Může nastat v aplikacích, frameworcích, identitách, cloudových službách, sítích, hostitelích, kontejnerech, databázích, zařízeních či manažerských systémech a může vystavit data či funkce, oslabit jinou kontrolu nebo vytvořit podmínku, kterou hrozba může zneužít.
Příklady zahrnují nezměněné výchozí přihlašovací údaje, veřejné úložiště, nadměrná oprávnění, zapnuté ukázkové či ladicí funkce, podrobné chyby, chybějící bezpečnostní direktivy, exponovaná manažerská rozhraní, vypnuté logování a nekonzistentní nastavení mezi prostředími. Správná konfigurace závisí na architektuře, účelu, datech, hrozbách a provozních omezeních.
Klíčové body
Stanovte záměrDefinujte otestované baseline a politiky specifické pro verzi každého prostředí, včetně požadovaných služeb, rozhraní, oprávnění, logování, šifrování, zpracování chyb a schválených výjimek.
Řiďte změnyPoužívejte odpovědný přezkum, opakovatelné nasazování, správu s nejmenšími oprávněními, chráněné úložiště konfigurace a oddělení mezi přihlašovacími údaji vývoje, testu a produkce.
Ověřujte stavHodnoťte efektivní nastavení a vztahy prostředků, porovnávejte je se zamýšlenými baseline, detekujte drift, prioritizujte podle expozice a důsledků, napravujte bezpečně a potvrzujte, že náprava přetrvává.
Důležité omezeníNe každá zranitelnost je nesprávná konfigurace; správně nakonfigurovaný software může obsahovat návrhové či implementační slabiny. Neúspěšná kontrola konfigurace rovněž není důkazem exploitovatelnosti, zatímco neúplná viditelnost či nevhodný baseline může podstatné riziko minout.