КИБЕРВИКИПЕДИЯ
SECURITY VISION

Определение: Secure SD-WAN — это технология, которая обеспечивает безопасное и гибкое управление широкополосными сетями (WAN) с использованием программного обеспечения. Она включает шифрование трафика, контроль доступа и защиту от угроз.

Определение: File Upload Security — это набор мер, направленных на защиту приложений от угроз, связанных с загрузкой файлов пользователями. Неправильная обработка загружаемых файлов может привести к выполнению вредоносного кода, XSS или переполнению дискового пространства.

Определение: SSRF — это уязвимость, при которой злоумышленник может заставить сервер выполнить несанкционированные запросы к внутренним или внешним ресурсам. Это может привести к раскрытию конфиденциальных данных, обходу брандмауэров или атакам на внутренние системы.

Определение: Secure Random Number Generation — это процесс генерации случайных чисел, которые невозможно предсказать, что важно для криптографических операций, таких как создание ключей, токенов или salt. Ненадежная генерация случайных чисел может привести к уязвимостям.

Определение: WebSockets Security — это меры, направленные на защиту соединений WebSocket от таких угроз, как подделка сообщений, атаки типа "человек посередине" (MITM) или несанкционированный доступ к данным. WebSocket — это протокол для двусторонней связи между клиентом и сервером.

Определение: GraphQL Security — это набор практик и мер, направленных на защиту API, построенных на основе GraphQL, от таких угроз, как чрезмерное использование ресурсов, инъекции или несанкционированный доступ к данным.

Определение: YAML Parsing Attacks — это атаки, которые эксплуатируют уязвимости в обработке YAML-файлов, например, выполнение произвольного кода или несанкционированный доступ к данным. YAML-парсеры могут интерпретировать определенные конструкции как команды, что делает их уязвимыми.

Определение: XXE (XML External Entity) — это уязвимость, возникающая при обработке XML-документов, когда приложение разрешает использование внешних сущностей. Это может привести к чтению файлов на сервере, выполнению удаленных запросов или атакам типа "отказ в обслуживании".

Определение: Automated Security Testing — это процесс автоматизированной проверки программного обеспечения на наличие уязвимостей с использованием специализированных инструментов. Это позволяет быстро выявлять проблемы безопасности без ручного вмешательства.

Определение: Threat Intelligence Feeds — это потоки данных, предоставляющие информацию о текущих угрозах, уязвимостях и методах атак. Эти данные используются для повышения осведомленности и улучшения защиты систем.

Определение: DevSecOps Pipeline — это процесс интеграции практик безопасности в конвейер непрерывной интеграции и доставки (CI/CD). Он обеспечивает автоматизированную проверку безопасности на всех этапах разработки, от написания кода до развертывания.

Определение: Patch Management — это процесс управления установкой обновлений (патчей) для программного обеспечения и операционных систем с целью устранения уязвимостей, исправления ошибок и улучшения функциональности.

Определение: Backdoor — это скрытый механизм в программном обеспечении, который позволяет обойти стандартные процедуры аутентификации или авторизации. Закладка может быть добавлена злоумышленником или разработчиком для несанкционированного доступа к системе.

Static Linking — это процесс компиляции программы, при котором все необходимые библиотеки включаются непосредственно в исполняемый файл. Это повышает производительность, но может увеличить размер программы и усложнить обновление библиотек.

Secure Boot — это механизм безопасности, который гарантирует, что устройство загружается только с использованием доверенного программного обеспечения, подписанного авторизованными ключами. Это предотвращает запуск вредоносного кода на этапе загрузки.

Определение: Secure SDLC — это подход к разработке программного обеспечения, который интегрирует практики безопасности на всех этапах жизненного цикла разработки, от проектирования до внедрения и поддержки.

Определение: Hardcoded Credentials — это практика хранения учетных данных (например, логинов и паролей) непосредственно в исходном коде или конфигурационных файлах, что делает их уязвимыми для извлечения и использования злоумышленниками.

Определение: Privilege Escalation — это процесс получения более высоких привилегий в системе, чем те, которые были предоставлены изначально. Это может быть достигнуто через эксплуатацию уязвимостей или ошибок в настройках системы.

Определение: TOCTOU — это уязвимость, возникающая, когда состояние ресурса (например, файла или переменной) изменяется между моментом его проверки (Time-of-Check) и моментом его использования (Time-of-Use). Это может привести к непредвиденным последствиям или эксплуатации уязвимостей.

Определение: Race Condition — это уязвимость, возникающая, когда результат выполнения программы зависит от последовательности или времени выполнения потоков, что может привести к непредсказуемому поведению или уязвимостям.

Определение: Heap Overflow — это тип атаки, при которой злоумышленник переполняет динамически выделенную память (кучу), чтобы повлиять на выполнение программы или выполнить произвольный код.

Определение: Stack Overflow Attack — это тип атаки, при которой злоумышленник переполняет стек вызовов программы, чтобы перезаписать адрес возврата и выполнить произвольный код. Это происходит из-за отсутствия проверки границ данных.

Определение: Deobfuscation — это процесс восстановления исходного или читаемого вида кода, который был намеренно затруднен для понимания (обфусцирован) с целью защиты от анализа или обратной разработки.

Определение: OWASP Threat Dragon — это инструмент с открытым исходным кодом для моделирования угроз (threat modeling), который помогает разработчикам визуализировать и анализировать потенциальные угрозы безопасности в приложении.

Определение: OWASP Dependency-Check — это инструмент с открытым исходным кодом, который анализирует зависимости проекта на наличие известных уязвимостей в используемых библиотеках и компонентах.

Определение: API Gateway Security — это набор мер и технологий, направленных на защиту API-шлюза, который служит точкой входа для всех запросов к API. Это включает аутентификацию, авторизацию, шифрование данных и защиту от атак.

Определение: Secure Code Review — это процесс ручного или автоматизированного анализа исходного кода приложения с целью выявления уязвимостей и нарушений рекомендаций по безопасности. Это важный этап в разработке, который помогает устранить проблемы до запуска приложения.

Примеры:

• Ручной анализ кода для поиска уязвимостей, таких как SQL-инъекции, XSS или неправильная обработка ошибок.
• Использование автоматизированных инструментов для сканирования кода на наличие небезопасных функций или устаревших библиотек.

Определение: RASP — это технология защиты приложений, которая интегрируется в само приложение и обеспечивает безопасность в режиме реального времени. RASP отслеживает поведение приложения и блокирует попытки эксплуатации уязвимостей.

Определение: IAST — это метод тестирования безопасности, который сочетает в себе элементы SAST и DAST. Он работает внутри приложения во время его выполнения, анализируя поток данных и поведение кода для выявления уязвимостей.

Определение: DAST — это метод тестирования безопасности приложений, который анализирует работающее приложение в реальном времени для выявления уязвимостей. В отличие от SAST, DAST не требует доступа к исходному коду и работает "извне".