软件安全-02-软件漏洞概述

摘要

什么是软件漏洞？

ISO/IEC 15408-1《信息技术—安全技术—IT 安全评估标准》：漏洞是存在于评估对象中的、在一定的环境条件下可能违反安全功能要求的弱点。

美国国家标准与技术研究院 NIST 内部报告《信息安全关键技术语词汇表》：漏洞是存在于信息系统、系统安全过程、内部控制或实现过程中的、可被威胁源攻击或触发的弱点。

ISO/IEC 27000《信息技术—安全技术—信息安全管理系统—概述和词汇》：漏洞是能够被一个或多个威胁利用的资产或控制中的弱点。

小结，对漏洞认识的 3 个共同特点：

基本认识：

基于软件生命周期的认识：

软件系统或产品在设计、实现、配置、运行等过程中，由操作实体有意或无意产生的缺陷、瑕疵或错误，它们以不同形式存在于信息系统的各个层次和环节之中，且随着信息系统的变化而改变。

危害：漏洞一旦被恶意主体所利用，就会造成对信息系统的安全损害，从而影响构建于信息系统之上正常服务的运行，危害信息系统及信息的安全属性。

【案例 2-1】白帽黑客的罪与罚

【案例 2-2】阿里巴巴月饼门

案例分析：

通常可以从漏洞利用的成因、利用的位置、和对系统造成的直接威胁进行分类。

内存破坏类、逻辑错误类、输入验证类、设计错误类和配置错误类。

本地漏洞。即需要操作系统级的有效帐号登录到本地才能利用的漏洞，主要构成为权限提升类漏洞，即把自身的执行权限从普通用户级别提升到管理员级别。

远程漏洞。即无需系统级的帐号验证即可通过网络访问目标进行利用的漏洞。

获取控制。即可以导致劫持程序执行流程，转向执行攻击者指定的任意指令或命令，控制应用系统或操作系统。威胁最大，同时影响系统的机密性、完整性，甚至在需要的时候可以影响可用性。主要来源：内存破坏类。
获取信息。即可以导致劫持程序访问预期外的资源并泄露给攻击者，影响系统的机密性。主要来源：输入验证类、配置错误类漏洞。
拒绝服务。即可以导致目标应用或系统暂时或永远性地失去响应正常服务的能力，影响系统的可用性。主要来源：内存破坏类、意外处理错误类漏洞。

对漏洞进行分级有助于人们对数目众多的安全漏洞给予不同程度的关注并采取不同级别的措施。

Guide to Using Vulnerability Naming Schemes（NIST SP 800—51 Rev. 1）
The Technical Specification for the security content Automation protocol (SCAP)：SCAP Version 1.2 （NIST SP 800—126 Rev. 2）
Guide to Enterprise Patch Management Technologies（NIST SP 800—40 Rev. 3）
Source Code Security Analysis Tool Functional Specification （NIST SP 500-268）
Information technology — Security techniques —Vulnerability disclosure（ISO/IEC 29147）
Information technology — Security techniques — Vulnerability handling processes（ISO/IEC 30111）