Уязвимость (вычисления)

Уязвимости — это недостатки в компьютерной системе, которые ослабляют общую безопасность системы.

Несмотря на намерения добиться полной корректности, практически все аппаратное и программное обеспечение содержит ошибки, из-за которых система не ведет себя должным образом. Если ошибка может позволить злоумышленнику поставить под угрозу конфиденциальность, целостность или доступность системных ресурсов, это называется уязвимостью. Небезопасные методы разработки программного обеспечения , а также такие факторы проектирования, как сложность, могут увеличить количество уязвимостей. Существуют разные типы, наиболее распространенные в разных компонентах, таких как оборудование, операционные системы и приложения.

Управление уязвимостями — это процесс, который включает в себя идентификацию систем и определение наиболее важных из них, сканирование на наличие уязвимостей и принятие мер по обеспечению безопасности системы. Управление уязвимостями обычно представляет собой комбинацию исправления (устранения уязвимости), смягчения последствий (увеличения сложности или снижения опасности эксплойтов) и принятия рисков, устранение которых экономически или практично. Уязвимости могут быть оценены по уровню риска в соответствии с Общей системой оценки уязвимостей или другими системами и добавлены в базы данных уязвимостей. По состоянию на 2023 год зарегистрировано более 20 миллионов уязвимостей В базе данных Common Vulnerabilities and Exposures (CVE) .

Уязвимость возникает, когда она внедряется в аппаратное или программное обеспечение. Он становится активным и пригодным для использования, когда работает программное или аппаратное обеспечение, содержащее уязвимость. Уязвимость может быть обнаружена поставщиком или третьей стороной. Раскрытие уязвимости (в виде исправления или иным образом) связано с повышенным риском компрометации, поскольку злоумышленники часто действуют быстрее, чем выпускаются исправления. Независимо от того, будет ли когда-либо выпущен патч для устранения уязвимости, его жизненный цикл в конечном итоге закончится, когда система или ее более старые версии выйдут из строя.

Причины

Несмотря на цель разработчиков создать продукт, который работает полностью так, как задумано, практически все программное и аппаратное обеспечение содержит ошибки. Если ошибка создает угрозу безопасности, это называется уязвимостью. Исправления программного обеспечения часто выпускаются для исправления выявленных уязвимостей, но те, которые остаются неизвестными ( нулевые дни ), а также те, которые не были исправлены, по-прежнему подлежат эксплуатации. Уязвимости различаются по возможности использования злоумышленниками . Фактический риск зависит от характера уязвимости, а также ценности окружающей системы. Хотя некоторые уязвимости можно использовать только для атак типа «отказ в обслуживании» , более опасные из них позволяют злоумышленнику внедрить и запустить свой собственный код (называемый вредоносным ПО ), без ведома пользователя. Лишь небольшая часть уязвимостей допускает повышение привилегий , что необходимо для более серьезных атак. Без уязвимости эксплойт не сможет получить доступ. Также возможна вредоносного ПО установка напрямую, без эксплойта, если злоумышленник использует социальную инженерию или внедряет вредоносное ПО в законное программное обеспечение, которое загружается намеренно.

Факторы

Фундаментальные факторы проектирования, которые могут увеличить бремя уязвимостей, включают:

• Сложность. Большие и сложные системы увеличивают вероятность возникновения ошибок и непредусмотренных точек доступа .
• Знакомство: использование общего, хорошо известного кода, программного обеспечения, операционных систем и/или аппаратного обеспечения увеличивает вероятность того, что злоумышленник обладает или сможет найти знания и инструменты для использования уязвимости.
• Возможность подключения: любая система, подключенная к Интернету, может быть доступна и взломана. Отключение систем от Интернета — действительно эффективная мера против атак, но она редко осуществима.
• Устаревшее программное и аппаратное обеспечение подвергается повышенному риску, но обновление часто является непомерно дорогим с точки зрения затрат и времени простоя .

Факторы

Некоторые методы разработки программного обеспечения могут повлиять на риск появления уязвимостей в базе кода. Недостаток знаний о безопасной разработке программного обеспечения или чрезмерное давление с целью быстрого предоставления функций могут привести к появлению уязвимостей, которых можно было бы избежать при вводе производственного кода, особенно если безопасность не является приоритетом в культуре компании . Это может привести к непреднамеренным уязвимостям. Чем сложнее система, тем легче уязвимостям остаться незамеченными. Некоторые уязвимости создаются намеренно, и это может быть по любой причине: от недовольного сотрудника, продающего доступ хакерам, до сложных государственных схем по внедрению уязвимостей в программное обеспечение. Неадекватные проверки кода могут привести к пропущенным ошибкам, но существуют также инструменты статического анализа кода , которые можно использовать в рамках проверок кода и найти некоторые уязвимости.

DevOps , рабочий процесс разработки, в котором особое внимание уделяется автоматическому тестированию и развертыванию для ускорения развертывания новых функций, часто требует, чтобы многим разработчикам был предоставлен доступ к изменению конфигураций, что может привести к преднамеренному или непреднамеренному включению уязвимостей. Разделение зависимостей на части, которое часто является частью рабочих процессов DevOps, может уменьшить поверхность атаки , ограничивая зависимости только тем, что необходимо. Если используется программное обеспечение как услуга , а не собственное оборудование и программное обеспечение организации, организация зависит от поставщика облачных услуг в предотвращении уязвимостей.

Национальной базы

Национальная база данных уязвимостей классифицирует уязвимости по восьми основным причинам, которые могут частично перекрываться, в том числе:

1. проверки ввода (включая переполнение буфера и граничные условия Уязвимости ) возникают, когда проверки ввода недостаточно для предотвращения внедрения злоумышленником вредоносного кода.
2. Уязвимости контроля доступа позволяют злоумышленнику получить доступ к системе, которая должна быть ограничена для него, или участвовать в повышении привилегий .
3. Если система не может правильно обработать исключительное или непредвиденное состояние, злоумышленник может воспользоваться ситуацией для получения доступа.
4. возникает Уязвимость конфигурации , когда параметры конфигурации создают угрозу безопасности системы, что приводит к таким сбоям, как необновленное программное обеспечение или разрешения файловой системы, которые недостаточно ограничивают доступ.
5. Состояние гонки , когда время или другие внешние факторы изменяют результат и приводят к непоследовательным или непредсказуемым результатам, может вызвать уязвимость.

Уязвимости по компонентам

Аппаратное обеспечение

Основная статья: Ошибка аппаратной безопасности

Умышленные ошибки безопасности могут возникнуть во время или после производства и привести к тому, что интегральная схема будет вести себя не так, как ожидалось, при определенных конкретных обстоятельствах. Тестирование на наличие ошибок безопасности в аппаратном обеспечении довольно сложно из-за ограниченного времени и сложности чипов двадцать первого века. в то время как глобализация проектирования и производства увеличила вероятность внесения этих ошибок злоумышленниками.

Операционная система

См. Также: Операционная система § Безопасность.

Хотя уязвимости операционной системы различаются в зависимости от операционной системы используемой , общей проблемой являются ошибки повышения привилегий , которые позволяют злоумышленнику получить больше доступа, чем ему должно быть разрешено. Операционные системы с открытым исходным кодом, такие как Linux и Android, имеют свободно доступный исходный код и позволяют любому вносить свой вклад, что может привести к появлению уязвимостей. Однако те же уязвимости встречаются и в проприетарных операционных системах, таких как Microsoft Windows и операционные системы Apple . Все авторитетные поставщики операционных систем регулярно выпускают исправления.

Клиент-серверные приложения

Клиент-серверные приложения загружаются на компьютеры конечных пользователей и обычно обновляются реже, чем веб-приложения. пользователя В отличие от веб-приложений, они напрямую взаимодействуют с операционной системой . К распространенным уязвимостям в этих приложениях относятся:

• Незашифрованные данные, находящиеся в постоянном хранилище или пересылаемые по сети, злоумышленникам относительно легко украсть.
• Перехват процесса происходит, когда злоумышленник захватывает существующий компьютерный процесс .

Веб-приложения

Веб-приложения работают на многих веб-сайтах. Поскольку они по своей сути менее безопасны, чем другие приложения, они являются основным источником утечек данных и других инцидентов безопасности. Общие типы уязвимостей, обнаруженных в этих приложениях, включают:

• Сбои аутентификации и авторизации позволяют злоумышленникам получить доступ к данным, которые должны быть доступны только доверенным пользователям.
• Межсайтовый скриптинг (XSS) позволяет злоумышленникам внедрять и запускать JavaScript на основе вредоносное ПО , когда проверка входных данных недостаточна для отклонения внедренного кода. XSS может быть постоянным, когда злоумышленники сохраняют вредоносное ПО в поле данных и запускают его при загрузке данных; его также можно загрузить с помощью вредоносной URL- ссылки (отраженный XSS). Злоумышленники также могут вставить вредоносный код в объектную модель домена .
• SQL-инъекция и подобные атаки манипулируют запросами к базе данных для получения несанкционированного доступа к данным.
• Внедрение команд — это форма внедрения кода, при которой злоумышленник помещает вредоносное ПО в поля данных или процессы . Злоумышленник может захватить весь сервер.
• Подделка межсайтовых запросов (CSRF) — это создание клиентских запросов, выполняющих вредоносные действия, например изменение злоумышленником учетных данных пользователя.
• Подделка запроса на стороне сервера аналогична CSRF, но запрос подделывается на стороне сервера и часто использует расширенные привилегии сервера.
• Уязвимость бизнес-логики возникает, когда программисты не учитывают непредвиденные случаи, возникающие в бизнес-логике .

Управление

Основная статья: Управление уязвимостями

Существует мало данных об эффективности и экономической эффективности различных мер по предотвращению кибератак. Хотя оценить риск атаки непросто, среднее время взлома и ожидаемая стоимость могут учитываться для определения приоритета исправления или смягчения выявленной уязвимости и того, является ли это экономически эффективным. Хотя внимание к безопасности может снизить риск атаки, достижение идеальной безопасности для сложной системы невозможно, и многие меры безопасности имеют неприемлемые недостатки в стоимости или удобстве использования. Например, снижение сложности и функциональности системы эффективно снижает поверхность атаки .

Успешное управление уязвимостями обычно включает в себя сочетание исправления (закрытия уязвимости), смягчения последствий (увеличения сложности и уменьшения последствий эксплойтов) и принятия некоторого остаточного риска. Часто стратегия глубокоэшелонированной защиты используется для создания нескольких барьеров на пути атаки. Некоторые организации сканируют только уязвимости с самым высоким риском, поскольку это позволяет расставить приоритеты в контексте нехватки ресурсов для устранения каждой уязвимости. Увеличение расходов, вероятно, будет иметь уменьшающуюся отдачу .

Исправление

Исправление устраняет уязвимости, например, путем загрузки исправления программного обеспечения . Сканеры уязвимостей программного обеспечения обычно не способны обнаружить уязвимости нулевого дня, но более эффективны при поиске известных уязвимостей на основе базы данных. Эти системы могут найти некоторые известные уязвимости и порекомендовать их исправления, например установку исправлений. Однако у них есть ограничения, включая ложные срабатывания .

Уязвимости можно использовать только тогда, когда они активны — программное обеспечение, в которое они встроены, активно работает в системе. Прежде чем код, содержащий уязвимость, будет настроен для работы в системе, он считается носителем. Спящие уязвимости могут работать, но в настоящее время не работают. Программное обеспечение, содержащее неактивные уязвимости и уязвимости оператора связи, иногда можно удалить или отключить, что устраняет риск. Активные уязвимости, если их отличать от других типов, могут быть приоритетными для исправления.

Смягчение

Смягчение уязвимости — это меры, которые не закрывают уязвимость, но затрудняют ее эксплуатацию или уменьшают последствия атаки. Сокращение поверхности атаки , особенно для частей системы с доступом root (администратора), и закрытие возможностей для использования эксплойтов в использовании привилегий — это распространенная стратегия снижения ущерба, который может нанести кибератака. Если патч для стороннего программного обеспечения недоступен, возможно, его можно временно отключить.

Тестирование

Тест на проникновение пытается войти в систему с помощью эксплойта, чтобы проверить, небезопасна ли система. Если тест на проникновение не пройден, это не обязательно означает, что система безопасна. Некоторые тесты на проникновение могут проводиться с использованием автоматизированного программного обеспечения, которое проверяет существующие эксплойты на наличие известных уязвимостей. Другие тесты на проникновение проводятся обученными хакерами. Многие компании предпочитают поручить эту работу подрядчикам, поскольку она имитирует атаку со стороны.

Жизненный цикл уязвимости

Хронология уязвимостей

Жизненный цикл уязвимости начинается, когда уязвимости появляются в аппаратном или программном обеспечении. Обнаружение уязвимостей может осуществляться поставщиком программного обеспечения или третьей стороной. В последнем случае считается наиболее этичным немедленно сообщить об уязвимости поставщику, чтобы ее можно было устранить. Правительство или спецслужбы покупают уязвимости, которые не были публично раскрыты, и могут использовать их в атаке, накапливать их или уведомлять поставщика. По состоянию на 2013 год « Пять глаз» (США, Великобритания, Канада, Австралия и Новая Зеландия) захватили большую часть рынка, а среди других крупных покупателей были Россия, Индия, Бразилия, Малайзия, Сингапур, Северная Корея и Иран. Организованные преступные группы также покупают уязвимости, хотя обычно они предпочитают наборы эксплойтов .

Даже общеизвестные или исправленные уязвимости зачастую могут быть использованы в течение длительного периода времени. Разработка исправлений безопасности может занять месяцы. или, возможно, никогда не будет разработан. Патч может оказать негативное влияние на функциональность программного обеспечения. и пользователям может потребоваться протестировать патч, чтобы убедиться в его функциональности и совместимости. Крупные организации могут не суметь выявить и исправить все зависимости, тогда как более мелкие предприятия и частные пользователи могут не устанавливать исправления. Исследования показывают, что риск кибератак увеличивается, если об уязвимости становится публично известно или выпущено исправление. Киберпреступники могут перепроектировать патч, чтобы найти основную уязвимость и разработать эксплойты. часто быстрее, чем пользователи устанавливают патч.

Уязвимости становятся устаревшими, когда программное обеспечение или уязвимые версии перестают использоваться. Это может занять длительный период времени; в частности, промышленное программное обеспечение может оказаться невозможным заменить, даже если производитель прекратит его поддержку.

Оценка, раскрытие информации и инвентаризация

Оценка

Обычно используемой шкалой для оценки серьезности уязвимостей является общедоступная система оценки уязвимостей (CVSS). CVSS оценивает возможность использования уязвимости и нарушения конфиденциальности, доступности и целостности данных. Также учитывается, как можно использовать уязвимость и насколько сложным должен быть эксплойт. При подсчете общего балла также учитывается объем доступа, необходимый для эксплуатации, и возможность ее осуществления без взаимодействия с пользователем.

Раскрытие информации

Тот, кто обнаружил уязвимость, может сообщить о ней немедленно ( полное раскрытие ) или дождаться разработки исправления ( ответственное раскрытие или скоординированное раскрытие). Первый подход хвалят за его прозрачность, но недостатком является то, что риск атаки, вероятно, увеличится после раскрытия информации и отсутствия доступного исправления. Некоторые поставщики платят вознаграждение за обнаружение ошибок тем, кто сообщает им об уязвимостях. Не все компании положительно реагируют на раскрытие информации, поскольку это может повлечь за собой юридическую ответственность и операционные накладные расходы. Закона, требующего раскрытия уязвимостей, не существует. Если уязвимость обнаруживается третьей стороной и не раскрывается поставщику или общественности, она называется уязвимостью нулевого дня и часто считается наиболее опасным типом, поскольку существует меньше средств защиты.

Инвентаризация уязвимостей

Наиболее часто используемый набор данных об уязвимостях — Common Vulnerabilities and Exposures (CVE), поддерживаемый Mitre Corporation . По состоянию на 2023 год , он имеет более 20 миллионов записей. США Эта информация передается в другие базы данных, включая Национальную базу данных уязвимостей . где каждой уязвимости присваивается оценка риска с использованием общей системы оценки уязвимостей (CVSS), схемы общего перечисления платформ (CPE) и общего перечисления уязвимостей . CVE и другие базы данных обычно не отслеживают уязвимости в продуктах «программное обеспечение как услуга» . Отправка CVE является добровольной для компаний, обнаруживших уязвимость.

Ответственность

Поставщик программного обеспечения обычно не несет юридической ответственности за расходы, если в ходе атаки используется уязвимость, что создает стимул для создания более дешевого, но менее безопасного программного обеспечения. На некоторые компании распространяются законы, такие как PCI , HIPAA и Sarbanes-Oxley , которые устанавливают юридические требования к управлению уязвимостями.

Источники

• Аблон, Лилиан; Богарт, Энди (2017). Нулевые дни, тысячи ночей: жизнь и времена уязвимостей нулевого дня и их использования (PDF) . Корпорация Рэнд. ISBN  978-0-8330-9761-3 .
• Аграфиотис, Иоаннис; Медсестра, Джейсон Р.К.; Голдсмит, Майкл; Криз, Сэди; Аптон, Дэвид (2018). «Таксономия кибер-вреда: определение последствий кибератак и понимание того, как они распространяются». Журнал кибербезопасности . 4 (1). дои : 10.1093/cybsec/tyy006 . ISSN   2057-2085 .
• Дасвани, Нил ; Эльбаяди, Муди (2021). Большие нарушения: уроки кибербезопасности для всех . Апресс. ISBN  978-1-4842-6654-0 .
• Гарг, Шиви; Балиян, Нияти (2023). Уязвимости мобильных ОС: количественный и качественный анализ . ЦРК Пресс. ISBN  978-1-000-92451-0 .
• Хабер, Мори Дж.; Хибберт, Брэд (2018). Векторы атак на активы: построение эффективных стратегий управления уязвимостями для защиты организаций . Апресс. ISBN  978-1-4842-3627-7 .
• Либицкий, Мартин С.; Аблон, Лилиан; Уэбб, Тим (2015). Дилемма защитника: прокладывая курс на кибербезопасность (PDF) . Корпорация Рэнд. ISBN  978-0-8330-8911-3 .
• Линьков Игорь; Котт, Александр (2019). «Фундаментальные концепции киберустойчивости: введение и обзор». Киберустойчивость систем и сетей . Международное издательство Спрингер. стр. 1–25. ISBN  978-3-319-77492-3 .
• Магнуссон, Эндрю (2020). Практическое управление уязвимостями: стратегический подход к управлению киберрисками . Нет крахмального пресса. ISBN  978-1-59327-989-9 .
• О'Харроу, Роберт (2013). Нулевой день: угроза в киберпространстве . Книги по развлечению. ISBN  978-1-938120-76-3 .
• Перлрот, Николь (2021). «Вот как мне говорят, что наступает конец света»: победитель премии FT и McKinsey «Бизнес-книга года 2021» . Издательство Блумсбери. ISBN  978-1-5266-2983-8 .
• Салмани, Хасан (2018). Доверенные цифровые схемы: уязвимости аппаратных троянов, предотвращение и обнаружение . Спрингер. ISBN  978-3-319-79081-7 .
• Моряк, Джим (2020). PCI DSS: Стандартное руководство по интегрированной безопасности данных . Апресс. ISBN  978-1-4842-5808-8 .
• Шарп, Робин (2024). Введение в кибербезопасность: междисциплинарная задача . Спрингер Природа. ISBN  978-3-031-41463-3 .
• Слоан, Роберт Х.; Уорнер, Ричард (2019). Почему бы нам не защититься лучше?: Утечки данных, управление рисками и государственная политика . ЦРК Пресс. ISBN  978-1-351-12729-5 .
• Суд, Адитья; Энбоди, Ричард (2014). Целевые кибератаки: многоэтапные атаки, основанные на эксплойтах и ​​вредоносном ПО . Сингресс. ISBN  978-0-12-800619-1 .
• Страут, Бенджамин (2023). Справочник исследователя уязвимостей: подробное руководство по обнаружению, составлению отчетов и публикации уязвимостей безопасности . Пакт Паблишинг. ISBN  978-1-80324-356-6 .
• Тхоа, Саймон; Гафич, Мелиса; Кизеберг, Питер (2024). Основы киберустойчивости . Спрингер Природа. ISBN  978-3-031-52064-8 .

Внешние ссылки

• СМИ, связанные с уязвимостями (вычислениями) на Викискладе?