Veebihaavatavus

**Veebihaavatavused** on arvutisüsteemi vead, mis nõrgendavad seadme/süsteemi üldist turvalisust. Haavatavused võivad olla kas riistvara enda või riistvaral töötava tarkvara nõrkused. Ohustaja, näiteks ründaja, saab turvaauke ära kasutada arvutisüsteemis privileegide piiride ületamiseks (st volitamata toimingute tegemiseks). Haavatavuse ärakasutamiseks peab ründajal olema vähemalt üks rakendatav tööriist või tehnika, mis suudab süsteemi nõrkusega ühenduse luua. 

## Terminoloogia: haavatavus / nõrkus

Inglise keelse termini *vulnerability* vastena kasutatakse eesti keeles nii mõistet haavatavus kui mõistet nõrkus.

Eesti Keele Instituudi terminiandmebaasi Esterm eelisterminiks on haavatavus.

Andmekaitse ja infoturbe leksikon (AKIT) pakub vasteks nõrkus, turvanõrkus; turvaauk.

Riigi Infosüsteemide Amet (RIA) kasutab mõisteid nõrkus ja haavatavus oma materjalides sünonüümidena.

Oma olemuselt on haavatavus vara, süsteemi või protsessi kavandi, teostuse või käituse nõrk koht, mille kaudu riskiallikas võib tekitada tagajärjega sündmuse; aga ka turvameetme puudulikkus või puudumine.

Eestis kehtiva määruse “Võrgu- ja infosüsteemide riskianalüüsi nõuded ning turvameetmete kirjeldus” kohaselt on “nõrkus käesoleva määruse tähenduses süsteemide või süsteemidega seotud ressursside turvalisuse puudus, mis muudab süsteemid või süsteemidega seotud ressursid ohule vastuvõtlikuks.”

## Haavatavuse määratlused ISO standardites

Riskihalduse sõnavara määratlev ISO Guide 73: haavatavusel on olemuslikud omadused, millest tuleneb avatus riskiallikale, mis võib viia tagajärjega sündmuseni.

ISO/IEC 27000 jt: vara või meetme nõrk koht, mida saab ära kasutada üks või mitu ohtu.

ISO/IEC 29147: toote või teenuse käitumine, mis rikub eeldatavat või otsest turvapoliitikat.

ISO/IEC 15408: hindamisobjekti nõrk koht, mida saab mõnes keskkonnas kasutada funktsionaalsete turvanõuete rikkumiseks.

Haavatavusi klassifitseeritakse vastavalt varaklassile, millega need on seotud: riistvara, tarkvara, võrgu, personali, füüsilise asukoha ja organisatsiooni juhtimisega seotud haavatavused.

## Haavatavuste hindamine

Haavatavuste hindamine tegeleb organisatsiooni veebisüsteemide olemasolevate haavatavuste tuvastamisega. Ekspertide meeskond skaneerib tavaliselt kogu ettevõtte Internetiga seotud infrastruktuuri ja veebisüsteeme, kasutades selleks mitmeid tööriistu ja tehnikaid.

Veebihaavatavused esinevad mitmel kujul ja vormis. Leidub ka turvaauke, mis ei ole seotud tarkvaraga: riistvara, asukoha, personali haavatavused on näited haavatavusest, mis ei ole tarkvara turvanõrkused.

## Haavatavuste loendid

Erinevad organisatsioonid avaldavad teadaolevatest haavatavustest loendeid. Näiteks haldab MITRE Corporation mittetäielikku nimekirja avalikult avaldatud haavatavustest süsteemis, mida nimetatakse Common Vulnerabilities and Exposures. USA riiklik standardi- ja tehnoloogiainstituut (NIST), annab igale CVE haavatavusele riskiskoori.

Ka RIA avaldab oma blogis regulaarseid teateid uutest haavatavustest ja nõuandeid nendest hoidumiseks.

## Haavatavuste haldamine

Arvutisüsteemides leiduda võivate haavatavuste haldamine on tsükliline tegevus, mis juhtumiti erineb, kuid sisaldab muuhulgas järgmisi üldlevinud protsesse: ülevaate saamine kõigist varadest, varade seadmine tähtsuse järjekorda, täielik haavatavuste hindamine või täielik skaneerimine, tulemuste aruanne, haavatavuste kõrvaldamine, parandatud turvaaukude kontrollimine — eelnimetatud tegevuste kordamine. 

Ainus viis vähendada võimalust, et haavatavust kasutatakse  süsteemi vastu, on pidev valvsus, sealhulgas hoolikas süsteemi hooldamine (nt tarkvaraparanduste paigaldamine), parimate tavade järgimine kasutuses (nt tulemüüride ja juurdepääsukontrollide kasutamine) ja auditeerimine (nii arenduse ajal kui kogu kasutuselevõtu elutsükli jooksul).

## Viited

## Välislingid
* RIA blogi märksõna "haavatavus" arhiiv
* Haavatavuse hindamine
* Inglise keelne artikkel veebihaavatavustest
* Eestikeelne artikkel küberturvalisusest