Классификация уязвимостей информационной системы

Уязвимость информационной системы — недостаток или слабое место в системном или прикладном программном (программно-аппаратном) обеспечении автоматизированной информационной системы, которые могут быть использованы для реализации угрозы безопасности информации [6].

Уязвимости, представленные на рисунке 1.2, разделяются:

По типу ПО Системное программное обеспечение;

Прикладное программное обеспечение.

По этапу жизненного цикла программного обеспечения, на котором возникает уязвимость Уязвимости, возникающие на этапе проектирования программного обеспечения;

Уязвимости, возникающие на этапе реализации программного обеспечения;

Уязвимости, возникающие на этапе инсталляции и настройки программного обеспечения.

По причине возникновения уязвимостей Недостатки механизмов аутентификации;

Недостатки защиты учетных записей;

Наличие функций, позволяющих выполнять деструктивные действия;

Отсутствие проверки корректности входных данных.

По характеру последствий от реализаций атак Уязвимости, используемые для переполнения буфера;

Уязвимости, используемые для подбора пароля или идентификатора;

Уязвимости, используемые для изменения прав доступа;

Уязвимости, используемые для реализации атаки «Отказ в обслуживании».

Классификация уязвимостей ИС в общем виде приведена на рисунке 1.2. Жирными границами отмечены блоки, относящиеся к рассматриваемому бизнес-процессу по моделированию атаки на электронно-цифровую подпись с использованием уязвимостей алгоритмов хеширования.