Ένα θέμα ευπάθειας είναι μια αδυναμία που μπορεί να εκμεταλλευτεί κανείς. Μπορεί να είναι ένα σφάλμα λογισμικού, μια λανθασμένη διαμόρφωση, ένα ελάττωμα σχεδιασμού ή μια ανθρώπινη συνήθεια. Η βάση δεδομένων Common Vulnerabilities and Exposures παρακολουθεί γνωστά ελαττώματα λογισμικού με μοναδικά αναγνωριστικά. Το CVE-2021-44228, γνωστό ως Log4Shell, ήταν ένα θέμα ευπάθειας σε μια ευρέως χρησιμοποιούμενη βιβλιοθήκη καταγραφής. Επέτρεπε την απομακρυσμένη εκτέλεση κώδικα σε εκατομμύρια διακομιστές. Οι εισβολείς το εκμεταλλεύτηκαν μέσα σε λίγες ώρες από την αποκάλυψη. Οι ενημερώσεις κώδικα ήρθαν γρήγορα. Πολλά συστήματα παρέμειναν χωρίς ενημερώσεις κώδικα για μήνες.

Δεν είναι όλα τα τρωτά σημεία σφάλματα λογισμικού. Ένας διακομιστής με προεπιλεγμένα διαπιστευτήρια είναι ευάλωτος. Ένας κάδος αποθήκευσης cloud που έχει οριστεί ως δημόσιος είναι ευάλωτος. Ένας υπάλληλος που επαναχρησιμοποιεί κωδικούς πρόσβασης είναι ευάλωτος. Ένα δίκτυο χωρίς τμηματοποίηση είναι ευάλωτο. Ο ορισμός είναι ευρύς επειδή η επιφάνεια επίθεσης είναι ευρεία. Τα τρωτά σημεία βαθμολογούνται χρησιμοποιώντας το Κοινό Σύστημα Βαθμολόγησης Τρωτών Σημείων. Το CVSS αξιολογεί τη σοβαρότητα από 0 έως 10 με βάση την εκμεταλλευσιμότητα και τον αντίκτυπο. Το 10 είναι κρίσιμο. Το 3 είναι χαμηλό. Η βαθμολογία βοηθά στην ιεράρχηση των ενημερώσεων κώδικα. Αλλά η βαθμολογία δεν είναι όλη η ιστορία. Μια κρίσιμη ευπάθεια σε ένα απομονωμένο σύστημα έχει μικρότερη σημασία από μια μέτρια σε έναν διακομιστή που βρίσκεται στο διαδίκτυο. Το περιβάλλον καθορίζει την προτεραιότητα. Η ευπάθεια είναι μόνο η μισή εξίσωση. Το άλλο μισό είναι το αν κάποιος μπορεί να την προσεγγίσει.

Πηγές ευπάθειας

• Σφάλματα λογισμικού — σφάλματα κωδικοποίησης που επιτρέπουν την εκμετάλλευση
• Λανθασμένες διαμορφώσεις — ρυθμίσεις που αποδυναμώνουν την ασφάλεια
• Σχεδιαστικά ελαττώματα — αρχιτεκτονικές αδυναμίες
• Ανθρώπινοι παράγοντες — αδύναμοι κωδικοί πρόσβασης, κακές συνήθειες
• Αλυσίδα εφοδιασμού — τρωτά σημεία σε στοιχεία τρίτων

Μια ευπάθεια είναι μια πόρτα που αφήνεται ξεκλείδωτη. Μια απειλή είναι κάποιος που προσπαθεί να την παραβιάσει. Ο κίνδυνος είναι αυτό που συμβαίνει όταν μπαίνουν μέσα.