Уязвимость (компьютерная безопасность)
В компьютерной безопасности термин «уязвимость» (англ. vulnerability) используется для обозначения недостатка в системе, используя который злоумышленник может намеренно нарушить её целостность и вызвать неправильную работу. Уязвимость может быть результатом ошибок программирования, недостатков, допущенных при проектировании системы, ненадежных паролей, вирусов и других вредоносных программ, скриптовых и SQL-инъекций. Некоторые уязвимости известны только теоретически, другие же активно используются и имеют известные эксплойты.
Обычно уязвимость позволяет атакующему «обмануть» приложение — заставить его совершить действие, на которое у того не должно быть прав. Это делается путём внедрения каким-либо образом в программу данных или кода в такие места, что программа воспримет их как «свои». Некоторые уязвимости появляются из-за недостаточной проверки данных, вводимых пользователем, и позволяют вставить в интерпретируемый код произвольные команды (SQL-инъекция, XSS, SiXSS). Другие уязвимости появляются из-за более сложных проблем, таких как запись данных в буфер без проверки его границ (переполнение буфера). Поиск уязвимостей иногда называют зондированием, например когда говорят о зондировании удалённого компьютера — подразумевают, поиск открытых сетевых портов и наличии уязвимостей, связанных с приложениями, использующими эти порты.
Метод информирования об уязвимостях является одним из пунктов спора в сообществе компьютерной безопасности. Некоторые специалисты отстаивают немедленное полное раскрытие информации об уязвимостях, как только они найдены. Другие советуют сообщать об уязвимостях только тем пользователям, которые подвергаются наибольшему риску, а полную информацию публиковать лишь после задержки или не публиковать совсем. Такие задержки могут позволить тем, кто был извещён, исправить ошибку при помощи разработки и применения патчей, но также могут и увеличивать риск для тех, кто не посвящён в детали.
Существуют инструментальные средства, которые могут помочь в обнаружении уязвимостей в системе. Хотя эти инструменты могут обеспечить аудитору хороший обзор возможных уязвимостей, существующих в системе, они не могут заменить участие человека в их оценке.
Для обеспечения защищённости и целостности системы необходимо постоянно следить за ней: устанавливать обновления, использовать инструменты, которые помогают противодействовать возможным атакам. Уязвимости обнаруживались во всех основных операционных системах, включая Microsoft Windows, Mac OS, различные варианты UNIX (в том числе GNU/Linux) и OpenVMS. Так как новые уязвимости находят непрерывно, единственный путь уменьшить вероятность их использования против системы — постоянная бдительность и использование обновленных версий ПО.
Примеры уязвимостей
Распространённые типы уязвимостей включают в себя:
- Нарушения безопасности доступа к памяти, такие как:
- Ошибки проверки вводимых данных, такие как:
- Ошибки форматирующей строки
- Неверная поддержка интерпретации метасимволов командной оболочки
- SQL-инъекция
- Инъекция кода
- E-mail инъекция
- Обход каталогов
- Межсайтовый скриптинг в веб-приложениях
- Межсайтовый скриптинг при наличии SQL-инъекции
- Состояния гонки, такие как:
- Ошибки путаницы привилегий, такие как:
- Подделка межсайтовых запросов в веб-приложениях
- Эскалация привилегий, такие как:
- Уязвимость нулевого дня
См. также
Напишите отзыв о статье "Уязвимость (компьютерная безопасность)"
Ссылки
- [www.osvdb.org/ Open Source Vulnerability Database homepage] (англ.)
- [www.securityfocus.com/bid Security Focus Vulns Archive] (англ.)
- [www.packetstormsecurity.org/ Packet Storm (vulnerability and tool archives)] (англ.)
- [vigilance.fr/ Vigil@nce vulnerability archive] (англ.) (фр.)
- [samate.nist.gov/ NIST Software Assurance Metrics and Tool Evaluation (SAMATE) project] (англ.)
- [www.securitylab.ru/vulnerability/ База уязвимостей на русском языке с 1997 года] (рус.)
- [slovari.yandex.ru/dict/gl_natural/article/151/151_191.HTM?text=%D1%83%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D1%8C Определение понятия уязвимость. Словарь Глоссарий.ру](недоступная ссылка)
- [www.xakep.ru/post/48221/default.asp Классификаторы и метрики компьютерных уязвимостей] //15.05.2009, Андрей «skvz» Комаров, Xakep
- [www.viva64.com/ru/b/0178/ Безопасность, безопасность! А вы её тестируете? ] // Андрей Карпов, 07.11.2012, Viva64
- [vulners.com Vulners (vulnerability database)] (англ.) - база уязвимостей Kirill Ermakov (Qiwi) на основе CVE, Debian patches, CentOS bulletins, ExploitDB и др.
Отрывок, характеризующий Уязвимость (компьютерная безопасность)
– Вероятно, пойдут вперед, – видимо, не желая при посторонних говорить более, отвечал Болконский.Берг воспользовался случаем спросить с особенною учтивостию, будут ли выдавать теперь, как слышно было, удвоенное фуражное армейским ротным командирам? На это князь Андрей с улыбкой отвечал, что он не может судить о столь важных государственных распоряжениях, и Берг радостно рассмеялся.
– Об вашем деле, – обратился князь Андрей опять к Борису, – мы поговорим после, и он оглянулся на Ростова. – Вы приходите ко мне после смотра, мы всё сделаем, что можно будет.
И, оглянув комнату, он обратился к Ростову, которого положение детского непреодолимого конфуза, переходящего в озлобление, он и не удостоивал заметить, и сказал:
– Вы, кажется, про Шенграбенское дело рассказывали? Вы были там?
– Я был там, – с озлоблением сказал Ростов, как будто бы этим желая оскорбить адъютанта.
Болконский заметил состояние гусара, и оно ему показалось забавно. Он слегка презрительно улыбнулся.
– Да! много теперь рассказов про это дело!
– Да, рассказов, – громко заговорил Ростов, вдруг сделавшимися бешеными глазами глядя то на Бориса, то на Болконского, – да, рассказов много, но наши рассказы – рассказы тех, которые были в самом огне неприятеля, наши рассказы имеют вес, а не рассказы тех штабных молодчиков, которые получают награды, ничего не делая.
– К которым, вы предполагаете, что я принадлежу? – спокойно и особенно приятно улыбаясь, проговорил князь Андрей.
Странное чувство озлобления и вместе с тем уважения к спокойствию этой фигуры соединялось в это время в душе Ростова.
– Я говорю не про вас, – сказал он, – я вас не знаю и, признаюсь, не желаю знать. Я говорю вообще про штабных.
– А я вам вот что скажу, – с спокойною властию в голосе перебил его князь Андрей. – Вы хотите оскорбить меня, и я готов согласиться с вами, что это очень легко сделать, ежели вы не будете иметь достаточного уважения к самому себе; но согласитесь, что и время и место весьма дурно для этого выбраны. На днях всем нам придется быть на большой, более серьезной дуэли, а кроме того, Друбецкой, который говорит, что он ваш старый приятель, нисколько не виноват в том, что моя физиономия имела несчастие вам не понравиться. Впрочем, – сказал он, вставая, – вы знаете мою фамилию и знаете, где найти меня; но не забудьте, – прибавил он, – что я не считаю нисколько ни себя, ни вас оскорбленным, и мой совет, как человека старше вас, оставить это дело без последствий. Так в пятницу, после смотра, я жду вас, Друбецкой; до свидания, – заключил князь Андрей и вышел, поклонившись обоим.
Ростов вспомнил то, что ему надо было ответить, только тогда, когда он уже вышел. И еще более был он сердит за то, что забыл сказать это. Ростов сейчас же велел подать свою лошадь и, сухо простившись с Борисом, поехал к себе. Ехать ли ему завтра в главную квартиру и вызвать этого ломающегося адъютанта или, в самом деле, оставить это дело так? был вопрос, который мучил его всю дорогу. То он с злобой думал о том, с каким бы удовольствием он увидал испуг этого маленького, слабого и гордого человечка под его пистолетом, то он с удивлением чувствовал, что из всех людей, которых он знал, никого бы он столько не желал иметь своим другом, как этого ненавидимого им адъютантика.
На другой день свидания Бориса с Ростовым был смотр австрийских и русских войск, как свежих, пришедших из России, так и тех, которые вернулись из похода с Кутузовым. Оба императора, русский с наследником цесаревичем и австрийский с эрцгерцогом, делали этот смотр союзной 80 титысячной армии.
С раннего утра начали двигаться щегольски вычищенные и убранные войска, выстраиваясь на поле перед крепостью. То двигались тысячи ног и штыков с развевавшимися знаменами и по команде офицеров останавливались, заворачивались и строились в интервалах, обходя другие такие же массы пехоты в других мундирах; то мерным топотом и бряцанием звучала нарядная кавалерия в синих, красных, зеленых шитых мундирах с расшитыми музыкантами впереди, на вороных, рыжих, серых лошадях; то, растягиваясь с своим медным звуком подрагивающих на лафетах, вычищенных, блестящих пушек и с своим запахом пальников, ползла между пехотой и кавалерией артиллерия и расставлялась на назначенных местах. Не только генералы в полной парадной форме, с перетянутыми донельзя толстыми и тонкими талиями и красневшими, подпертыми воротниками, шеями, в шарфах и всех орденах; не только припомаженные, расфранченные офицеры, но каждый солдат, – с свежим, вымытым и выбритым лицом и до последней возможности блеска вычищенной аммуницией, каждая лошадь, выхоленная так, что, как атлас, светилась на ней шерсть и волосок к волоску лежала примоченная гривка, – все чувствовали, что совершается что то нешуточное, значительное и торжественное. Каждый генерал и солдат чувствовали свое ничтожество, сознавая себя песчинкой в этом море людей, и вместе чувствовали свое могущество, сознавая себя частью этого огромного целого.
