اصطلاحات و مفاهیم مرتبط به باگ
استراتژیست کسب‌وکار می‌گوید: "این فرآیند در کسب‌وکار ما، باگ دارد!" . یکی از اعضای تیم، در جلسه‌ی تیمی راجع به پروژه‌ی جدید معتقد بود:" این کار خیلی باگ دارد!". برنامه‌نویس جدید معتقد است:" این قسمت از کار سیستم باگ دارد!". کارشناس امنیت کسب‌کار می‌گوید:" این قسمت از سامانه باگ خطرناکی دارد! ". یک هکر کلاه‌سفید پیامی داده بود و نوشته بود:" این نقطه از سامانه‌ی شما آسیب پذیر است! من یک نوع آسیب پذیری در آن پیدا کرده‌ام! که سطح خطر آن حیاتی ست!." در خبری در سایت خبری نوشته بود:" حفره‌های امنیتی سامانه‌ی کسب‌وکار خود را جدی بگیرید!" احتمالا شما هم بارها جملات بالا را شنیده‌اید. اما در هر یک از جملات بالا، دقیقا منظور گوینده از کلمه‌ی "باگ" چیست؟ اصطلاحات "آسیب پذیری" ، " آسیب پذیر"، " حفره‌ی امنیتی" و ... به چه معنی هستند؟
در این بلاگ‌پست درباره‌ی معانی اصطلاحات و کلمات زیر خواهید خواند:
باگ، باگ نرم‌افزاری، باگ امنیتی، آسیب پذیری، حفره‌ی امنیتی، آسیب پذیر، سطح خطر آسیب پذیری؛ حیاتی، بالا، متوسط، پایین، درحداطلاع‌رسانی
باگ ( Bug ): اصطلاحی‌ست که مربوط به نرم‌افزارها و سامانه‌هاست اما در زندگی روزمره و در موقعیت‌های مختلف نیز گاهی به کار می‌رود و به معنای ایجاد اشکالی در یک فرآیند، سامانه یا … است که مانع ثمربخشی مطلوب است.
باگ نرم افزاری (Software flaw) : خطا‌ها، مشکلات موجود در سمت زیرساخت برنامه و پیاده‌سازی برنامه که منجر به ایجاد اختلال در عملکرد سامانه شوند، مانند؛ کندی سامانه، اشتباه در محاسبات، عدم دسترسی به API و خطاهای سینتکسی
باگ امنیتی ( Security bug) : هر باگ نرم‌افزاری‌ای که امکان نفوذ افراد خارجی به سامانه و بهره‌جویی و و سوءاستفاده را برایشان فراهم سازد، باگ امنیتی می‌نامیم.
پیشنهاد خواندنی: آیا هر باگی، یک باگ امنیتی ست؟
آسیب پذیری ( Vulnerability ) : برخی باگ‌ها و نقایص فنی سامانه‌های آنلاین که نقاط آسیب‌پذیر آن به شمار می‌روند، را آسیب پذیری می‌گویند. معنای آسیب پذیری را می‌توان معادل همان اصطلاح باگ امنیتی دانست.
پیشنهاد خواندنی: چگونه توانستم آسیب‌پذیری CRLF Injection را بر روی PayPal کشف کنم؟
حفره‌ی امنیتی (Security hole) : همان‌طور که از نامش پیداست، به معنای وجود حفره‌ایست که امنیتی محسوب می‌شود و به عبارتی می‌تواند موجب نفوذ دیگران به سامانه شود. طبق این تعریف، این اصطلاح معمولا معادل "آسیب پذیری" و "باگ امنیتی" به کار برده می‌شود.
داخل پرانتز: معمولا عبارت‌های "حفره‌ی امنیتی" ، "باگ امنیتی" و "آسیب پذیری" به یک معنا و منظور به کار می‌روند و می‌توان آن‌ها را مترادف یک‌دیگر دانست. در این بلاگ‌پست و سایر بلاگ‌پست‌های راورو نیز، هر جایی که یکی از این عبارات به کار رفته، می‌توان آن را معادل با دیگر عبارات نیز دانست.
آسیب‌پذیر ( Vulnerable ) : در صورت وجود یک آسیب پذیری در سامانه می‌توان گفت که آن نقطه از سامانه نسبت به آن آسیب پذیری، آسیب پذیر است. که معادل با این معناست که امکان نفوذ از آن نقطه برای دیگران فراهم است.
سطح خطر آسیب پذیری:
میزان و سطح خطری که هر آسیب پذیری برای یک سامانه به ارمغان می‌آورد، وابسته به نوع آن آسیب پذیری ست.
معیارهای متفاوت جهانی وجود دارند که آسیب پذیری‌ها را بر اساس ویژگی‌های مختلف دسته‌بندی و سطح‌بندی کرده‌اند. رده‌بندی Vulnerability Rating Taxonomy که به اختصار VRT نامیده می‌شود، یکی از آن‌هاست. در این دسته‌بندی آسیبپذیریها براساس شدت خطرشان در پنج رده‌ی P4، P3، P2، P1 و P5 رتبه‌بندی می‌شوند. در دو سر این رده‌بندی، P1 خطرناک‌ترین و رایج‌ترین آسیبپذیریها و P5 کم‌خطرترین و نامتداول‌ترین آسیبپذیریها هستند.
P1: اهمیت حیاتی/ بحرانی (Critical) ؛ مسئله‌ی مرگ و زندگی ست.
P2: اهمیت بالا (High) ؛ پای آبرو درمیان است و واجب است که حل شود.
P3: اهمیت متوسط ( Medium) ؛ لازم است که حل شود.
P4: اهمیت پایین (Low) ؛ خوب است که حل شود.
P5: اهمیت در حد اطلاع‌رسانی/ آموزنده (Informative) ؛ بهتر است از آن آگاه باشید و آن را رفع کنید.
داخل پرانتز: گفتنی ست که میزان خطری که یک نوع آسیب پذیری واحد، برای دو کسب‌وکار در بردارد، تاحدی وابسته به نوع کسب‌وکارها، حوزه‌‌های فعالیتشان، ویژگی‌ها، اولویت‌ها و … نیز دارد.
پیشنهاد خواندنی: چگونه بفهمیم هر آسیب‌پذیری چقدر خطرناک است؟ (معرفی ۳ سنگ محک جهانی)
سخن آخر:
ما در این بلاگ‌پست به تعریف دقیق و تخصصی برخی از کلمات و اصطلاحات مربوط به باگ پرداختیم. تجربه نشان می‌دهد که در بسیاری از مواقع، افراد کلمه‌ی "باگ" را نیز به طور خلاصه و کلی، درمعنای "باگ نرم افزاری" یا "باگ امنیتی" نیز به کار می‌برند. در چنین مواردی، کشف معنای موردنظر گوینده، تا حدودی در گرو قاعده‌ی "شنونده باید عاقل باشد" است. اگر کمی به بافت (Context) جمله و سایر کلمه‌های حاضر در جمله توجه کنید، راحت‌تر خواهید توانست منظور گوینده را تشخیص دهید.
با آگاهی از آسیب پذیر‌ها آینده امن‌تر است... با ثبت هدف در برنامه‌ی باگ بانتی می‌توانید از آسیب پذیری‌ها، باگ‌های و حفره‌های امنیتی سامانه‌ی کسب‌وکار خود، قبل از دیگران آگاه شوید!
بلاگ‌پست‌های مرتبط:
در باگ بانتی، می‌توانید برای هک‌نشدن از هکرها کمک بگیرید!
دو روش پرکاربرد اعتبارسنجی در صفحه‌ی ورود و ثبت‌نام
آسیب‌پذیری XXE؛ نفوذ با جابه‌جایی داده‌ها