Menu

SANS Top 20 bezpečnostních zranitelností v softwarových aplikacích

  • Hlavní
  • Jiný
  • SANS Top 20 bezpečnostních zranitelností v softwarových aplikacích

sans top 20 security vulnerabilities software applications

Vyzkoušejte Náš Nástroj Pro Odstranění Problémů

Naučte se a pochopte 20 nejdůležitějších chyb zabezpečení v softwarových aplikacích SANS s příklady v tomto kurzu:

Slovo BEZ není jen obyčejné slovo ve slovníku, ale spíše znamená SysAdmin , Audit , Síť , a Bezpečnostní .

V tomto tutoriálu se dozvíme o 20 nejzávažnějších slabých stránkách zabezpečení SANS, které můžeme najít v softwarových programech, a o tom, co můžeme udělat pro jejich zmírnění.

Zranitelnosti zabezpečení SANS

Co se naučíte:

Dopad SAN na komunitu kybernetické bezpečnosti

Podle BEZ , BEZ Institut byl založen jako výzkumná a vzdělávací organizace. Jeho různé bezpečnostní programy jsou velmi komplexní a mají pozitivní dopad na více než 165 000 bezpečnostních profesionálů po celém světě.

Můžeme oprávněně říci, že díky tomuto druhu pokrytí pocházejícího ze SANS a dalších pozitivních recenzí z nich dělají nejdůvěryhodnější a zdaleka největší organizaci pro školení InfoSec a různé bezpečnostní certifikace na světě.

Tento článek se zaměří na 20 nejzávažnějších chyb SANS, díky nimž může být váš software zranitelný vůči útoku, a na některé z ovládacích prvků zabezpečení, které můžete implementovat za účelem zmírnění těchto chyb. Přestože jich můžeme najít více než 20, budeme diskutovat o 20 hlavních zranitelnostech.

Seznam 20 nejdůležitějších chyb zabezpečení v softwaru SANS

  1. CWE-119 : Chyba vyrovnávací paměti
  2. CWE-79 : Cross-site Scripting
  3. CWE-20 : Neověřená chyba vstupu
  4. CWE-200 : Chyba expozice citlivých informací
  5. CWE-125 : Chyba čtení mimo rozsah
  6. CWE-89 : SQL Injection
  7. CWE-416 : Chyba volné paměti
  8. CWE-190 : Chyba přetečení celého čísla
  9. CWE-352 : Padělání žádosti mezi weby
  10. CWE-22 : Traverz adresáře
  11. CWE-78 : OS Command Injection
  12. CWE-787 : Chyba zápisu mimo hranice
  13. CWE-287 : Nesprávná chyba ověření
  14. CWE-476 : Dereferencování ukazatele NULL
  15. CWE-732 : Nesprávné přiřazení oprávnění
  16. CWE-434 : Neomezené nahrávání souborů
  17. CWE-611 : Vystavení informací prostřednictvím entit XML
  18. CWE-94 : Vložení kódu
  19. CWE-798 : Pevně ​​zakódovaný přístupový klíč
  20. CWE-400 : Nekontrolovaná spotřeba zdrojů

Co znamená pojem CWE?

The Běžný výčet slabosti (CWE) je komunitou přijímaný seznam slabých míst softwaru a hardwaru s identifikačním kódem přiřazeným každé slabosti. Cílem je identifikovat různé chyby v softwaru a hardwaru, aby bylo možné všechny tyto chyby opravit a zmírnit.

# 1) CWE-119: Chyba vyrovnávací paměti

Tato chyba se obvykle objevuje během fází architektury a designu, implementace a provozu SDLC.

Toto přetečení vyrovnávací paměti nastane, když se aplikační proces pokusí uložit více dat, než může pojmout v paměti. Vzhledem k tomu, že vyrovnávací paměti mohou ukládat pouze určitou úroveň dat a při dosažení a překročení této úrovně dojde k toku dat do jiného umístění paměti, které může poškodit data již obsažená v této vyrovnávací paměti.

Tato událost se někdy stane náhodně kvůli nějaké programovací chybě, ale následný účinek může být katastrofální, protože to může vymazat data, ukrást důvěrné informace a dokonce i celá aplikace může selhat kvůli tomuto přetečení vyrovnávací paměti.

Následující příklad ukazuje vyrovnávací paměť přidělenou 8bajtovému úložišti. Ale přeteklo o 2 bajty, protože bylo odesláno více dat k provedení.

Chyba vyrovnávací paměti

(obraz zdroj )

# 2) CWE-79: Cross-site Scripting

Cross-site Scripting (XSS) je injekční útok, ke kterému obvykle dochází, když nebezpečný herec nebo útočník vloží škodlivý nebo škodlivý skript do webové aplikace, kterou lze provést prostřednictvím webových prohlížečů. Jakmile si škodlivý skript najde cestu do napadeného systému, lze jej použít k provádění různých škodlivých činností.

Některé škodlivé aktivity mohou být ve formě přenosu soukromých informací, jako jsou soubory cookie, které obsahují informace o relaci z počítače oběti do počítače útočníka.

Výskyt skriptování mezi weby:

  • Když se do webové aplikace zadávají nevalidovaná a nedůvěryhodná data prostřednictvím požadavku webového formuláře.
  • Když webová aplikace okamžitě odešle webovou stránku, která obsahuje tato škodlivá data.
  • Během procesu generování stránky se softwaru nepodaří ověřit data, která obsahují obsah, který lze spustit webovým prohlížečem, jako je HTML a JavaScript.
  • Oběť nevědomky navštíví stránku vygenerovanou webovým prohlížečem, která obsahuje škodlivý skript, který byl vložen pomocí nedůvěryhodných dat.
  • Škodlivý skript pochází ze stránky odeslané útočníkovým webovým serverem, napadený systémový webový prohlížeč poté škodlivý skript dále zpracovává.
  • Tato akce porušuje zásady webového prohlížeče týkající se stejného původu, které stanoví, že skripty pocházející z jedné domény by neměly mít přístup ke zdrojům nebo spouštět kód v jiné odlišné doméně kromě své vlastní domény.

Výskyt skriptování napříč weby

(obraz zdroj )

# 3) CWE-20: Neověřená chyba vstupu

Aplikace přijímá vstup, ale nepodaří se jej ověřit, ať už má všechny potřebné podrobnosti potřebné k přijetí do systému ke zpracování.

Pokud dojde k dezinfekci vstupu, lze ji použít ke kontrole potenciálně nebezpečných vstupů, aby bylo zajištěno, že vstupy budou bezpečně zpracovány se zdrojovým kódem nebo když se jedná o vstup, který je nutný pro komunikaci s jinými komponentami.

Pokud takové vstupy nebudou řádně dezinfikovány nebo ověřeny, připraví to útočníkovi způsob, jak odeslat škodlivý vstup, který hlavní aplikace velkoryse zpracuje, což povede ke změnám v toku řízení, svévolné kontrole zdroje nebo libovolnému kódu provedení.

Níže uvedené obrázky ukazují, že dobrá aplikace by neměla přijímat skript nebo příkaz jako vstup. Pokud tyto vstupy nebudou řádně dezinfikovány, aplikace je zpracuje v domnění, že jde o platný požadavek.

vstup

Neověřená chyba vstupu

(obraz zdroj )

# 4) CWE-200: Chyba expozice citlivých informací

K tomu dochází, když aplikace vědomě a nevědomky odhalí informace, které jsou důvěrné a citlivé pro útočníka, který nemá oprávnění k přístupu k těmto informacím.

Různé chyby vedou k tomu, že jsou tyto informace vystaveny útočníkovi. Závažnost této chyby se liší v závislosti na kontextu, ve kterém aplikace funguje, typu citlivých informací, které se odhalí, a na tom, co může aktér z odhalených informací získat.

Níže uvádíme některé citlivé informace, které by mohly být vystaveny:

  • Osobní údaje, jako jsou osobní zprávy, finanční údaje, záznamy o zdravotním stavu, zeměpisná poloha nebo kontaktní údaje
  • Podrobnosti o konfiguraci systému a prostředí, například, operační systém a nainstalované balíčky
  • Obchodní záznamy a duševní vlastnictví
  • Podrobnosti o konfiguraci sítě
  • Stav interní aplikace
  • Metadata jako záhlaví zpráv

Někdy mohou na našich aplikacích nebo webech existovat technické svědění, jako je chyba připojení k databázi, chyba běhu a síťová chyba.

Pokud tyto chyby nebudou během vývoje správně zpracovány, tj. Když aplikace zobrazí chybovou zprávu, mohla by veřejnosti zobrazit informace, které by útočník mohl použít pro škodlivé účely, jako je obrázek níže.

Chyba serveru

# 5) CWE-125: Chyba čtení mimo hrací plochu

K tomu obvykle dochází, když aplikace čte data přes normální úroveň, a to buď na konec, nebo před začátkem vyrovnávací paměti. To poskytuje neprivilegovanému přístupu útočníkovi ke čtení citlivých informací z jiných paměťových míst, což může také vést ke zhroucení systému nebo aplikace.

K selhání jistě dojde, když kód načte data a myslí si, že je na místě indikátor, který zastaví operaci čtení jako NULL, která se použije na řetězec

V následujícím kódu funkce načte hodnotu z umístění indexu pole, což je zase vstupní parametr funkce.

Chyba čtení mimo rozsah

(obraz zdroj )

Z výše uvedeného kódu vidíme, že funkce ověří, že daný index pole je menší než maximální délka pole, ale nepodaří se mu ověřit minimální hodnotu.

Toto zrušení ověření povede k přijetí záporné hodnoty jako indexu vstupního pole, což způsobí přečtení mimo hranice, což zase umožní přístup k citlivé paměti.

Je třeba ověřit index vstupního pole, pokud je v maximálním a minimálním rozsahu požadovaném pro pole.

Pokud nyní zkontrolujete níže uvedený příklad, uvidíte, že je třeba upravit příkaz IF, aby zahrnoval ověření minimálního rozsahu.

minimální rozsah ověření

# 6) CWE-89: SQL Injection

Vložení SQL je forma chyby zabezpečení, kdy útočník vloží do vstupního pole webového formuláře kód Structured Query Language (SQL), aby získal přístup ke zdrojům nebo změnil data, k jejichž přístupu nemá oprávnění.

Tuto chybu zabezpečení lze do aplikace zavést během fází návrhu, implementace a provozu.

Co tento dotaz SQL dělá, je učinit neautorizovaný požadavek na databázi pro některé informace. V normální vstupní operaci se k ověření uživatele používá webový formulář. Když uživatel zadá své jméno a heslo do textových polí, tyto hodnoty se vloží do dotazu SELECT.

Pokud jsou vstupní hodnoty správné, uživateli je udělen přístup k aplikaci nebo požadavku, ale pokud jsou hodnoty nesprávné, přístup bude odepřen.

Některé webové formuláře dnes nemají zavedené mechanismy blokování škodlivého vstupu, který může útočník použít k zadávání škodlivých požadavků do databáze pomocí vstupních polí. Tento jediný požadavek jim může udělit přístup k celé databázi, která může obsahovat citlivé informace.

SQLinjection

# 7) CWE-416: Dříve uvolněná paměť

Tento problém je způsoben odkazováním na paměť po jejím uvolnění, což může vážně vést ke zhroucení programu. Když použijete dříve uvolněnou paměť, může to mít nepříznivé důsledky, jako je poškození platných dat, spuštění libovolného kódu, které závisí na načasování chyby.

Dvě běžné příčiny jsou:

  • Chybové podmínky v softwaru a v některých dalších výjimečných případech.
  • Žádné vysvětlení, která část programu způsobila uvolnění paměti.

V tomto případě je paměť přidělena jinému ukazateli ihned po uvolnění. Předchozí ukazatel na uvolněnou paměť se znovu použije a nyní ukazuje na místo kolem nové alokace. V době, kdy se data změní, může dojít k poškození použité paměti a může se aplikace chovat nedefinovaným způsobem.

# 8) CWE-190: Chyba přetečení celého čísla

Když je výpočet zpracován aplikací a existuje logický předpoklad, že výsledná hodnota bude větší než přesná hodnota, dojde k přetečení celého čísla. Zde se celočíselná hodnota zvýší na hodnotu, kterou nelze uložit do umístění.

Když k tomu dojde, hodnota se obvykle zalomí a stane se velmi malou nebo zápornou hodnotou. Pokud se předpokládá zabalení, pak je to v pořádku, ale neočekávané zabalení může mít bezpečnostní důsledky. Když nastane tento scénář, lze jej nazvat kritickým, protože výsledek se používá ke správě opakování, rozhodnutí o zabezpečení, slouží k přidělení paměti a mnoho dalších.

Tato slabost obecně povede k nevyzpytatelnému chování a může vést k haváriím. Pokud je hodnota důležitá pro data než pro tok, může dojít k jednoduchému poškození dat. Pokud ale zalomení vede k dalším podmínkám, jako je přetečení vyrovnávací paměti, může dojít k poškození paměti.

Tento problém může vyvolat přetečení vyrovnávací paměti, které může útočník použít ke spuštění libovolného kódu. Tato chyba přetečení celého čísla se obvykle zavádí do systému během fází návrhu a implementace SDLC.

IntegerOverflow

# 9) CWE-352: Padělání žádostí mezi weby

To je případ, kdy webová aplikace dostatečně neověřuje požadavek HTTP, ať už požadavek skutečně pochází od správného uživatele, nebo ne. Webové servery jsou navrženy tak, aby přijímaly všechny požadavky a odpovídaly na ně.

Předpokládejme, že klient odešle několik požadavků HTTP v rámci jedné nebo několika relací. Pro webový server je velmi obtížné zjistit, zda byly všechny požadavky autentické nebo ne, a obvykle se zpracovává. Útočník může mít způsob, jak donutit klienta, aby navštívil speciálně vytvořenou webovou stránku, a nyní může provádět některé požadavky, jako je převod fondu, změna jeho e-mailové adresy a mnoho dalších.

Útočník má okamžitě přístup a bude moci ukrást data a dokonce je může zničit. Mohou si vždy zachovat přístup a až budou hotovi, mohou kompromitovat protokol auditu, aby zabránili budoucí forenzní analýze, která by mohla odhalit jejich zneužití.

to technická podpora rozhovor otázky a odpovědi

Níže uvedený obrázek ukazuje, že útočník přiměje uživatele k provádění akcí, které nemají v úmyslu provést.

CrossSite

# 10) CWE-22: Traversal Directory

Traversal adresáře nebo cesta k souboru je chyba zabezpečení webu, která umožňuje útočníkovi číst libovolné soubory na serveru, na kterém je aktuálně spuštěna aplikace.

Těmito soubory mohou být kód aplikace, pověření pro back-end systémy a soubory operačního systému. V nějakém jiném scénáři může být útočník schopen zapisovat do těchto libovolných souborů na serveru, což by jim umožnilo upravit data nebo chování aplikace, což jim dá úplnou kontrolu nad serverem.

Traverz

(obraz zdroj )

# 11) CWE-78: Injekce příkazu OS

Jde o nesprávnou dezinfekci speciálních prvků, která může vést k úpravě zamýšleného příkazu OS, který je odeslán do následné komponenty. Útočník může tyto škodlivé příkazy spustit v cílovém operačním systému a může přistupovat k prostředí, ve kterém jej neměli číst ani upravovat.

To by útočníkovi vždy umožnilo provádět nebezpečné příkazy přímo do operačního systému.

Kdykoli se tato chyba zabezpečení vyskytne v privilegovaném programu, umožňuje útočníkovi používat příkazy, které jsou povoleny v prostředí, nebo volat jiné příkazy s oprávněními, která útočník nemá, což by mohlo zvýšit míru možného poškození.

CommandInjection

# 12) CWE-787: Chyba zápisu mimo meze

K tomu dojde, když aplikace zapíše data za konec nebo před začátek určené vyrovnávací paměti.

Když k tomu dojde, konečným výsledkem je obvykle poškození dat, selhání systému nebo aplikace. Co aplikace dělá, je nějaký druh aritmetiky ukazatele, který se používá při odkazování na umístění paměti mimo hranice vyrovnávací paměti.

# 13) CWE-287: Nesprávná chyba ověření

To je případ, kdy útočník tvrdí, že má platnou identitu, ale software se nepodařilo ověřit nebo prokáže, že nárok je správný.

Software nesprávně ověří přihlašovací údaje uživatele a v důsledku toho by útočník mohl v aplikaci získat určitá oprávnění nebo zveřejnit citlivé informace, které mu umožní přístup k citlivým datům a spuštění libovolného kódu.

# 14) CWE-476: Dereferencování ukazatele NULL

Dereferencování nulového ukazatele je, když aplikace dereferuje ukazatel, který měl vrátit platný výsledek, místo toho vrátí NULL a to vede k selhání. Dereferencování nulového ukazatele může nastat díky mnoha nedostatkům, jako jsou podmínky závodu a nějaká chyba programování.

Procesy, které jsou prováděny pomocí ukazatele NULL, obvykle vedou k selhání a možnost provedení procesu je velmi malá. To pomáhá útočníkům spustit škodlivý kód.

hloubkové první hledání c ++

NullPointer

(obraz zdroj )

# 15) CWE-732: Nesprávné přiřazení oprávnění

K této chybě zabezpečení dochází, když aplikace přiřadí oprávnění velmi důležitému a kritickému prostředku takovým způsobem, který vystavil prostředek přístupu k uživateli se zlými úmysly.

Když dáte mnoha lidem svolení ke zdroji, mohlo by to vést k odhalení nebo úpravě citlivých informací útočníkem. Pokud neexistují žádné kontroly proti tomuto druhu přístupu k přidělování oprávnění prostředkům, může to vést k velmi katastrofálnímu konci, pokud se konfigurace programu nebo některá citlivá data dostanou do špatné ruky.

# 16) CWE-434: Neomezené nahrávání souborů

K této chybě zabezpečení dochází, když aplikace před nahráním souborů do aplikace neověřuje typy souborů. Tato chyba zabezpečení je nezávislá na jazyce, ale obvykle se vyskytuje v aplikacích napsaných v jazyce ASP a PHP.

Nebezpečným typem souboru je soubor, který lze automaticky zpracovat v prostředí aplikace.

Následující program ukazuje nahrání souboru PHP. Před nahráním do adresáře webového kořene nebyl typ souboru ověřen a ověřen. V důsledku této slabosti může útočník nahrát libovolný soubor PHP a spustit jej přímým přístupem k nahranému souboru.

nahrání souboru PHP

libovolný soubor PHP

# 17) CWE-611: Vystavení informací prostřednictvím entit XML

Když se dokument XML nahraje do aplikace ke zpracování a tento dokument obsahuje entity XML s jednotným identifikátorem prostředku, který se převede na jiný dokument v jiném umístění, které se liší od zamýšleného umístění. Díky této anomálii může aplikace přiložit k výstupu nesprávné dokumenty.

Dokumenty XML někdy obsahují definici typu dokumentu (DTD), která se používá k definování entit XML a dalších funkcí. Prostřednictvím DTD může jednotný identifikátor zdroje sloužit jako forma substitučního řetězce. Analyzátor XML udělá přístup k tomu, co je obsaženo v jednotném identifikátoru prostředku, a vstup tohoto obsahu zpět do dokumentu XML k provedení.

InfoExposure

(obraz zdroj )

# 18) CWE-94: Injekce kódu

Existence syntaxe kódu v datech uživatele zvyšuje možnost útočníka změnit plánované chování kontroly a spustit libovolný kód. Tato chyba zabezpečení se označuje jako „injekční slabosti“ a tato slabost by mohla způsobit, že se kontrola dat stane uživatelsky ovládanou.

Tato chyba zabezpečení popisuje scénář, kdy software umožňuje nedůvěryhodná data do kódu a neprovádí ověřování speciálních znaků, což může negativně ovlivnit chování segmentu kódu i syntaxi.

Stručně řečeno, útočník by byl schopen vložit nějaký druh libovolného kódu a spustit jej v rámci aplikace. Následující kód PHP ukazuje použití funkce eval () v nedůvěryhodných datech. V níže uvedeném kódu je útočník schopen předat do kódu libovolný kód parametru „param“, který se poté provede v softwaru.

Vložení kódu

Níže uvedený příklad vysvětluje volání do phpinfo () funkce. Tuto chybu zabezpečení lze dále využít v jiných k provádění libovolných příkazů operačního systému v cílovém softwaru prostřednictvím volání system ().

volání funkce phpinfo ()

# 19) CWE-798: Pevně ​​zakódovaný přístupový klíč

To je případ, kdy je heslo a přístupový klíč pevně zakódováno do aplikace přímo pro účely příchozí autentizace a odchozí komunikace s některými externími komponentami a pro šifrování interních dat. Pevně ​​zakódované přihlašovací údaje obvykle způsobují zranitelnost, která útočníkovi připravuje cestu k obejití autentizace nakonfigurované správcem softwaru.

Správce systému vždy zjistí tuto chybu zabezpečení a napraví ji velmi obtížně.

Existují dva hlavní proudy této slabosti:

  • Příchozí : Aplikace obsahuje ověřovací systém, který ověřuje vstupní pověření podle pevně zakódovaných podrobností.
  • Odchozí : Aplikace se připojuje k jinému systému a podrobnosti pro připojení k jinému systému jsou pevně zakódovány do systému.

V příchozím streamu je vždy vytvořen výchozí účet správce a přihlašovací údaje pro přístup k němu budou pevně zakódovány do aplikace a přidruženy k tomuto výchozímu účtu správce.

Napevno zakódované podrobnosti jsou obvykle stejné při každé instalaci aplikace a nikdo to nemůže změnit ani zakázat. Ani správci systému nemají právo, kromě toho, že mohou aplikaci ručně upravit. Pokud je heslo někdy zveřejněno, může mít útočník přístup k celé aplikaci a může s ní manipulovat pro svůj vlastní zisk.

Protože všechny instalace aplikace mají stejné heslo, i když jsou nainstalovány v samostatných organizacích, může to způsobit velmi masivní útoky napříč všemi hranicemi organizace, například, vstřikování červa do aplikace, která se bude šířit kolem.

Odchozí stream se vztahuje pouze na front-end systémy, které se autentizují pomocí služby back-end. Služba typu back-end může vyžadovat pevný kód nebo pevné heslo, které lze snadno zjistit. To, co programátor dělá, je jednoduše naprogramovat tyto back-end pověření do front-end softwaru. Každý uživatel této aplikace může být schopen extrahovat heslo.

Jakýkoli software na straně klienta, kde je heslo a přístupový klíč pevně zakódován, obvykle představuje větší hrozbu než software, který není pevně zakódován, protože extrakce hesla z binárního souboru je obvykle velmi snadná.

# 20) CWE-400: Nekontrolovaná spotřeba zdrojů

Tato chyba zabezpečení nastane, když aplikace nekontroluje alokaci správně a údržbu omezeného zdroje, což umožňuje útočníkovi ovlivnit množství spotřebovaných prostředků, což nakonec povede k vyčerpání dostupných zdrojů.

Část omezených zdrojů zahrnuje paměť, úložiště systému souborů, položky fondu databázových připojení a CPU.

Předpokládejme, že útočník může aktivovat přidělení těchto omezených zdrojů a počet nebo velikost zdrojů není pod kontrolou, pak by útočník mohl způsobit chaos prostřednictvím odmítnutí služby, které spotřebovává všechny dostupné zdroje.

Když k tomu dojde, zabrání to platným uživatelům v přístupu k aplikaci, což bude mít vždy negativní dopad na životní prostředí. Například, když paměť aplikace prochází vyčerpáním, mohlo by to zpomalit celou aplikaci i hostitelský operační systém.

Tři různé instance, které mohou vést k vyčerpání zdrojů, jsou:

  • Nedostatek škrcení pro počet přidělených zdrojů
  • Ztráta všech odkazů na prostředek před dosažením fáze vypnutí
  • Selhání zavření / vrácení prostředku po zpracování

Problém vyčerpání prostředků je obvykle důsledkem nesprávné implementace následujících scénářů:

  • Chybové podmínky a další výjimečné okolnosti.
  • Existuje smíšená reakce, která část programu uvolní zdroj.

Následující příklad pomáhá předvést povahu této chyby zabezpečení a popsat metody, které lze použít ke zmírnění rizika.

Následující příklad vysvětluje tuto chybu zabezpečení:

Nekontrolovaná spotřeba zdrojů

(obraz zdroj )

Tento program nesleduje, kolik připojení bylo provedeno, a neomezuje počet dostupných připojení. Vidlice je jen jedním ze způsobů, které útočník používá k tomu, aby systému došel procesor, procesy nebo paměť tím, že navázal velký počet připojení.

Útočník dělá to, že spotřebuje všechna dostupná připojení a zabrání ostatním v přístupu na dálku do systému.

Často kladené otázky

Otázka č. 1) Co znamená SANS?

Odpovědět: SANS znamená SysAdmin, Audit, Síť a Zabezpečení.

Otázka č. 2) Uveďte několik příkladů chyb zabezpečení.

Odpověď: Příklady jsou následující:

  • Zranitelnosti softwaru
  • Zranitelnosti brány firewall
  • Zranitelnosti sítě
  • Zranitelnosti operačního systému
  • Zranitelnosti webového serveru
  • Zranitelnosti databáze

Otázka č. 3) Jaký je rozdíl mezi hrozbami a zranitelnostmi?

Odpovědět: Ohrožení je možnost provedení škodlivého nebo nežádoucího jednání ve snaze poškodit počítačový systém nebo aplikaci prostřednictvím existujících chyb zabezpečení v systému. Příklad: ransomware.

Zranitelnosti jsou slabosti existující v systému, které by mohly umožnit nechtěný nebo neoprávněný přístup útočníka k infiltraci škody do organizace. Příklad: Chybná konfigurace brány firewall.

Otázka č. 4) Jaké jsou nejčastější chyby zabezpečení?

Odpověď: Jedná se o následující:

  • SQL Injection
  • Cross-Site Scripting
  • Chybná konfigurace zabezpečení
  • Citlivá expozice dat
  • Nefunkční ověřování
  • Správa relací

Závěr

Tento seznam 20 nejzranitelnějších míst zabezpečení SANS není pravidlem ani zásadami, ale návodem, jak nám pomoci vyhnout se zranitelnostem softwaru. Ať už jsme vývojář nebo odborník na zabezpečení, je nyní na nás, abychom se řídili touto příručkou ohledně toho, co lze udělat, abychom se vyhnuli jakékoli chybě, která by mohla vést k zranitelnostem v naší aplikaci, což může vytvořit backdoor pro herce, který má provést škodlivý čin.

Doporučené čtení

^