Уязвимость

Простыми словами

Это слабое место, но ещё не сама атака: чтобы возник ущерб, нужен подходящий способ эксплуатации и доступ к уязвимому объекту.

Как применяется

Уязвимости выявляют, подтверждают, оценивают с учётом доступности актива и последствий, затем устраняют, компенсируют или принимают связанный риск.

Пример применения

Критическая ошибка в веб-сервисе имеет высокий технический рейтинг, но команда дополнительно проверяет, доступен ли сервис извне и какие данные окажутся под угрозой.

Не путать с

  • угрозаугроза — возможная причина вреда, которая может использовать уязвимость.
  • СлабостьСлабость — более широкое свойство или ошибка, не всегда пригодная для эксплуатации

Как это работает

  1. ОбнаружениеНедостаток находят сканером, тестированием, аудитом кода или сообщением исследователя.
  2. ПодтверждениеПроверяют воспроизводимость, затронутые версии и необходимые условия эксплуатации.
  3. ОценкаТехническую серьёзность связывают с критичностью и экспозицией актива.
  4. ОбработкаИсправляют, изолируют, вводят компенсирующую меру либо формально принимают риск.

Продолжить изучение

Частые вопросы

Уязвимость и риск — одно и то же?

Нет. Риск учитывает вероятность сценария и последствия, а уязвимость является одним из его условий.

Любую найденную уязвимость надо исправлять немедленно?

Приоритет зависит от эксплуатируемости, доступности актива, угроз и возможного ущерба.

Что подтверждает устранение?

Повторная проверка версии, конфигурации или сценария эксплуатации после изменения.

Уязвимость — недостаток объекта или меры защиты, который при определённых условиях может быть использован для нарушения безопасности.