Poate apărea în aplicații, framework-uri, identități, servicii cloud, rețele, gazde, containere, baze de date, dispozitive sau sisteme de management și poate expune date sau funcții, slăbi un alt control sau crea o condiție pe care o amenințare o poate exploata.
Exemplele includ credențiale implicite neschimbate, stocare publică, permisiuni excesive, funcții de exemplu sau depanare activate, erori verbose, directive de securitate lipsă, interfețe de management expuse, jurnalizare dezactivată și setări inconsecvente între medii. Configurația corectă depinde de arhitectură, scop, date, amenințări și constrângeri operaționale.
Puncte esențiale
Stabiliți intențiaDefiniți linii de bază și politici testate, specifice versiunii, pentru fiecare mediu, incluzând servicii, interfețe, permisiuni, jurnalizare, criptare, tratarea erorilor și excepții aprobate necesare.
Controlați schimbareaFolosiți revizuire responsabilă, implementare repetabilă, administrare cu privilegii minime, depozite de configurație protejate și separare între credențialele de dezvoltare, test și producție.
Verificați stareaEvaluați setările efective și relațiile resurselor, comparați-le cu liniile de bază intenționate, detectați deriva, prioritizați după expunere și consecință, remediați în siguranță și confirmați că corecția persistă.
Limitare importantăNu fiecare vulnerabilitate este o configurare eronată; software-ul corect configurat poate conține slăbiciuni de proiectare sau implementare. O verificare de configurare eșuată nu este nici dovadă de exploitabilitate, în timp ce vizibilitatea incompletă sau o linie de bază nepotrivită poate rata risc material.