Управління вразливістю

Управління вразливістю (також відоме як управління слабкими місцями^[1]) — процес виявлення, оцінки, звітування та лікування вразливостей безпеки в комп'ютерних системах.^[1][2] Як піддомен управління ризиками ІТ, воно має фундаментальне значення для безпеки інформації та мережі, і його не слід плутати з аналізом уразливостей(інші мови).^[3] Уразливості можна виявити за допомогою сканерів уразливостей.^[4]

Можливі вразливості, які можна знайти за допомогою сканера вразливостей, включають: відкриті порти, незахищені конфігурації програмного забезпечення та вразливість до зловмисного програмного забезпечення. Уразливості також можна виявити через загальнодоступні джерела (наприклад, National Vulnerabilty Database^[5][6] або службу попереджень та інформації CERT Bund^[7]), оновлення системи безпеки від виробника програмного забезпечення або через комерційні служби попередження. Наприклад, Федеральне відомство з інформаційної безпеки описує використання програмного забезпечення з відкритим кодом OpenVAS на своєму веб-сайті.^[8]

Досі невідомі або неопубліковані вразливості безпеки (вразливості нульового дня) можна знайти, наприклад, за допомогою фаззингу. Це передбачає передачу випадкових даних до вхідного інтерфейсу, щоб потенційно спровокувати збої системи, які, у свою чергу, виявляють вразливість системи безпеки.^[9] Подібним чином інструменти статичного аналізу аналізують вихідний код або двійкові файли, щоб виявити потенційні вразливості, не запускаючи програму.^[10] Символьне виконання(інші мови), передова техніка, що поєднує статичний і динамічний аналіз, додатково допомагає визначити вразливі місця.^[11]

У (програмних) проектах управління вразливістю включає дослідження потенційної вразливості проекту до негативних подій (таких як використання існуючої вразливості), аналіз їх впливу та аналіз здатності проекту справлятися з негативними подіями. Модель системного управління вразливістю проектів передбачає необхідність аналізу всього проекту. Рекомендується чотириетапний підхід:^[12]

1. виявлення вразливостей;
2. аналіз знайдених вразливостей;
3. планування усунення виявлених вразливостей;
4. усунення вразливостей, включаючи впровадження виправлень, моніторинг, контроль успіху та засвоєні уроки(інші мови).

Згідно з цією системою, обробка негативних подій системою повинна складатися зі здатності протистояти поточному пошкодженню (статичний аспект) і своєчасно відновлюватися від нього (динамічний аспект). Надлишковість покликана допомогти підвищити стійкість(інші мови)^[13], тоді як антикрихкість також покликана дати системі можливість покращити себе шляхом відновлення після негативної події.^[12]

• Ханс-Петер Кенігс: Управління ІТ-ризиками за допомогою системи — орієнтоване на практику управління інформаційною безпекою, ІТ-ризиками та кіберризиками . 5-й видання. Springer, Wiesbaden, 2017, ISBN 978-3-658-12003-0.