Обзор баз данных уязвимостей и эксплойтов

УДК 004.056

Обзор баз данных уязвимостей и эксплойтов
А.М. Кузьмичёв, студент 555вм гр.; А.Ю. Белобородов, аспирант
Национальный аэрокосмический университет
им. Н.Е. Жуковского «ХАИ»

В настоящее время компьютерные системы внедряются практически во все отрасли человеческой деятельности. Сбои в работе и нарушение информационной безопасности некоторых из них (например, систем электронной коммерции, банковских систем) могут привести к миллионным убыткам, поэтому гарантоспособность таких систем является крайне важным вопросом. Также следует отметить, что большинство реальных систем являются настолько сложными, что обеспечить их абсолютную защищён¬ность от внешнего злонамеренного вмешательства не представляется воз-можным. Такие системы могут содержать в себе уязвимости, которые могут быть использованы злоумышленниками как непосредственно, так и с помощью так называемых «эксплойтов».

Первым шагом в борьбе с уязвимостью является её обнаружение. Пользователь, знающий об уязвимости, может минимизировать возникающие риски самостоятельно, (например, путём отключения уязвимого модуля или уязвимой программы). Разработчики программного обеспечения, владея информацией об уязвимости, могут воспользоваться ею для разработки решения — «патча», который позволит устранить уязвимость либо сделать её эксплуатацию невозможной. Для повышения эффективности борьбы с уязвимостями были созданы базы данных уязвимостей и эксплойтов.
Существует значительное количество правительственных, международных и коммерческих организаций, занимающихся сбором информации об уязвимостях программных средств и эксплойтах. Результатом их дея¬тельности являются такие базы данных, как:
1. Common Vulnerabilities and Exposures (http://cve.mitre.org) - база уязвимостей, поддерживаемая корпорацией Mitre и финансируемая прави¬тельством США
2. National Vulnerability Database (http://nvd.nist.gov) - национальная база данных уязвимостей интегрируцая базы уязвимостей США;
3. Open Sourced Vulnerability Database (http://osvdb.org) - независима* и открытая база данных уязвимостей;
4. Exploit Database (www.exploit-db.com) биза данных эксплойтов.
В данном докладе производится обзор перечисленных выше баз данных; анализируются характеристики полноты, своевременности н точности информации, хранимой в этих базах.
*Научный руководитель д.т.н., проф., А. В. Горбенко