Słownik pojęć IT Bezpieczeństwo
Exploit i podatność
Podatność to luka w oprogramowaniu, a exploit to sposób lub kod, który tę lukę wykorzystuje do ataku.
Inne określenia: podatność, luka bezpieczeństwa, exploit, vulnerability, CVE, zero-day
Czym różni się podatność od exploita?
Podatność to błąd w oprogramowaniu lub konfiguracji, który pozwala obejść zabezpieczenia: dostać się do danych, przejąć kontrolę albo zakłócić działanie. Exploit to technika lub gotowy kod wykorzystujący konkretną podatność. Po publicznym ujawnieniu luki i wydaniu poprawki exploity szybko trafiają do automatycznych narzędzi atakujących, dlatego strony niezałatane w porę stają się łatwym celem.
Cykl życia luki
- Ktoś odkrywa błąd w oprogramowaniu.
- Producent wydaje poprawkę, a opis luki trafia do publicznych baz, często z identyfikatorem CVE.
- Powstają exploity, a automaty zaczynają skanować internet w poszukiwaniu niezałatanych instalacji.
- Strony, które nie wgrały poprawki, zostają zaatakowane - często bez udziału człowieka.
Luka zero-day
To podatność wykorzystywana, zanim producent zdążył wydać poprawkę. Przed nią częściowo chronią warstwy obronne, jak filtr ruchu, ograniczone uprawnienia i monitoring. W praktyce małych firm znacznie większym problemem są jednak luki znane i dawno załatane, których nikt nie wgrał.
Jak ograniczyć ryzyko
- Regularne aktualizacje systemu, wtyczek i motywów.
- Usuwanie nieużywanych wtyczek i kont.
- Filtr ruchu przed stroną, który blokuje znane wzorce ataków.
- Okresowy audyt bezpieczeństwa.
Częste pytania o Exploit i podatność
Skąd wiadomo, czy moja strona ma podatności?
Skanery bezpieczeństwa i audyt wskazują znane luki w używanych wersjach oprogramowania. Wiele zagrożeń da się wykryć, porównując listę wtyczek z publicznymi bazami podatności.
Czy mała strona jest celem ataków?
Tak, bo ataki są zautomatyzowane i nie wybierają celów według wielkości firmy. Automat szuka konkretnej podatnej wersji wtyczki, niezależnie od tego, na czyjej stronie ją znajdzie.
Porozmawiajmy o Twoim biznesie.
Przedstaw nam swoje potrzeby - zaproponujemy rozwiązanie i konkretną wycenę. Bez zobowiązań.