آسیب پذیری ( Vulnerability ) چیست؟
آسیب‌پذیری نقصی در دستگاه رایانه‌ای است که مجرمان سایبری می‌توانند از آن برای ورود غیرمجاز استفاده کنند. یک حمله سایبری که با موفقیت از یک آسیب پذیری سوء استفاده می کند، کدهای مخرب را اجرا می کند، بدافزار نصب می کند و حتی داده های حساس را به سرقت می برد. اشکالات ممکن است به طرق مختلف مورد سوء استفاده قرار گیرند، از کیت های بهره برداری منبع باز که برنامه های وب را برای آسیب پذیری های مستند و نقص های امنیتی اسکن می کند
آسیب پذیری به روش های مختلفی توصیف می شود. در زیر مجموعه ای از تعاریف گردآوری شده توسط مقامات مختلف امنیت سایبری آمده است.
NIST
آسیب‌پذیری در یک سیستم اطلاعاتی، پروتکل‌های امنیتی سیستم، کنترل‌های داخلی که می‌تواند به خطر بیفتد یا توسط یک منبع تهدید ایجاد شود، همان آسیب‌پذیری در امنیت سایبری است.
ISO 27005
یک آسیب پذیری در یک شئ یا مجموعه ای از دارایی ها می تواند توسط یک یا چند حمله سایبری مورد سوء استفاده قرار گیرد. دارایی به عنوان چیزی با اهمیت برای یک سازمان، فرآیندهای شرکتی و تداوم آنها، از جمله ابزارهای دانشی که به هدف آن کمک می کند، تعریف می شود.
IETF RFC 4949
یک نقص یا آسیب پذیری در مشخصات، اجرا، سرویس یا مدیریت یک سیستم می تواند برای نقض خط مشی امنیتی سیستم مورد استفاده قرار گیرد که آسیب پذیری است.
ENISA
وجود یک آسیب‌پذیری، نقص طراحی یا خطای اجرا ممکن است منجر به یک اتفاق ناخواسته و غیرقابل قبول شود که حفاظت از دستگاه سیستم عامل، شبکه، دستگاه یا پروتکل مورد نظر را به خطر می‌اندازد
آیا آسیب پذیری های شناخته شده باید به صورت عمومی افشا شوند؟
اینکه آیا آشکارا باگ های شناسایی شده افشا شوند یا نه، همچنان محل مناقشه است. دو احتمال وجود دارد:
شفافیت فوری و کامل
برخی از کارشناسان امنیت سایبری خواستار افشای سریع این آسیب‌پذیری به همراه دستورالعمل‌های دقیق در مورد نحوه دستکاری آن هستند. طرفداران افشای فوری ادعا می کنند که منجر به برنامه های کاربردی با ثبات تر و وصله سریع تر می شود، بنابراین حفاظت از نرم افزار، امنیت برنامه، امنیت شبکه، امنیت سیستم عامل و امنیت دانش را افزایش می دهد.
محدود به عدم افشای اطلاعات
برخی دیگر با افشای آسیب پذیری مخالفند زیرا فکر می کنند آسیب پذیری دستکاری می شود. طرفداران شفافیت محدود استدلال می کنند که محدود کردن دسترسی به دانش برای گروه های خاص، احتمال سوء استفاده را کاهش می دهد. همانطور که در مورد سایر استدلال ها صادق است، همه طرفین دارای استدلال های مشروع هستند.
طرف هر کدام را که می گیرید، آگاه باشید که تهدیدات مفید و مجرمان سایبری به طور معمول در حال جستجو و آزمایش اکسپلویت های موجود هستند.
برخی از کسب‌وکارها دارای بخش‌های انطباق داخلی هستند که وظیفه آزمایش امنیت فناوری دیجیتال و سایر روش‌های حفاظتی سازمان را به عنوان بخشی از فرآیندهای کنترل ریسک اطلاعات و ارزیابی ریسک امنیت داده‌ها دارند
تفاوت بین آسیب پذیری و خطر چیست؟
گاهی اوقات از آسیب پذیری ها برای توصیف تهدیدات حفاظت سایبری استفاده می شود. آسیب پذیری و خطر مترادف نیستند، که ممکن است باعث سوء تفاهم شود.
خطر را در مورد احتمال و پیامد سوء استفاده از یک آسیب پذیری در نظر بگیرید.
اگر تأثیر و شانس بهره برداری از یک آسیب پذیری حداقل باشد، خطر نیز کم است. در مقابل، اگر تأثیر و احتمال بهره برداری از یک آسیب پذیری قابل توجه باشد، خطر بالایی وجود دارد.
