33639

Классификация уязвимостей

Доклад

Информатика, кибернетика и программирование

Некоторые уязвимости подобного рода трудно назвать недостатками скорее это особенности проектирования. В Уязвимости могут быть следствием ошибок допущенных в процессе эксплуатации информационной системы: неверное конфигурирование операционных систем протоколов и служб использование нестойких паролей пользователей паролей учетных записей по умолчанию и др. по уровню в инфраструктуре АС К уровню сети относятся уязвимости сетевых протоколов стека TCP IP протоколов NetBEUI IPX SPX. Уровень операционной системы охватывает уязвимости...

Русский

2013-09-06

37.5 KB

17 чел.

3. Классификация уязвимостей

1. По источникам возникновения уязвимостей

А) на этапе проектирования. Например сервис TELNET, в котором имя пользователя и пароль передаются по сети в открытом виде. Это явный недостаток, заложенный на этапе проектирования. Некоторые уязвимости подобного рода трудно назвать недостатками, скорее это особенности проектирования. Например, особенность сетей Ethernet - общая среда передачи.

Б) на этапе реализации (программирования). Например, ошибки программирования стека TCP/IP, приводящие к отказу в обслуживании; ошибки при написании приложений, приводящие к переполнению буфера и т.п.

В) Уязвимости могут быть следствием ошибок, допущенных в процессе эксплуатации информационной системы: неверное конфигурирование операционных систем, протоколов и служб, использование нестойких паролей пользователей, паролей учетных записей «по умолчанию» и др.

2. по уровню в инфраструктуре АС

К уровню сети относятся уязвимости сетевых протоколов - стека TCP/IP, протоколов NetBEUI, IPX/SPX.

Уровень операционной системы охватывает уязвимости Windows, UNIX, Novell и т. д., т.е. конкретной ОС.

На уровне баз данных находятся уязвимости конкретных СУБД - Oracle, MS SQL, Sybase и др. Этот уровень рассматривается отдельно, потому что базы данных, как правило, являются неотъемлемой частью АС любой компании.

К уровню приложений относятся уязвимости программного обеспечения WEB, SMTP серверов и т.п.

Персонал и пользователи системы также уязвимы. Например, один из путей внедрения вредоносных программ - это провоцирование пользователей на запуск присланных по электронной почте приложений.

3. по степени риска

Высокий уровень риск. Уязвимости, позволяющие получить непосредственный доступ к узлу с правами суперпользователя, или в обход межсетевых экранов или других средств защиты (полный контроль над атакуемым объектом).

Средний уровень риска. Уязвимости, позволяющие получить информацию, которая с высокой степенью вероятности позволит в дальнейшем получить полный контроль над объектом и доступ к любым его ресурсам.

Низкий уровень риска. Уязвимости, позволяющие осуществлять сбор критичной информации о системе.

Классификация атак

1. по целям

  •  нарушение нормального функционирования атакуемого объекта (отказ в обслуживании);
  •  получение конфиденциальной и критичной информации;
  •  модификация и фальсификация данных;
  •  получение полного контроля над объектом атаки.

2. по мотивации действий

  •  случайность, безответственность, халатность;
  •  самоутверждение, любопытство;
  •  вандализм;
  •  принуждение;
  •  месть;
  •  корыстный интерес.

3. по местонахождению нарушителя

  •  в одном сегменте с объектом атаки;
  •  в разных сегментах с объектом атаки.

От взаимного расположения атакующего и жертвы зависит механизм реализации атаки. Как правило, осуществить межсегментную атаку бывает сложнее.

4. по механизму реализации атак

  •  пассивное прослушивание. Перехват трафика сетевого сегмента.
  •  подозрительная активность. Сканирование портов (служб) объекта атаки, попытки подбора пароля.
  •  бесполезное расходование вычислительного ресурса. Исчерпание ресурсов атакуемого узла или группы узлов, приводящее к снижению производительности (переполнение очереди запросов на соединение и т п.)
  •  Нарушение навигации (создание ложных объектов и маршрутов). Изменение маршрута сетевых пакетов, таким образом, чтобы они проходили через хосты и маршрутизаторы нарушителя, изменение таблиц соответствия условных Internet-имен и IP-адресов (атаки на DNS) и т.п.
  •   выведение из строя. Посылка пакетов определённого типа на атакуемый узел, приводящая к отказу узла или работающей на нём службы (WinNuke и др.)
  •   запуск приложений на объекте атаки. Выполнение враждебной программы в оперативной памяти объекта атаки (троянские кони, передача управления враждебной программе путём переполнения буфера, исполнение вредоносного мобильного кода на Java или ActiveX и др.)


 

А также другие работы, которые могут Вас заинтересовать

17990. 22 НЕПРЕЛОЖНЫХ ЗАКОНА МАРКЕТИНГА 898.5 KB
  Д.ТРАУТ. 22 НЕПРЕЛОЖНЫХ ЗАКОНА МАРКЕТИНГА Нарушайте их на свой страх и риск Введение Миллиарды долларов были попусту истрачены на маркетинговые программы которые заранее были обречены на провал независимо от того насколько они были умными и блестящими или от т...
17991. Экология. Конспект лекций 929.5 KB
  Экология ЛЕКЦИЯ №1 Научнотехнический прогресс и состояние окружающей среды. Предмет и задачи дисциплины. Понятие об еэкологическом кризисе.Причины возникновения природоохранных экологических и ресурсныхпроблем человечества. Основные причины экологического кри
17992. 500 cоветов секретарю 2.74 MB
  Ольга Энговатова 500 cоветов секретарю Введение Секретарь – первый с кем встречается посетитель приходя в фирму учреждение организацию предприятие. Он как бы представляет фирму. Через него идет прием посетителей и ведутся телефонные переговоры. Именно
17993. Іноземна мова зі спеціальності Економіка і підприємництво та Менеджмент 791.5 KB
  МЕТОДИЧНІ ВКАЗІВКИ І ЗАВДАННЯ ДЛЯ САМОСТІЙНОЇ РОБОТИ з дисципліни Іноземна мова зі спеціальності для студентів Інституту післядипломної освіти і дистанційного навчання ІПОДН спеціальностей Економіка і підприємництво та Менеджмент Методичні вказівки і
17994. Основи організації вантажних перевезень на автомобільному транспорті 531 KB
  МЕТОДИЧНІ ВКАЗІВКИ до курсового проекту з дисципліни Основи організації вантажних перевезень на автомобільному транспорті для студентів спеціальності 7.100.403 Організація перевезень і управління на автомобільному транспорті Методичні вказівки до виконан
17995. Економічна теорія. Конспект лекцій 2.38 MB
  Тема 1. Предмет и метод экономической теории. План лекции: Сущность и функции экономической теории. Методы познания экономической теории. Экономические системы и их сущность. Сущность экономическое содержание собственности. 1.1 Сущность и функции эконо
17996. Господарське право. Тексти лекцій 666 KB
  ГОСПОДАРСЬКЕ ПРАВО тексти лекцій для семестрової дисципліни для студентів денного та заочного відділення за напрямами €œЕкономіка підприємства€ €œМіжнародна економіка€ €œОблік і аудит€ €œФінанси і кредит€ €œМаркетинг€ €œ
17997. ОСНОВЫ ИНФОРМАЦИОННОЙ КУЛЬТУРЫ 163 KB
  ТЕМА 1. ОСНОВЫ ИНФОРМАЦИОННОЙ КУЛЬТУРЫ Информатизация общества Бурное развитие компьютерной техники и информационных технологий послужило толчком к развитию общества построенного на использовании различной информации и получившего название информационно...
17998. НАДЕЖНОСТЬ И ДИАГНОСТИКА 1.25 MB
  Конспект лекций по дисциплине НАДЕЖНОСТЬ И ДИАГНОСТИКА Лекция № 1. Основные понятия К любому техническому объекту в течение всего срока службы предъявляются определенные технические требования зафиксированные в соответствующих документах. Желательно...