O vulnerabilitate este o slăbiciune care poate fi exploatată. Poate fi o eroare de software, o configurație greșită, un defect de proiectare sau un obicei uman. Baza de date Common Vulnerabilities and Exposures urmărește defectele de software cunoscute cu identificatori unici. CVE-2021-44228, cunoscută sub numele de Log4Shell, a fost o vulnerabilitate într-o bibliotecă de jurnalizare utilizată pe scară largă. Aceasta a permis executarea de cod la distanță pe milioane de servere. Atacatorii au exploatat-o ​​în câteva ore de la dezvăluire. Corecțiile au venit rapid. Multe sisteme au rămas necorectate timp de luni de zile.

Nu toate vulnerabilitățile sunt erori de software. Un server cu acreditări implicite este vulnerabil. O unitate de stocare în cloud setată ca publică este vulnerabilă. Un angajat care reutilizează parolele este vulnerabil. O rețea fără segmentare este vulnerabilă. Definiția este largă deoarece suprafața de atac este largă. Vulnerabilitățile sunt evaluate folosind Sistemul Comun de Scorare a Vulnerabilităților. CVSS evaluează severitatea de la 0 la 10 în funcție de exploatabilitate și impact. 10 este critică. 3 este scăzută. Scorul ajută la prioritizarea aplicării patch-urilor. Dar scorul nu este întreaga poveste. O vulnerabilitate critică într-un sistem izolat contează mai puțin decât una medie într-un server conectat la internet. Contextul determină prioritatea. Vulnerabilitatea este doar jumătate din ecuație. Cealaltă jumătate este dacă cineva o poate accesa.

Surse de vulnerabilitate

• Erori de software — erori de codare care permit exploatarea
• Configurații greșite — setări care slăbesc securitatea
• Defecte de proiectare — slăbiciuni arhitecturale
• Factori umani — parole slabe, obiceiuri proaste
• Lanțul de aprovizionare — vulnerabilități ale componentelor terțe

O vulnerabilitate este o ușă lăsată descuiată. O amenințare este cineva care încearcă să deschidă mânerul. Riscul este ceea ce se întâmplă atunci când intră.