Dicționar IT
Ce este o vulnerabilitate?
Slăbiciunea exploatabilă: defectul de software sau configurare prin care un atacator poate face ce n-ar trebui să poată — moneda de schimb a întregii securități.
Vulnerabilitatea e defectul cu consecințe de securitate: eroarea de programare sau de configurare care permite cuiva să facă ce n-ar trebui — să citească date străine, să execute cod, să ocolească autentificarea, să preia controlul. Ecosistemul din jurul lor are o mecanică pe care merită s-o cunoști ca s-o folosești: vulnerabilitățile descoperite primesc identificatori publici (CVE — numele universal sub care o slăbiciune e catalogată) și scoruri de gravitate (CVSS — de la neglijabil la critic), producătorii publică petice (patch-uri), iar de aici pornește cursa care definește domeniul: între publicarea vulnerabilității și aplicarea patch-ului la tine, fereastra e deschisă — și e exploatată industrial: scanere automate caută pe tot internetul, non-stop, exact versiunile vulnerabile anunțate public; la vulnerabilitățile critice pe sisteme expuse, exploatarea în masă începe în ore-zile, nu în luni — de unde regula de aur a întregii igiene: viteza patch-ului contează mai mult decât orice unealtă scumpă (majoritatea covârșitoare a incidentelor reale exploatează slăbiciuni cunoscute, cu patch existent, neaplicat — nu atacuri sofisticate de tip zero-day, care sunt raritatea rezervată țintelor mari). Ce înseamnă asta operațional pentru o firmă obișnuită, în patru discipline: inventarul (nu poți petici ce nu știi că ai — lista sistemelor expuse la internet: site, VPN, servere, echipamente — e punctul zero), actualizarea ritmică (automată unde se poate; pentru criticele pe sisteme expuse — în zile, nu „la mentenanța trimestrială”), scanarea periodică de vulnerabilități (unelte automate care îți văd sistemele cum le văd atacatorii — ieftină, complementară pentestului care demonstrează exploatabilitatea) și canalul de aflare (cineva — intern sau furnizorul IT — trebuie să afle când apare o critică relevantă pentru stack-ul tău: abonarea la alertele DNSC și ale producătorilor folosiți e gratuită). Plus onestitatea față de propriul software: aplicațiile construite pentru tine au și ele vulnerabilități — dependențele lor îmbătrânesc (bibliotecile cu CVE-uri publicate sunt exact ce caută scanerele), deci mentenanța care le actualizează nu e abonament decorativ, ci exact această igienă; iar la aplicațiile care primesc date de la public, auditul de securitate periodic își are locul în buget. Vulnerabilitatea nu e rușinea nimănui — tot software-ul are; neaplicarea patch-ului public de trei luni, în schimb, e o alegere.
Hai să vorbim despre proiectul tău
Scrie-ne pe WhatsApp sau trimite un email — vorbești direct cu un programator.
office@northdan.com · +40 752 070 247
Termenul te interesează pentru un proiect concret? Găsim și închidem slăbiciunile înaintea atacatorilor — vezi serviciul de securitate cibernetică
De ce contează pentru afacerea ta
Fereastra de atac, scurtată la zile
Patch-urile aplicate ritmic închid slăbiciunile publicate înainte ca scanerele automate să te găsească — igiena care previne majoritatea incidentelor reale.
Vedere de atacator asupra propriilor sisteme
Scanarea periodică de vulnerabilități arată exact ce expui și cât de grav — lista de reparat, prioritizată pe scoruri, înainte s-o întocmească altcineva.
Buget de securitate pe randament
Când știi că grosul incidentelor vine din cunoscut-nepeticit, banii se duc întâi pe inventar, actualizări și scanare — nu pe cutii scumpe peste temelii găurite.
Întrebări frecvente
Ce e un zero-day și cât ar trebui să mă îngrijoreze?
Vulnerabilitatea exploatată înainte ca producătorul să aibă patch — „zero zile” de apărare posibilă prin actualizare. Realist, pentru un IMM: îngrijorare mică — zero-day-urile sunt scumpe și se consumă pe ținte mari; riscul tău statistic covârșitor e opusul lor: vulnerabilitățile vechi, publice, cu patch existent, neaplicat la tine. Paradoxul util: firmele care se sperie de zero-day-uri din presă și amână update-urile de rutină se apără de fulger stând în piscină.
Am primit alertă că software-ul folosit de noi are o vulnerabilitate critică — pașii?
În ordine: verifici dacă versiunea ta e afectată și dacă sistemul e expus la internet (combinația critică + expus = acum, nu mâine), aplici patch-ul sau, până la el, măsurile de atenuare publicate de producător (dezactivarea funcției vulnerabile, restricționarea accesului), și verifici semnele de exploatare deja petrecută (jurnale, indicatori publicați — la criticele mediatizate, presupunerea sănătoasă e „posibil să fi fost deja scanați”). Dacă administrarea e externalizată: întrebarea către furnizor nu e „ați auzit?”, ci „când aplicați și cum verificăm că n-am fost deja loviți?”.
Scanare de vulnerabilități sau pentest — ce comand și cât de des?
Amândouă, pe roluri: scanarea e automată, ieftină și recurentă (lunar/trimestrial pe sistemele expuse — prinde cunoscutul: versiuni vechi, configurări greșite), pentestul e uman, mai scump și punctual (anual sau la schimbări majore — demonstrează exploatabilitatea reală și găsește ce scanerele nu văd: logică de business, înlănțuiri). Secvența sănătoasă pentru buget limitat: întâi disciplina patch-urilor și scanarea recurentă (elimină grosul riscului), apoi pentestul pe ce contează cel mai mult — aplicația cu datele clienților înaintea site-ului de prezentare.
Hai să vorbim despre proiectul tău
Scrie-ne pe WhatsApp sau trimite un email — vorbești direct cu un programator.
office@northdan.com · +40 752 070 247