Software weakness — dastur talabi, dizayni, kodi yoki konfiguratsiyasidagi xato bo‘lib, ma’lum sharoitda xavfsizlik buzilishiga olib kelishi mumkin. U hali ekspluatatsiya qilinadigan konkret vulnerability bo‘lmasligi mumkin. Masalan, umumiy authorization tekshiruvi yo‘qligi weakness, aynan bir endpoint orqali boshqa mijoz ma’lumotini olish esa konkret zaiflik holatidir.
Paydo bo‘lish bosqichlari
Talab weakness’i xavfsizlik xususiyati umuman belgilanmaganda yuz beradi. Dizayn weakness’i trust boundary yoki privilege modeli noto‘g‘ri qurilganda paydo bo‘ladi. Implementatsiya weakness’i buffer chegarasini tekshirmaslik, queryni string bilan biriktirish yoki secretni loglash kabi koddan keladi. Deployment konfiguratsiyasi debug endpoint yoki default credentialni ochiq qoldirishi mumkin.
Bir weakness boshqa qatlamlarda ko‘p nusxada namoyon bo‘ladi. Har endpointga alohida patch qo‘shish symptomni yopib, markaziy root cause’ni qoldiradi. Data access layer’da tenant scopingni majburiy qilish kabi arxitekturaviy tuzatish butun weakness classini kamaytiradi.
Weakness va vulnerability
Weakness ekspluatatsiya uchun yetib bo‘lmaydigan dead code’da yoki qo‘shimcha nazorat ortida bo‘lishi mumkin. Vulnerability esa ma’lum mahsulot, versiya va sharoitda security policy’ni buzish yo‘lini beradi. Har weakness vulnerabilityga aylanmaydi, ammo environment va code path o‘zgarsa exposure paydo bo‘lishi mumkin.
Risk bahosi weakness nomidan avtomatik olinmaydi. Bir xil out-of-bounds read public network parser’da yuqori, privilege’siz lokal test vositasida pastroq xavfga ega bo‘lishi mumkin. Impact, attack complexity, privilege va asset qiymati alohida hisoblanadi.
Aniqlash usullari
Threat modeling dizayn va trust weaknesslarini koddan oldin topadi. Code review domen invariant va authorization oqimini ko‘radi. Static analysis source’dan unsafe data flow va memory xatolarini izlaydi. Dynamic test ishlayotgan tizimda observable buzilishni tekshiradi. Fuzzing parser va state machine’ga katta input maydonini beradi.
Har usulning ko‘rish chegarasi bor. Scanner “sanitization mavjud” deb ko‘rsa kontekst noto‘g‘riligini bilmasligi mumkin. Manual test bitta pathni topadi, static query esa shu patternning boshqa nusxalarini qidiradi. Natijalar bir-birini to‘ldiradi.
Oldini olish
Memory-safe til, parameterized query, typed parser va central authorization xavfli holatni ifodalashni qiyinlashtiradi. Secure default konfiguratsiya developer unutganida ham himoya beradi. Compiler warning va linter CI’da aniq policy bilan ishlaydi; warninglar e’tiborsiz shovqinga aylanmasligi uchun triage qilinadi.
Topilma tuzatilgach root cause, kirgan bosqich va aniqlash usuli retrospektiv tahlil qilinadi. Regression test faqat payloadni emas, umumiy invariantni tekshiradi. Weakness trendi jamoani ayblash uchun emas, qaysi platform API, trening yoki review gate takomillashtirilishini tanlash uchun ishlatiladi.
Hardware va protocol chegarasi
Software weakness ba’zan hardware taxmini yoki protocol specification bilan bog‘liq. Integer width, cache timing yoki speculative execution haqidagi noto‘g‘ri faraz source darajasida oddiy ko‘rinadi. Distributed protocol’da retry duplicate operation yaratishi, clockga ishonish esa lease invariantini buzishi mumkin. Shu sababli weakness katalogi faqat web input toifalari bilan cheklanmaydi. Architecture review failure mode, concurrency va trust assumptionlarni yozadi. Test real architecture, compiler optimization va network partitionni qamrab oladi. Platformaga xos weakness portability qatlamida yashirilmasdan, target capability va secure fallback bilan boshqariladi.
Weakness statusi owner va keyingi tekshiruv sanasisiz yopilmaydi.
Bog‘liq tushunchalar
Security vulnerability, CWE, Root cause, Secure coding, Attack surface, Static analysis, Defense in depth