База даних уразливостей (VDB) — це платформа, призначена для збору, підтримки та розповсюдження інформації про виявлені вразливості комп'ютерної безпеки. База даних зазвичай описуватиме виявлену вразливість, оцінюватиме потенційний вплив на уражені системи та будь-які обхідні шляхи чи оновлення для пом'якшення проблеми. VDB призначає унікальний ідентифікатор для кожної занесеної в каталог вразливості, наприклад номер (наприклад, 123456) або буквено-цифрове позначення (наприклад, VDB-2020-12345). Інформація в базі даних може бути доступна через веб-сторінки, експорт або API. VDB може надавати інформацію безкоштовно, за плату або поєднуючи обидва способи.

Історія Першою базою даних уразливостей була «Repaired Security Bugs in Multics», опублікована 7 лютого 1973 року Джеромом Х. Зальцером. Він описав список як «список усіх відомих способів, якими користувач може зламати або обійти механізми захисту Multics». Спочатку список був дещо конфіденційним з наміром зберегти деталі вразливості, доки не будуть доступні рішення. Опублікований список містив дві локальні уразливості ескалації привілеїв і три локальні атаки на відмову в обслуговуванні.

Типи баз даних уразливостей Основні бази даних уразливостей, такі як база даних ISS X-Force, база даних Symantec / SecurityFocus BID і (OSVDB) об'єднують широкий спектр публічно оприлюднених уразливостей, включаючи Common Vulnerabilities and Exposures (CVE). Основна мета CVE, якою керує , полягає в спробі зібрати загальнодоступні вразливості та надати їм унікальний ідентифікатор у стандартизованому форматі. Багато баз даних уразливостей розробляють отриману інформацію від CVE та проводять подальші дослідження, надаючи оцінки ризику вразливості, оцінки впливу та необхідний обхідний шлях. У минулому CVE мав першочергове значення для зв'язування баз даних уразливостей, щоб критичні виправлення та налагодження можна було обмінювати, щоб перешкоджати хакерам отримати доступ до конфіденційної інформації в приватних системах. Національна база даних про вразливості (NVD), якою керує Національний інститут стандартів і технологій (NIST), працює окремо від бази даних CVE, якою керує MITRE, але містить лише інформацію про вразливості з CVE. NVD слугує вдосконаленням цих даних, надаючи оцінку ризиків Загальної системи оцінки вразливостей (CVSS) і дані (CPE).

надає точний, технічний і неупереджений індекс безпеки вразливостей. У повній базі даних каталогізовано понад 121 000 вразливостей. OSVDB було засновано в серпні 2002 року і розпочато в березні 2004 року. На початковому етапі нещодавно виявлені вразливості були досліджені членами сайту, а пояснення були докладно на веб-сайті. Однак, оскільки потреба в службі зростала, потреба в спеціальному персоналі призвела до заснування Open Security Foundation (OSF), яка була заснована як некомерційна організація в 2005 році для забезпечення фінансування проектів безпеки, і в першу чергу OSVDB. OSVDB закрито у квітні 2016 р.

Національна база даних про вразливості США — це всеосяжна база даних про вразливості кібербезпеки, сформована в 2005 році, яка звітує про CVE. NVD — це основний інструмент для звернення до кібербезпеки для окремих осіб і галузей, який надає інформаційні ресурси про поточні вразливості. NVD зберігає понад 100 000 записів. Подібно до OSVDB, NVD публікує оцінки впливу та класифікує матеріали в індекс, щоб надати користувачам зрозумілу систему пошуку. Інші країни мають власні бази даних уразливостей, як-от та Росії.

Різноманітні комерційні компанії також підтримують власні бази даних уразливостей, пропонуючи клієнтам послуги, які надають нові й оновлені дані про вразливості в машиночитаному форматі, а також через веб-портали. Приклади включають Exploit Observer від ARP Syndicate, портал DeepSight Symantec і канал даних про вразливості, менеджер вразливостей Secunia (придбаний Flexera) і службу аналізу вразливостей від Accenture (раніше iDefense).

Exploit Observer використовує свою систему агрегування даних про вразливості та експлойти (VEDAS) для збору експлойтів і вразливостей із широкого спектра глобальних джерел, включаючи китайські та російські бази даних.

Бази даних уразливостей радять організаціям розробляти, визначати пріоритети та виконувати виправлення або інші засоби пом'якшення, які намагаються усунути критичні вразливості. Однак це часто може призвести до створення додаткової вразливості, оскільки патчі створюються поспішно, щоб перешкодити подальшій експлуатації системи та порушенням. Залежно від рівня користувача чи організації, вони гарантують належний доступ до бази даних уразливостей, яка надає користувачеві відомості про відомі вразливості, які можуть вплинути на нього. Виправдання для обмеження доступу до окремих осіб полягає в тому, щоб перешкодити хакерам ознайомитися з уразливими місцями системи корпорації, які потенційно можуть бути використані надалі.

Використання баз даних уразливостей Бази даних уразливостей містять величезну кількість виявлених уразливостей. Однак небагато організацій мають досвід, персонал і час для перегляду та усунення всіх потенційних уразливостей системи, тому оцінка вразливості є методом кількісного визначення серйозності системного порушення. Існує безліч методів підрахунку балів у базах даних уразливостей, таких як US-CERT і шкала критичного аналізу вразливостей Інституту SANS, але загальна система оцінки вразливостей (CVSS) є переважаючою технікою для більшості баз даних уразливостей, включаючи OSVDB, vFeed і NVD. CVSS базується на трьох основних показниках: базовому, часовому та зовнішньому, кожен з яких забезпечує оцінку вразливості.

База Цей показник охоплює незмінні властивості вразливості, такі як потенційний вплив розкриття конфіденційної інформації, доступність інформації та наслідки безповоротного видалення інформації.

Часовий вимір Часові показники вказують на мінливу природу вразливості, наприклад, вірогідність використання, поточний стан системного порушення та розробку будь-яких обхідних шляхів, які можна застосувати.

Оточення Цей аспект CVSS оцінює потенційні втрати для окремих осіб або організацій через уразливість. Крім того, у ньому детально описано основну ціль уразливості, починаючи від персональних систем і закінчуючи великими організаціями, і кількість потенційно постраждалих осіб.

Складність із використанням різних систем оцінки полягає в тому, що немає консенсусу щодо серйозності вразливості, тому різні організації можуть не помічати критичні випадки використання системи. Основна перевага стандартизованої системи підрахунку балів, як-от CVSS, полягає в тому, що опубліковані показники вразливості можна оцінити, перевірити та швидко виправити. Організації та окремі особи можуть визначити особистий вплив уразливості на їхню систему. Переваги, отримані від баз даних уразливостей для споживачів і організацій, є експоненціальними, оскільки інформаційні системи стають все більш вбудованими, наша залежність і довіра до них зростає, як і можливість використання даних.

Поширені вразливості безпеки, перелічені в базах даних уразливостей

Помилка початкового розгортання Незважаючи на те, що функціональність бази даних може здаватися бездоганною, без ретельного тестування значні недоліки можуть дозволити хакерам проникнути в систему кібербезпеки. Часто бази даних публікуються без суворого контролю безпеки, тому конфіденційний матеріал легко доступний.

SQL ін'єкція Атаки на бази даних є найпоширенішою формою порушень кібербезпеки, зареєстрованих у базах даних уразливостей. Ін'єкції SQL та NoSQL проникають у традиційні інформаційні системи та платформи великих даних відповідно та інтерполюють зловмисні заяви, дозволяючи хакерам нерегульований доступ до системи.

Неправильно налаштовані бази даних Налагоджені бази даних зазвичай не можуть впроваджувати ключові виправлення, запропоновані базами даних уразливостей, через надмірне робоче навантаження та необхідність вичерпного тестування, щоб переконатися, що виправлення оновлюють дефектну вразливість системи. Оператори баз даних зосереджують свої зусилля на основних системних недоліках, які пропонують хакерам безперешкодний доступ до системи через запущені латки.

Неадекватний аудит Усі бази даних вимагають контрольних записів, коли дані змінюються або доступ до них здійснюється. Коли системи створюються без необхідної системи аудиту, використання вразливостей системи складно виявити та усунути. Бази даних уразливостей проголошують важливість відстеження аудиту як засобу стримування кібератак.

Захист даних є важливим для будь-якого бізнесу, оскільки особиста та фінансова інформація є ключовим активом, а викрадення конфіденційних матеріалів може дискредитувати репутацію фірми. Впровадження стратегій захисту даних є обов'язковим для захисту конфіденційної інформації. Деякі дотримуються думки, що початкова апатія розробників програмного забезпечення, у свою чергу, зумовлює необхідність існування баз даних уразливостей. Якби системи були розроблені з більшою ретельністю, вони могли б бути непроникними для ін'єкцій SQL і NoSQL, що робить бази даних уразливостей зайвими.

Див. також

Common Vulnerabilities and Exposures

Національна база даних вразливостей

Управління вразливістю

Коментарі

Примітки