سوء إعداد الأمان Security Misconfiguration

أكثر الثغرات خطأ في الكود أما سوء الإعداد فمختلف قد يكون الكود سليما لكن النظام أعد بطريقة تترك الباب مفتوحا لوحة إدارة بلا تسجيل دخول كلمة مرور افتراضية لم يغيرها أحد وضع تنقيح بقي مفعلا في الإنتاج لا شيء منها يحتاج حمولة ذكية المهاجم يدخل ببساطة

ما هي الثغرة؟

ثلاث صور من أكثرها شيوعا

• واجهات مكشوفة لوحة إدارة أو لوحة مراقبة أو نسخة احتياطية تخدم لأي أحد يعرف المسار وعدم الربط إليها ليس حماية
• بيانات دخول افتراضية يأتي البرنامج بحساب معروف مثل admin مع كلمة مرور جاهزة موثقة علنا وتهمل خطوة تغييرها
• أخطاء مفصلة يبقى وضع التنقيح مفعلا في الإنتاج فيرجع مدخل غير متوقع أثرا مفصلا فيه مسارات الملفات ومتغيرات البيئة ومنها الأسرار

لماذا تحدث؟

الإعدادات الافتراضية تفضل سرعة البدء لا الأمان والتقسية حذف الحسابات الافتراضية وإغلاق المسارات الإدارية وإطفاء التنقيح خطوة منفصلة تهمل بسهولة والنظام الذي يعمل في الاختبار يخفي الصور الثلاث حتى ينظر أحد

كيف تتوقف؟

عامل الإعداد كجزء من سطح الهجوم افرض مصادقة وتفويضا على كل مسار إداري لا تشحن كلمة مرور جاهزة وافرض ضبطها عند أول تشغيل وامنع الافتراضية المعروفة عطل مخرجات التنقيح في الإنتاج وأعد خطأ عاما للمستخدم مع تسجيل التفصيل داخليا وراجع الإعداد المنشور لا الكود وحده

اللابات الثلاثة أدناه هي هذه الصور بالضبط لوحة إدارة بلا مصادقة ودخول يقبل الافتراضي المشحون وأداة يسرب خطأ تنقيحها البيئة