Podatność, czyli luka bezpieczeństwa, to błąd lub słabość w oprogramowaniu, konfiguracji albo procesach, którą napastnik może wykorzystać do ataku. Nie jest atakiem, ale umożliwia jego przeprowadzenie.
Skąd biorą się podatności?
Najczęściej z błędów w kodzie, takich jak brak walidacji danych, z niezałatanych bibliotek i wtyczek, słabej konfiguracji serwera oraz domyślnych haseł. Rośnie liczba luk w łańcuchu zależności.
Podatność, zagrożenie i ryzyko
Podatność to słabość, zagrożenie to ktoś lub coś, co może ją wykorzystać, a ryzyko to prawdopodobieństwo i skutki takiego zdarzenia. Zarządzanie ryzykiem polega na usuwaniu najgroźniejszych luk w pierwszej kolejności.
Jak wykrywać podatności?
Pomagają skanery podatności, przeglądy kodu, testy penetracyjne oraz programy bug bounty. Regularne aktualizacje i monitoring zależności zamykają większość znanych luk.
Zarządzanie podatnościami
Proces obejmuje inwentaryzację zasobów, regularne skanowanie, ocenę wagi (np. według CVSS) i terminy napraw dostosowane do ryzyka. Znane luki mają identyfikatory CVE, a ich publiczne bazy ułatwiają śledzenie. Warto subskrybować komunikaty twórców oprogramowania, bo opóźnienie w aktualizacji to jedna z częstszych przyczyn włamań.
Najczęściej opisywanym przykładem podatności aplikacji internetowych jest SQL Injection, a jej wykrywanie i usuwanie w praktyce obejmuje zabezpieczenie aplikacji przed SQL Injection.
Zobacz w praktyce
Jak zabezpieczyć aplikację przed SQL Injection 
Ochrona przed atakami brute force – jak zabezpieczam logowanie na stronie i serwerze 
Jak bezpiecznie przechowywać hasła użytkowników w bazie danych