セキュリティホール
複雑さ:大規模で複雑なシステムは、欠陥や意図しないアクセスポイントの可能性を高める。
熟知度:よく知られている一般的なコード、ソフトウェア、オペレーティングシステム、ハードウェアを使用すると、攻撃者がその欠陥を悪用するための知識やツールを見つけたり、見つけたりできる可能性が高くなる。
接続性:より多くの物理的な接続、特権、ポート、プロトコル、サービス、およびそれらのそれぞれにアクセスできる時間が脆弱性を増加させる。
パスワード管理の欠陥:コンピューターユーザーがブルートフォースによって発見される可能性のある脆弱なパスワードを使用している。 コンピューターユーザーは、プログラムがアクセスできるコンピューターにパスワードを保存する。ユーザーは多くのプログラムとWebサイト間でパスワードを再利用する。
オペレーティングシステムの基本的な設計上の欠陥:オペレーティングシステムの設計者は、ユーザー/プログラム管理に次善のポリシーを適用することを選択する。 たとえば、 デフォルトの許可などのポリシーを持つオペレーティングシステムは、すべてのプログラムとすべてのユーザーにコンピュータ全体へのフルアクセスを許可する。 このオペレーティングシステムの欠陥により、ウイルスやマルウェアが管理者に代わってコマンドを実行できるようになる。
脆弱性につながる一般的な種類のソフトウェアの欠陥は次のとおりである。
メモリ安全性違反 バッファオーバーランとオーバーリード ぶら下がりポインタ
入力検証エラー: コードインジェクション Webアプリケーションでのクロスサイトスクリプティング ディレクトリトラバーサル メールインジェクション 書式文字列攻撃 HTTPヘッダ・インジェクション HTTP応答分割 SQLインジェクション
権限混同バグ: クリックジャッキング Webアプリケーションでのクロスサイトリクエストフォージェリ FTPバウンス攻撃
特権エスカレーション
競合状態: シンボリックリンク競合 Time of check to time of useバグ
サイドチャネル攻撃 タイミング攻撃
ユーザインタフェースの障害 被害者を非難し、ユーザーに回答するのに十分な情報を提供せずにユーザーにセキュリティの決定を促す 競合状態 警告疲労またはユーザーによる調整
いくつかのコーディングガイドラインのセットが開発され、コードがガイドラインに従っていることを確認するために、多数の静的コードアナライザーが使用されている。
自動化されたシステムセキュリティ手順、管理コントロール、内部コントロールなどの弱点。情報への不正アクセスを取得したり、重要な処理を妨害したりする脅威によって悪用される可能性がある。 2.システムのセキュリティ手順、ハードウェアの設計、内部統制などの弱点。これらの情報を悪用して、機密情報や機密情報への不正アクセスを可能にする可能性がある。 3.ADPシステムまたはアクティビティに危害を加えるために悪用される可能性がある、物理的なレイアウト、組織、手順、人員、管理、ハードウェア、またはソフトウェアの弱点。脆弱性の存在自体が害を及ぼすことはありません。脆弱性は、ADPシステムまたはアクティビティが攻撃によって被害を受ける可能性がある状態または状態のセットにすぎない。 4.主に内部環境のエンティティ(アセット)に関する主張。アセット(またはアセットのクラス)は脆弱であると言う(何らかの方法で、エージェントまたはエージェントのコレクションが関与している可能性がある)。 V(i,e)と書き表す。ここで、eは空の集合であるかもしれない。 5.さまざまな脅威に対する感受性。 6.特定の外部エンティティの一連のプロパティと組み合わせて、リスクを意味する特定の内部エンティティの一連のプロパティ。 7.不自然な(人工の)敵対的な環境で特定のレベルの影響を受けた結果として、システムに明確な劣化(指定されたミッションを実行できない)を引き起こすシステムの特性。