ), был разработан для управления, в соответствии с принципами управления рисками, контрмерами для обеспечения того, чтобы стратегия безопасности была установлена в соответствии с правилами и положениями, применимыми к данной организации. Эти контрмеры также называются мерами безопасности, но применительно к передаче информации они называются службами безопасности.
Уязвимости классифицируются в соответствии с классом активов, к которому они относятся:
Исследование показало, что наиболее уязвимым местом в большинстве информационных систем является человек-пользователь, оператор, разработчик или другой человек: поэтому людей следует рассматривать в различных ролях как актив, угроза, информационные ресурсы. Социальная инженерия - это растущая проблема безопасности.
Влияние нарушения безопасности может быть очень высоким. Большинство законодательных актов рассматривают неспособность ИТ-менеджеров устранять уязвимости ИТ-систем и приложений, если они известны им как ненадлежащее поведение; ИТ-менеджеры несут ответственность за управление ИТ-рисками. Закон о конфиденциальности вынуждает менеджеров действовать, чтобы уменьшить влияние или вероятность такого риска для безопасности. Аудит безопасности информационных технологий - это способ позволить другим независимым людям удостовериться в том, что ИТ-среда управляется должным образом, и уменьшить ответственность, по крайней мере, продемонстрировав добросовестность. Тест на проникновение - это форма проверки слабых мест и контрмер, принятых организацией: хакер в белой шляпе пытается атаковать активы информационных технологий организации, чтобы выяснить, насколько легко или сложно поставить под угрозу ИТ-безопасность. Надлежащий способ профессионального управления ИТ-рисками - это принять Систему управления информационной безопасностью, такую как ISO / IEC 27002 или риск ИТ, и следовать им в соответствии со стратегией безопасности, сформулированной высшим руководством.
Одним из ключевых понятий информационной безопасности является принцип глубокоэшелонированной защиты, то есть создание многоуровневой системы защиты, которая может:
Система обнаружения вторжений является примером класса систем, используемых для обнаружения атак.
Физическая безопасность - это набор мер для физической защиты информационного актива: если кто-то может получить физический доступ к информационному активу, широко распространено мнение, что злоумышленник может получить доступ к любой информации о нем или сделать ресурс недоступным для его законных пользователей.
Были разработаны некоторые наборы критериев, которым должен удовлетворять компьютер, его операционная система и приложения, чтобы соответствовать хорошему уровню безопасности: ITSEC и Общие критерии - два примера.
Скоординированное раскрытие уязвимостей (некоторые называют это « ответственным раскрытием », но другие считают это предвзятым термином) уязвимостей является предметом больших споров. Как сообщал The Tech Herald в августе 2010 года, « Google, Microsoft, TippingPoint и Rapid7 выпустили руководящие принципы и заявления, касающиеся того, как они будут поступать с раскрытием информации в будущем». Другой метод - это, как правило, полное раскрытие информации, когда все подробности уязвимости публикуются, иногда с намерением оказать давление на автора программного обеспечения, чтобы он быстрее опубликовал исправление. В январе 2014 года, когда Google обнаружил уязвимость Microsoft до того, как Microsoft выпустила исправление для ее исправления, представитель Microsoft призвал компании-разработчики программного обеспечения к скоординированным действиям по раскрытию информации.
Корпорация Mitre ведет неполный список публично раскрытых уязвимостей в системе под названием Common Vulnerabilities and Exposures. Эта информация немедленно передается в Национальный институт стандартов и технологий (NIST), где каждой уязвимости присваивается оценка риска с использованием общей системы оценки уязвимостей (CVSS), схемы Common Platform Enumeration (CPE) и Common Weakness Enumeration.
OWASP поддерживает список классов уязвимостей с целью обучения разработчиков систем и программистов, что снижает вероятность непреднамеренного включения уязвимостей в программное обеспечение.
Время раскрытия уязвимости определяется по-разному в сообществе безопасности и в отрасли. Чаще всего это называют «своего рода публичным раскрытием информации о безопасности определенной стороной». Обычно информация об уязвимостях обсуждается в списке рассылки или публикуется на веб-сайте безопасности, после чего по ее результатам публикуются рекомендации по безопасности.
Время раскрытия является первой датой уязвимость безопасности описана на канале, где раскрыта информация о уязвимости должна выполнить следующее требование:
Существует множество программных инструментов, которые могут помочь в обнаружении (а иногда и удалении) уязвимостей в компьютерной системе. Хотя эти инструменты могут предоставить аудитору хороший обзор возможных имеющихся уязвимостей, они не могут заменить человеческое суждение. Если полагаться исключительно на сканеры, это приведет к ложным срабатываниям и ограниченному обзору проблем, присутствующих в системе.
Уязвимости были обнаружены во всех основных операционных системах, включая Windows, macOS, различные формы Unix и Linux, OpenVMS и другие. Единственный способ снизить вероятность использования уязвимости в системе - это постоянная бдительность, включая тщательное обслуживание системы (например, применение программных исправлений), передовые методы развертывания (например, использование межсетевых экранов и средств контроля доступа ) и аудит (как во время разработки и на протяжении всего жизненного цикла развертывания).
Уязвимости связаны с:
Очевидно, что чисто технический подход не всегда может защитить материальные активы: необходимо иметь административную процедуру, позволяющую обслуживающему персоналу входить в помещения, а также людям с достаточным знанием процедур, мотивированным к тому, чтобы следовать им с должной осторожностью. Однако технические средства защиты не обязательно останавливают атаки социальной инженерии (безопасности).
Примеры уязвимостей:
К распространенным типам недостатков программного обеспечения, которые приводят к уязвимостям, относятся:
Был разработан некоторый набор руководств по кодированию, и было использовано большое количество статических анализаторов кода для проверки того, что код соответствует руководящим принципам.
СМИ, связанные с уязвимостью (вычислениями) на Викискладе?
