Классификация уязвимостей

Из определений видно, что, производя атаку, нарушитель использует уязвимости информационной системы. Иначе говоря, если нет уязвимости, то невозможна и атака, её использующая. Поэтому одним из важнейших механизмов защиты является процесс поиска и устранения уязвимостей информационной системы. Рассмотрим различные варианты классификации уязвимостей. Такая классификация нужна, например, для создания базы данных уязвимостей, которая может пополняться по мере обнаружения новых уязвимостей.

Источники возникновения уязвимостей

Часть уязвимостей закладывается ещё на этапе проектирования. В качестве примера можно привести сервис TELNET , в котором имя пользователя и пароль передаются по сети в открытом виде. Это явный недостаток, заложенный на этапе проектирования. Некоторые уязвимости подобного рода трудно назвать недостатками, скорее это особенности проектирования. Например, особенность сетей Ethernet - общая среда . передачи.

Другая часть уязвимостей возникает на этапе реализации (программирования). К таким уязвимостям относятся, например, ошибки программирования стека TCP/IP приводящие к отказу в обслуживании. Сюда следует отнести и ошибки при написании приложений, приводящие к переполнению буфера.

И, наконец, уязвимости могут быть следствием ошибок, допущенных в процессе эксплуатации информационной системы. Сюда относятся неверное конфигурирование операционных систем, протоколов и служб, нестойкие пароли пользователей и др.

Можно выделить несколько критериев классификации уязвимостей. Уязвимости можно классифицировать по  этапам жизненного цикла, на которых они появляются:

• уязвимости этапа проектирования;

• уязвимости этапа реализации;

• уязвимости этапа эксплуатации.

Уязвимости первого класса наиболее опасны. Источником возникновения этих уязвимостей является процесс проектирования, их трудно обнаружить и устранить. К ним относится проектирование системы без учета требований безопасности.

Уязвимости второго класса заключается в появлении ошибки на этапе реализации в программном или аппаратном обеспечении корректного с точки зрения безопасности проекта или алгоритма. Выявить такие уязвимости значительно проще, чем проектные. К ним относится переполнение буфера.

Источником возникновения уязвимостей третьего класса являются ошибки конфигурирования аппаратного и программного обеспечения. Такие уязвимости наиболее распространены и легче всего обнаруживаются. К ним относятся: наличие слабых паролей; наличие незаблокированных встроенных учётных записей пользователей; неправильным образом установленные права доступа пользователей к информационным ресурсам; наличие в ИС неиспользуемых, но потенциально опасных сетевых служб и программных компонентов.Так же уязвимости могут быть и аппаратных средствах, те же самые устройства несанкционированного съема и передачи информациив могут быть интегрированы не только в аппаратное обеспечения тех же самых компьютеров, коммутаторов и маршрутизаторов, но и в запчасти мобильных телефонов, которые мы пользуемся каждый день, сторого говоря мобильный телефон в современном исполнении сам по себе является устройством съема и передачи информации, поэтому проводя важные переговоры, заходя в помещения где ведется обработка грифованной информации по правилам необходимо всегда отключать и/или сдавать мобильные телефоны.

Такая классификация является логически законченной и обоснованной, так как охватывает все этапы жизненного цикла программного продукта, но не описывает взаимосвязь между уязвимостями.

В классификации уязвимостей по уровню в информационной инфраструктуре системы. Информационная инфраструктура — это система организационных структур, подсистем, обеспечивающих функционирование и развитие информационного пространства  и средств информационного взаимодействия, это основа, без которой автоматизация деятельности предприятия невозможна. Выделяются следующие типы уязвимостей:

• уязвимости уровня сети —  уязвимости сетевых протоколов;

• уязвимости уровня операционной системы;

• уязвимости уровня баз данных — уязвимости конкретных СУБД ;

• уязвимости уровня приложений  — относятся уязвимости программного обеспечения.

Это наиболее наглядный вариант классификации. Он показывает, что именно уязвимо, но причинно-следственную связь между уязвимостями при использовании такой классификации установить нельзя.

Классификация уязвимостей по степени риска:

• высокий уровень риска —  уязвимость позволяет атакующему получить доступ к узлу с правами администратора в обход средств защиты;

• средний уровень риска  — уязвимость позволяет атакующему получить информацию, которая с высокой степенью вероятности позволит получить доступ к узлу;

• низкий уровень риска — уязвимости, позволяющие злоумышленнику осуществлять сбор критической информации о системе.

Такая классификация используется для оценки степени критичности уязвимостей  при определении качества защищенности ИС.

Этот вариант классификации достаточно условный и разные источники предлагают свои варианты такой классификации. Соответственно, это очень субъективный метод классификации уязвимостей.