Главная / Глоссарий / Уязвимость информационной системы

Уязвимость информационной системы — что это, виды, поиск и устранение

Уязвимость — это недостаток или слабое место в информационной системе, которое может быть использовано для нарушения безопасности информации (ГОСТ Р 56546-2015). Простыми словами: это ошибка или недочёт, через который злоумышленник может получить доступ к вашим данным.

Содержание

Что такое уязвимость информационной системы?

Уязвимость информационной системы — это недостаток или слабое место в системе, которое может быть использовано для реализации угроз безопасности информации. Согласно ГОСТ Р 56546-2015, уязвимость определяется как «недостаток ресурса информационной системы, который может быть использован для реализации угрозы».

Уязвимости могут существовать в программном обеспечении, аппаратных средствах, организационных процессах и человеческих действиях. Каждая уязвимость представляет собой потенциальный риск, который может быть использован злоумышленником для атаки на информационную систему.

Виды уязвимостей

Виды уязвимостей информационных систем
Схема классификации уязвимостей информационных систем.

Уязвимости классифицируются по различным признакам:

По природе возникновения:

  • Программные — ошибки в коде (переполнение буфера, SQL-инъекции, XSS, CSRF), небезопасные настройки, устаревшие версии ПО, использование небезопасных библиотек
  • Аппаратные — конструктивные недостатки оборудования (Meltdown, Spectre, TPM-атаки), закладки в микросхемах, недокументированные возможности
  • Организационные — недостатки в процессах и политиках безопасности, отсутствие регламентов, неконтролируемый доступ к помещениям
  • Человеческие — невнимательность, нехватка знаний, социальная инженерия (фишинг, претекстинг)

По уровню опасности (CVSS 3.1):

  • Критические (9.0–10.0) — удалённое выполнение кода без аутентификации
  • Высокие (7.0–8.9) — эскалация привилегий, обход аутентификации
  • Средние (4.0–6.9) — раскрытие информации, ограниченное воздействие
  • Низкие (0.1–3.9) — локальные проблемы, требующие физического доступа

Банк данных угроз и уязвимостей (БДУ ФСТЭК)

БДУ ФСТЭК России (bdu.fstec.ru) — это государственный банк данных угроз и уязвимостей, содержащий структурированную информацию об известных уязвимостях программного обеспечения и программно-аппаратных средств. Является российским аналогом международной базы CVE (Common Vulnerabilities and Exposures).

БДУ содержит по каждой уязвимости: уникальный идентификатор (BDU:YYYY-NNNNN), описание, оценку опасности по CVSS, перечень затрагиваемого ПО, способы устранения, ссылки на CVE. Использование БДУ обязательно при аттестации объектов информатизации и при работе с государственной тайной.

Подробнее: Банк данных угроз и уязвимостей (БДУ ФСТЭК).

Управление уязвимостями (Vulnerability Management)

Цикл управления уязвимостями (Vulnerability Management)
Циклическая схема процесса управления уязвимостями.

Управление уязвимостями — это непрерывный процесс идентификации, оценки и устранения уязвимостей в информационной системе. Цикл управления включает:

  1. Инвентаризация — выявление всех активов и установленного ПО в инфраструктуре
  2. Сканирование — регулярная проверка на наличие уязвимостей с заданной периодичностью
  3. Оценка рисков — приоритезация уязвимостей по критичности (CVSS) с учётом контекста системы
  4. Устранение — установка обновлений (патчей), настройка конфигураций, применение компенсирующих мер
  5. Верификация — проверка эффективности устранения уязвимостей
  6. Отчётность — документирование и мониторинг динамики закрытия уязвимостей

Для автоматизации управления уязвимостями рекомендуется использовать сертифицированные средства, например СОА «Форпост» с функциями обнаружения атак и выявления уязвимостей.

Ответственность за неустранение уязвимостей

Неустранение известных уязвимостей может повлечь серьёзные последствия:

  • Реализация атаки — компрометация системы, утечка конфиденциальных данных, остановка производства
  • Штрафы регуляторов — за утечку персональных данных до 500 000 руб. (ст. 13.11 КоАП РФ), за нарушения на КИИ до 1 млн руб.
  • Уголовная ответственность — за нарушение требований по защите государственной тайны (ст. 283 УК РФ)
  • Репутационные потери — снижение доверия клиентов и партнёров, потеря контрактов

Для объектов КИИ обязательным требованием является непрерывный мониторинг уязвимостей и своевременное обновление ПО в соответствии с Приказом ФСТЭК № 239.

Часто задаваемые вопросы

Как найти уязвимости в своей системе?
Провести аудит информационной безопасности или сканирование уязвимостей специальными инструментами. Рекомендуется также регулярно проверять БДУ ФСТЭК и CVE на наличие новых уязвимостей в используемом ПО.
В чём разница между CVE и БДУ ФСТЭК?
CVE (Common Vulnerabilities and Exposures) — международная база уязвимостей, поддерживаемая MITRE. БДУ ФСТЭК — российский государственный аналог, обязательный к использованию для госорганов и организаций, работающих с гостайной. БДУ содержит дополнительную классификацию по требованиям российских регуляторов.
Нужно ли устранять все уязвимости?
Нет, не все. Критические и высокие уязвимости (CVSS 7.0+) следует устранять в приоритетном порядке. Для средних и низких можно применять компенсирующие меры (сегментация сети, ограничение доступа, дополнительные политики безопасности).
Как часто нужно проводить сканирование уязвимостей?
Для объектов КИИ — не реже 1 раза в месяц. Для госорганов — в соответствии с приказом ФСТЭК. Рекомендуемая периодичность: еженедельно для критических систем, ежемесячно для остальных, а также при каждом существенном изменении конфигурации.
Что такое Zero-Day уязвимость?
Это уязвимость, о которой разработчик не знает и для которой не существует патча. Zero-Day уязвимости наиболее опасны, так как могут использоваться атакующими до выхода обновления. Защита от них требует использования систем обнаружения атак (СОА) и поведенческого анализа.

Связанные термины

БДУ ФСТЭК Угроза безопасности информации Риск в ИБ Недекларированные возможности (НДВ) Уязвимость информационной системы STRIDE Внешний атакующий ФСТЭК России ФСБ России

Продукты и услуги АО «РНТ»

Аудит ИБ

Сканирование уязвимостей, пентест, анализ защищённости.

СОА «Форпост»

Обнаружение атак с использованием уязвимостей.

Смотрите также

Риск в информационной безопасности Недекларированные возможности (НДВ) Банк данных угроз и уязвимостей (БДУ ФСТЭК) Угроза информационной безопасности

Экспертная помощь по ИБ

Ответим на любые вопросы по защите информации и поможем выбрать решение

Или звоните: +7 (495) 777-75-77