Уязвимости информации и информационных систем. ОИТ. Лекция 4

нарушителем может привести к реализации угрозы.

уязвимостей;
неправильные настройки программного обеспечения;
несанкционированное внедрение вредоносных программ;
неумышленные действия пользователей;
сбои в работе программного и аппаратного обеспечения.

– системное или прикладное.
по этапу жизненного цикла ПО, на котором возникла уязвимость – проектирование, эксплуатация и пр.
по причине возникновения уязвимости, например, недостатки механизмов аутентификации сетевых протоколов.
по характеру последствий от реализации атак – изменение прав доступа, подбор пароля, вывод из строя системы в целом и пр.

процедуры, изменение параметров которых определенным образом позволяет использовать их для несанкционированного доступа без обнаружения таких изменений операционной системой;
фрагменты кода программ ("дыры", "люки"), введенные разработчиком, позволяющие обходить процедуры идентификации, аутентификации, проверки целостности и др.;
отсутствие необходимых средств защиты (аутентификации, проверки целостности, проверки форматов сообщений, блокирования несанкционированно модифицированных функций и т.п.);
ошибки в программах (в объявлении переменных, функций и процедур, в кодах программ), которые при определенных условиях (например, при выполнении логических переходов) приводят к сбоям, в том числе к сбоям функционирования средств и систем защиты информации.

обусловлены ограничениями на размеры применяемого буфера, недостатками процедуры аутентификации, отсутствием проверок правильности служебной информации и др.
Так, например, протокол прикладного уровня FTP, широко используемый в Интернете, производит аутентификацию на базе открытого текста, тем самым позволяя перехватывать данные учетной записи.

выявить, ликвидировать или нейтрализовать уязвимые места, которые могут быть использованы нарушителями;
б) минимизированы, т. е. должны быть предприняты активные шаги, чтобы сократить до приемлемого остаточного уровня потенциальное влияние на безопасность использования любого уязвимого места в системе;
в) контролируемы, т. е. должна быть предусмотрена возможность принятия активных шагов по выявлению любой попытки использовать оставшиеся уязвимые места для того, чтобы принять меры по ограничению величины возможного ущерба.