מונחים בעולם אבטחת מידע
Asset (נכס)
כל דבר בעל ערך לארגון, שיש צורך להגן אליו.
נכס מוחשי (אנשים, מחשבים, וכן הלאה).
נכס לא מוחשי (מסד נתונים, רשימות אנשי קשר, חשבונות משתמשים, תדמית החברה).
הידיעה על איזה נכסים אנו צריכים לנסות להגן, ערכם, מיקומם ורמת החשיפה שלהם יכולים לעזור לנו לקבוע בצורה יעילה יותר כמה זמן וכסף יש להשקיע כדי לאבטח את הנכסים.
Vulnerability (חולשה)
חולשה במערכת או בתכנון, פוגעת בביטחון או בפונקציונליות ומאפשרת לתוקף לעקוף את מנגנוני האבטחה.
ברשת קיים פוטנציאל גדול לחולשות וזאת כתוצאה מאחד או יותר מהסיבות הבאות:
-
שגיאות בתכנון, שגיאות בהגדרות, פגמים במדיניות
-
גישה פיזית לא מורשת למשאבי רשת, פגיעות בחומרה
-
חולשות בפרוטוקולים ובתוכנות, אי התקנת עדכוני אבטחה.
-
סיסמאות חלשות, הגורם האנושי
Zero-day (unפרסםed) vulnerabilities
בכל יום מתגלות חולשות חדשות. Zero-day vulnerabilities זו חולשה שלא פורסמה ברבים ולכן למערכות הגנה קשה מאוד להתמודד אתה.
כדי לזהות התקפות כאלה לא ניתן להשתמש ב- signature אלה יש לזהות תעבורת רשת חשודה על ידי שימוש ב- IPS/IDS או על ידי זיהוי אנושי.
Threat (איום)
איום קיים כאשר מזוהה סכנת אבטחה פוטנציאלית לנכס.
לסביבה מסוימת יש או אין חולשה לאיום מסוים, זה תלוי בסוג האיום ובסוג סביבת העבודה.
לדוגמא: איום יכול להיות מתקפה חדשה על Oracle database server, אך אם אתה משתמש ב- Microsoft SQL server אז לא קיימת לך חולשה לאיום.
Risk (סיכון)
איום מהווה סיכון רק כאשר קיימת חולשה לאיום.
רמת האיום קובעת את רמת הסיכון. ככל שרמת האיום גדולה יותר כך גם רמת הסיכון גדולה יותר. לדוגמא: אם קיימת חולשה אך היא עדיין לא התגלתה אז הסיכון לא ממשי. דוגמא נוספת: אם קיים איום, אך קיימות הגנות ראויות אז פוטנציאל האיום קטן ובכך קטן הסיכון.
Exploit (ניצול החולשה)
Exploit זהו הכלי שבעזרתו תוקף מנצל את החולשה.
כאשר Exploit משוחרר לאינטרנט, תוקפים עם מעט ידע ויכולות יכולים לנצל חולשות.
דוגמאות ל- Exploits: Scripts, Malware, סיסמה crackers
Payload
כדי לנצל Vulnerability, אנו משתמשים ב- Exploit ששולח Payload לקורבן.
כלומר, Payload זה הקוד שיבוצע במערכת היעד כדי לנצל חולשה שקיימת במערכת היעד.
אמצעי מנע
זהו מחסום שמפחית סיכון פוטנציאלי. מטרתו נטרול הפגיעות או לפחות הפחתת הסבירות לניצול הסיכון. ניתן להפחית את הסיכון על ידי הוצאות כסף על אמצעי אבטחה אך בדרך כלל לא נשקיע יותר כסף משווי הנכס. בכל מקרה, לא ניתן לבטל את הסיכון לחלוטין ולכן אנו חייבים למצוא את האיזון בין האיום לבין הסיכון.
דוגמאות לאמצעי מנע:
-
Administrative (מנהלי): כתיבת מדיניות, נהלים, הנחיות ותקנים.
-
Physical (פיזי): אבטחה פיזית עבור שרתי רשת, ציוד ותשתיות.
-
Logical (לוגי): סיסמאות, חומות אש, מערכות למניעת חדירות, רשימות גישה ועוד.
