Понятие «уязвимость информационной системы». Примеры уязвимостей.
В компьютерной безопасности, термин уязвимость (англ. vulnerability) используется для обозначения недостатка в системе, используя который, можно нарушить её целостность и вызвать неправильную работу. Уязвимость может быть результатом ошибок программирования, недостатков, допущенных при проектировании системы, ненадежных паролей, вирусов и других вредоносных программ, скриптовых, а также SQL-инъекций.
Метод информирования об уязвимостях является одним из пунктов спора в сообществе компьютерной безопасности. Некоторые специалисты отстаивают немедленное полное раскрытие информации об уязвимостях, как только они найдены. Другие советуют сообщать об уязвимостях только тем пользователям, которые подвергаются наибольшему риску, а полную информацию публиковать лишь после задержки или не публиковать совсем. Такие задержки могут позволить тем, кто был извещён, исправить ошибку при помощи разработки и применения патчей, но также могут и увеличивать риск для тех, кто не посвящён в детали.
Существуют инструментальные средства, которые могут помочь в обнаружении уязвимостей в системе. Хотя эти инструменты могут обеспечить аудитору хороший обзор возможных уязвимостей, существующих в системе, они не могут заменить участие человека в их оценке.
Для обеспечения защищённости и целостности системы необходимо постоянно следить за ней: устанавливать обновления, и использовать инструменты, которые помогают противодействовать возможным атакам. Так как новые уязвимости находят непрерывно, единственный путь уменьшить вероятность их использования против системы — постоянная бдительность.
Примеры уязвимостей
Распространённые типы уязвимостей включают в себя:
Нарушения безопасности доступа к памяти, такие как:
Переполнения буфера
Висящие указатели
Ошибки проверки вводимых данных, такие как:
ошибки форматирующей строки
Неверная поддержка интерпретации метасимволов командной оболочки
SQL-инъекция
Инъекция кода
E-mail инъекция
Обход каталогов
Межсайтовый скриптинг в веб-приложениях
Состояния гонки, такие как:
Ошибки времени-проверки-ко-времени-использования
Гонки символьных ссылок
Ошибки путаницы привилегий, такие как:
Подделка межсайтовых запросов в веб-приложениях
Эскалация привилегий, такие как:
Shatter attack
Информационные риски: определение, особенности, методы измерения.
Информационные риски – это вероятность ущерба вследствие применения компанией или предприятием информационных технологий, которые сокращенно называют IT или ИТ. Использование информационных технологий связано со всеми этапами работы с информацией в электронном виде – от создания до передачи и хранения.
К информационным рискам относятся следующие виды:
нарушение права собственности на информацию;
утрата и порчи информации;
предоставление искаженной, недостоверной информации;
создание некачественных систем обработки и хранения информации;
нарушение правил формирования и обработки информации;
несвоевременное предоставление, отказ предоставить информацию;
нарушение правил получения и предоставления информации.
Анализ информационных рисков — это процесс комплексной оценки защищенности информационной системы с переходом к количественным или качественным показателям рисков. При этом риск — это вероятный ущерб, который зависит от защищенности системы. Итак, из определения следует, что на выходе алгоритма анализа риска можно получить либо количественную оценку рисков (риск измеряется в деньгах), либо — качественную (уровни риска; обычно: высокий, средний, низкий).
Оценка
рисков:
