Security vulnerability — tizim yoki mahsulotdagi weakness bo‘lib, tahdid actoriga belgilangan xavfsizlik siyosatini buzish imkonini beradi. Natija ruxsatsiz ma’lumot o‘qish, holatni o‘zgartirish, kod bajarish, privilege oshirish yoki xizmatni to‘xtatish bo‘lishi mumkin. Vulnerability konkret mahsulot, versiya, konfiguratsiya va attack path bilan tavsiflanadi; umumiy weakness classidan shu jihati bilan farq qiladi.
Zaiflik tarkibi
Root cause noto‘g‘ri authorization, memory safety xatosi, insecure default yoki protokol dizayni bo‘lishi mumkin. Attack vector hujumchi inputni qayerdan beradi, prerequisite esa account, user interaction yoki network position talabini ko‘rsatadi. Impact maxfiylik, yaxlitlik va mavjudlikka ta’sirni ifodalaydi.
Reachability muhim: zaif function dependency’da mavjud bo‘lsa ham application undan foydalanmasligi mumkin. Biroq configuration va code path keyin o‘zgaradi, shuning uchun “hozir unreachable” evidence hamda kuzatuv bilan saqlanadi. Compensating control exploitabilityni kamaytiradi, weaknessni binarydan olib tashlamaydi.
Aniqlash
Code review va static analysis source’dagi xavfli data flow’ni topadi. Dynamic scanner ishlayotgan interface’ni sinaydi. Fuzzing crash va parser invariantini, penetration test esa bir nechta nazoratni birga tekshiradi. Security researcher patch diff, protocol yoki reverse engineering orqali ham zaiflik aniqlashi mumkin.
Topilma reproduksiya qilinadi, affected version va minimal shartlar tasdiqlanadi. Scanner nomini ko‘r-ko‘rona vulnerability deb qabul qilish false positive yaratadi. Shu bilan birga exploit ishlamadi degan natija xavfsizlikni isbotlamaydi; environment va payload cheklovi tekshiriladi.
Identifikatsiya va baholash
CVE ommaga oshkor qilingan konkret vulnerability uchun umumiy identifikator beradi. CWE root cause weakness turini, CVSS esa texnik severity omillarini ifodalaydi. Ularning hech biri tashkilotning asset qiymati, internet exposure va mavjud exploitation holatini to‘liq almashtirmaydi.
Severity va risk ajratiladi. Yuqori CVSS’li lokal feature production’da yoqilmagan bo‘lishi, o‘rta score’li access control xatosi esa ko‘p mijoz ma’lumotiga ta’sir qilishi mumkin. Prioritization exploit intelligence, reachability, compensating control va business impactni birlashtiradi.
Tuzatish
Patch root cause’ni bartaraf etib, bypass variantlarini qamrab oladi. Parameterized API, central authorization yoki memory-safe component butun weakness classini kamaytirishi mumkin. Workaround endpointni o‘chirish, networkni cheklash yoki privilege’ni pasaytirish orqali vaqt yutadi. U owner va expiry bilan boshqariladi.
Fix code review, regression test va qayta exploitation bilan tasdiqlanadi. Dependency patchi application artifact qayta build va deploy qilingandan keyingina ishlayotgan instancega yetadi. Fleet inventory barcha nusxalar fixed versionga o‘tganini ko‘rsatadi.
Incident va disclosure
Vulnerability mavjudligi exploitation sodir bo‘lganini anglatmaydi, ammo faol hujum indicatorlari qidiriladi. Patchdan tashqari credential rotation, host rebuild va data impact tahlili kerak bo‘lishi mumkin. Log retention va telemetry cheklovi xulosada ochiq aytiladi.
Coordinated disclosure vendor va researcherga patch hamda advisoryni tayyorlash imkonini beradi. Advisory affected va fixed version, mitigation va detectionni beradi. Public PoC foydalanuvchilar yangilashidan oldin exploit xavfini oshirishi mumkin; e’lon vaqti jamoat manfaatiga mos boshqariladi.
Vulnerability lifecycle
Holat new, triaged, remediation planned, fixed, deployed va verified bosqichlariga ajratiladi. “Fixed” source patch merge qilinganini, “deployed” affected fleet yangilanganini, “verified” esa scanner yoki regression exploit yo‘l yopilganini anglatishi mumkin. Duplicate topilmalar bitta root recordga bog‘lanadi, ammo turli asset exposure’i yo‘qolmaydi. SLA severity bilan boshlanadi, active exploitation yoki internet reachability muddatni qisqartiradi. Exception va risk acceptance avtomatik yopilish emas; expiry’da qayta triage qilinadi. Dashboard open finding sonidan tashqari exposed days va overdue critical assetlarni ko‘rsatadi.
Bog‘liq tushunchalar
Software weakness, CVE, CWE, CVSS, Exploit, Security advisory, Vulnerability management