Sårbarhetsdatabas - Vulnerability database
En sårbarhetsdatabas (VDB) är en plattform som syftar till att samla in, underhålla och sprida information om upptäckta datasäkerhetsproblem . Den Databasen kommer vanligtvis beskriva identifierade sårbarhet bedöma den potentiella inverkan på berörda systemen och eventuella lösningar eller uppdateringar för att mildra problemet. En VDB kommer att tilldela en unik identifierare till varje sårbarhet som katalogiseras, t.ex. ett nummer (t.ex. 123456) eller alfanumerisk beteckning (t.ex. VDB-2020-12345). Information i databasen kan göras tillgänglig via webbsidor, export eller API . En VDB kan tillhandahålla informationen gratis, för lön eller en kombination därav.
Historia
Den första sårbarhetsdatabasen var "Repaired Security Bugs in Multics", publicerad den 7 februari 1973 av Jerome H. Saltzer . Han beskrev listan som " en lista över alla kända sätt på vilka en användare kan bryta ner eller kringgå skyddsmekanismerna för Multics ". Listan hölls ursprungligen något privat med avsikten att behålla sårbarhetsdetaljer tills lösningar kunde göras tillgängliga. Den publicerade listan innehöll två sårbarheter för upptrappning av lokala privilegier och tre lokala denial of service -attacker.
Typer av sårbarhetsdatabaser
Stora sårbarhetsdatabaser som ISS X-Force-databasen, Symantec / SecurityFocus BID-databasen och Open Source Vulnerability Database (OSVDB) sammanställer ett brett spektrum av offentligt avslöjade sårbarheter, inklusive vanliga sårbarheter och exponeringar (CVE). Det primära syftet med CVE, som drivs av MITER , är att försöka aggregera offentliga sårbarheter och ge dem en unik identifierare i standardiserat format. Många sårbarhetsdatabaser utvecklar den mottagna intelligensen från CVE och undersöker vidare vilket ger sårbarhetsriskpoäng, konsekvensbedömningar och nödvändig lösning. Tidigare var CVE avgörande för att länka sårbarhetsdatabaser så att kritiska patchar och felsökningar kan delas för att hindra hackare från att komma åt känslig information på privata system. Den nationella Vulnerability Database (NVD), som drivs av National Institute of Standards and Technology (NIST), drivs separat från MITRE drivna CVE databas, men bara innehåller information sårbarhet från CVE. NVD fungerar som en förbättring av den informationen genom att tillhandahålla Common Vulnerability Scoring System (CVSS) riskpoäng och Common Platform Enumeration (CPE) -data.
Den Open Source Vulnerability Database ger en exakt, teknisk och opartisk index på sårbarhet säkerhet. Den omfattande databasen katalogiserade över 121 000 sårbarheter. OSVDB grundades i augusti 2002 och lanserades i mars 2004. I sin primitiva början undersöktes nyligen identifierade sårbarheter av webbplatsmedlemmar och förklaringar detaljerades på webbplatsen. Men eftersom behovet av tjänsten blomstrade, ledde behovet av engagerad personal till att Open Security Foundation (OSF) startades som grundades som en ideell organisation 2005 för att tillhandahålla finansiering till säkerhetsprojekt och främst OSVDB. OSVDB stängdes i april 2016.
USA: s nationella sårbarhetsdatabas är en omfattande databas för datorsäkerhetsproblem som bildades 2005 och rapporterar om CVE. NVD är ett primärt verktyg för cybersäkerhet för både individer och branscher som tillhandahåller informativa resurser om aktuella sårbarheter. NVD har över 100 000 register. I likhet med OSVDB publicerar NVD: n effekter och klassificerar material i ett index för att ge användarna ett begripligt söksystem. Andra länder har sina egna sårbarhetsdatabaser, till exempel den kinesiska nationella sårbarhetsdatabasen och Rysslands databas för datasäkerhetshot .
En mängd kommersiella företag har också sina egna sårbarhetsdatabaser och erbjuder kunder tjänster som levererar nya och uppdaterade sårbarhetsdata i maskinläsbart format samt via webbportaler. Exempel inkluderar Symantecs DeepSight -portal och sårbarhetsdataflöde, Secunias (köpta av Flexera) sårbarhetshanterare och Accentures sårbarhetstjänst (tidigare iDefense).
Sårbarhetsdatabaser rekommenderar organisationer att utveckla, prioritera och exekvera patchar eller andra begränsningar som försöker åtgärda kritiska sårbarheter. Detta kan emellertid ofta leda till att ytterligare känsligheter skapas eftersom patchar snabbt skapas för att motverka ytterligare systemutnyttjanden och kränkningar. Beroende på nivån på en användare eller organisation garanterar de lämplig åtkomst till en sårbarhetsdatabas som förser användaren med att avslöja kända sårbarheter som kan påverka dem. Motiveringen för att begränsa tillgången till individer är att hindra hackare från att vara insatta i sårbarheter i företagssystem som eventuellt kan utnyttjas ytterligare.
Användning av sårbarhetsdatabaser
Sårbarhetsdatabaser innehåller ett stort antal identifierade sårbarheter. Det är dock få organisationer som har expertis, personal och tid att revidera och åtgärda alla potentiella systemkänsligheter. Därför är sårbarhetspoäng en metod för att kvantitativt bestämma allvaret i ett systembrott. Det finns en mängd poängmetoder i sårbarhetsdatabaser som US-CERT och SANS Institute's Critical Vulnerability Analysis Scale men Common Vulnerability Scoring System (CVSS) är den rådande tekniken för de flesta sårbarhetsdatabaser inklusive OSVDB, vFeed och NVD. CVSS är baserat på tre primära mätvärden: bas, tidsmässigt och miljömässigt som var och en ger en sårbarhetsbedömning.
Bas
Detta mått täcker de oföränderliga egenskaperna hos en sårbarhet, såsom den potentiella inverkan av exponering av konfidentiell information, tillgänglighet av information och följden av den oåterkalleliga radering av information.
Timlig
De tidsmässiga mätvärdena anger att en sårbarhet kan förändras, till exempel trovärdigheten för en utnyttjbarhet, det nuvarande tillståndet för ett systembrott och utvecklingen av eventuella lösningar som kan tillämpas.
Miljö
Denna aspekt av CVSS bedömer den potentiella förlusten för individer eller organisationer på grund av en sårbarhet. Dessutom beskriver det det primära målet för en sårbarhet som sträcker sig från personliga system till stora organisationer och antalet potentiellt drabbade individer.
Komplikationen med att använda olika poängsystem är att det inte finns enighet om svårighetsgraden av en sårbarhet, så olika organisationer kan förbise kritiska systemutnyttjanden. Den främsta fördelen med ett standardiserat poängsystem som CVSS är att publicerade sårbarhetspoäng kan bedömas, följas och åtgärdas snabbt. Både organisationer och individer kan bestämma den personliga påverkan av en sårbarhet på deras system. Fördelarna med sårbarhetsdatabaser för konsumenter och organisationer är exponentiella i takt med att informationssystem blir alltmer inbäddade, vårt beroende och beroende av dem växer, liksom möjligheten till datautnyttjande.
Vanliga säkerhetsproblem som finns listade i sårbarhetsdatabaser
Första distributionen misslyckades
Även om funktionaliteten i en databas kan verka obefläckad, utan noggranna tester, kan de flitiga bristerna tillåta hackare att infiltrera ett systems cybersäkerhet. Ofta publiceras databaser utan stränga säkerhetskontroller, därför är det känsliga materialet lättillgängligt.
SQL -injektion
Databasattacker är den mest återkommande formen av cybersäkerhetsöverträdelser som registrerats på sårbarhetsdatabaser. SQL- och NoSQL -injektioner tränger in i traditionella informationssystem respektive stora dataplattformar och interpolerar skadliga uttalanden så att hackarna kan få oreglerad systemåtkomst.
Felkonfigurerade databaser
Etablerade databaser misslyckas vanligtvis med att implementera viktiga patchar som föreslagits av sårbarhetsdatabaser på grund av överdriven arbetsbelastning och nödvändigheten av uttömmande test för att säkerställa att patchar uppdaterar det defekta systemets sårbarhet. Databasoperatörer koncentrerar sina ansträngningar till stora systembrister som erbjuder hackare oavbruten systemåtkomst genom försummade patchar.
Otillräcklig revision
Alla databaser kräver att granskningsspår registreras när data ändras eller öppnas. När system skapas utan nödvändigt granskningssystem är exploateringen av systemets sårbarheter utmanande att identifiera och lösa. Sårbarhetsdatabaser meddelar betydelsen av revisionsspårning som avskräckande för cyberattacker.
Dataskydd är viktigt för alla företag eftersom personlig och finansiell information är en viktig tillgång och utlämning av känsligt material kan misskreditera ett företags rykte. Genomförandet av dataskyddsstrategier är absolut nödvändigt för att skydda konfidentiell information. Vissa har den uppfattningen att det är den inledande apati hos programvarudesigners som i sin tur kräver förekomsten av sårbarhetsdatabaser. Om system har utvecklats med större noggrannhet kan de vara ogenomträngliga från SQL- och NoSQL -injektioner som gör sårbarhetsdatabaser överflödiga.
