Единая точка отказа и каскадный отказ

В кибербезопасности, особенно для пентестеров, все сводится к уязвимостям. Основным заблуждением при сообщении об этом является связь между различными уязвимостями и возможным вектором атаки.

Часто мы сталкиваемся с разработчиками, которые утверждают, что одна уязвимость высокого риска на защищенной странице или несколько уязвимостей низкого риска в разных местах не представляют реальной угрозы для системы. Наша работа как консультантов по безопасности состоит в том, чтобы показать им, как можно использовать уязвимость (теоретически и практически), используя концепцию Единых точек отказа (SPOF) и каскадного отказа.

Единая точка отказа (SPOF) — это потенциальный риск, связанный с ошибкой в ​​конструкции, реализации или конфигурации системы. SPOF относится к одной ошибке или одной неисправности, которая может привести к остановке работы всей системы.

Каскадный отказ — это процесс в системе взаимосвязанных частей, в котором отказ одной или нескольких частей может вызвать отказ других частей и так далее.

По своей сути тест на проникновение не может охватить все возможные уязвимости. Мы стараемся сделать все возможное с заданным количеством времени (2-4 недели), чтобы просканировать все точки входа и указать правильное направление с точки зрения незавершенных и слабых мест, иногда мы можем исследовать более глубокие части системы. а в других случаях мы только царапаем поверхность.

Злоумышленники, с другой стороны, могут собирать информацию для создания полного вектора атаки. Эти уязвимости с низким уровнем риска создают головоломку из шагов, после которых злоумышленники достигают своей цели. Каждый из этих рисков способствует каскадному отказу системы, играя большую роль в финальном эксплойте.

Другим примером SPOF может быть ситуация, когда уязвимость с высоким риском находится в высокозащищенной среде. С одной стороны, риск эксплуатации автоматически снижается, но все мы знаем, что «идеального» программного обеспечения не существует. Высока вероятность того, что однажды кто-то найдет ошибку в библиотеке, которую вы используете, или в вашем процессе авторизации, который вы сейчас считаете безопасным, и когда это произойдет, ваш бизнес сразу же станет уязвимым для эксплойтов.

В конце концов, оценка уязвимости — это всего лишь инструмент для киберспециалистов, позволяющий оценить возможное влияние на программное обеспечение, клиента или бизнес. Но давайте не будем забывать, что воздействие на безопасность в любой форме по-прежнему запятнает репутацию и честность владельца и заставляет разработчиков работать над прошлыми ошибками, а не над будущими функциями.

Написано
Итай Чередман

Итай — исследователь безопасности в Sayfer. Он увлечен пониманием и исследованием векторов атаки и защиты, которые появляются в новых технологиях.

перейти к содержанию