En sårbarhet är en svaghet som kan utnyttjas. Det kan vara en programvarubugg, en felkonfiguration, ett designfel eller en mänsklig vana. Databasen Common Vulnerabilities and Exposures spårar kända programvarufel med unika identifierare. CVE-2021-44228, känd som Log4Shell, var en sårbarhet i ett vanligt förekommande loggbibliotek. Den möjliggjorde fjärrkörning av kod på miljontals servrar. Angripare utnyttjade den inom några timmar efter avslöjandet. Patchar kom snabbt. Många system förblev opatchade i månader.

Alla sårbarheter är inte programvarufel. En server med standardinloggningsuppgifter är sårbar. En molnlagringsbucket inställd på offentlig är sårbar. En anställd som återanvänder lösenord är sårbar. Ett nätverk utan segmentering är sårbart. Definitionen är bred eftersom attackytan är bred. Sårbarheter poängsätts med hjälp av Common Vulnerability Scoring System. CVSS graderar allvarlighetsgrad från 0 till 10 baserat på utnyttjandemöjligheter och påverkan. En 10 är kritisk. En 3 är låg. Poängen hjälper till att prioritera patchar. Men poängen är inte hela historien. En kritisk sårbarhet i ett isolerat system spelar mindre roll än en medelhög i en internetvänd server. Kontext avgör prioritet. Sårbarheten är bara halva ekvationen. Den andra halvan är om någon kan nå den.

Sårbarhetskällor

• Programvarufel — kodningsfel som möjliggör utnyttjande
• Felkonfigurationer — inställningar som försvagar säkerheten
• Designfel — arkitektoniska svagheter
• Mänskliga faktorer — svaga lösenord, dåliga vanor
• Leveranskedja — sårbarheter i tredjepartskomponenter

En sårbarhet är en dörr som lämnas olåst. Ett hot är någon som försöker öppna dörren. Risk är vad som händer när de tar sig in.