Een kwetsbaarheid is een zwakte die kan worden uitgebuit. Het kan een softwarefout zijn, een verkeerde configuratie, een ontwerpfout of een menselijke gewoonte. De Common Vulnerabilities and Exposures-database (CVE) registreert bekende softwarefouten met unieke identificatiecodes. CVE-2021-44228, bekend als Log4Shell, was een kwetsbaarheid in een veelgebruikte logbibliotheek. Deze maakte het mogelijk om op miljoenen servers op afstand code uit te voeren. Aanvallers maakten er binnen enkele uren na de bekendmaking misbruik van. Er kwamen snel patches. Veel systemen bleven echter maandenlang ongepatcht.

Niet alle kwetsbaarheden zijn softwarefouten. Een server met standaard inloggegevens is kwetsbaar. Een cloudopslagbucket die openbaar is ingesteld, is kwetsbaar. Een medewerker die wachtwoorden hergebruikt, is kwetsbaar. Een netwerk zonder segmentatie is kwetsbaar. De definitie is breed omdat het aanvalsoppervlak breed is. Kwetsbaarheden worden beoordeeld met behulp van het Common Vulnerability Scoring System (CVSS). CVSS beoordeelt de ernst van een kwetsbaarheid van 0 tot 10 op basis van de exploiteerbaarheid en de impact. Een score van 10 is kritiek. Een score van 3 is laag. De score helpt bij het prioriteren van patches. Maar de score vertelt niet het hele verhaal. Een kritieke kwetsbaarheid in een geïsoleerd systeem is minder belangrijk dan een middelmatige kwetsbaarheid in een server die met internet verbonden is. De context bepaalt de prioriteit. De kwetsbaarheid is slechts de helft van het verhaal. De andere helft is of iemand er toegang toe heeft.

Kwetsbaarheidsbronnen

• Softwarefouten — programmeerfouten die misbruik mogelijk maken
• Onjuiste configuraties — instellingen die de beveiliging verzwakken.
• Ontwerpfouten — architectonische zwakheden
• Menselijke factoren — zwakke wachtwoorden, slechte gewoontes
• Toeleveringsketen — kwetsbaarheden in componenten van derden

Een kwetsbaarheid is een deur die niet op slot is. Een bedreiging is iemand die aan de klink probeert te trekken. Risico is wat er gebeurt als ze eenmaal binnen zijn.