Printsiplar, siyosatlar va himoya Dasturiy ta'minot xavfsizligi

6.5 Xulosa
Bir nechta yumshatish choralari tuzatilmagan yoki noma'lum xotira va
turdagi xavfsizlik zaifliklaridan foydalanishni to'xtatadi. Xatolar soni
aniqlanmaganligi sababli yumshatishlar unumdorligi yoki ish vaqtining past
yoki ahamiyatsizligiga ega . Ma'lumotlarning bajarilishini oldini olish kodni
kiritish hujumlarini to'xtatadi, lekin kodni qayta ishlatish hujumlarini
to'xtatmaydi. Manzil fazosining tartibi tasodifiy bo'lib, xotira maydonini
aralashtirib yuboradi va ma'lumotlarning sizib chiqishiga moyil bo'ladi. Stack
Canaries ehtimolli, to'g'ridan-to'g'ri qayta yozishdan himoya qilmaydi va
ma'lumotlarning sizib chiqishiga moyil. Xavfsiz istisnolardan foydalanish
istisnolarni qayta ishlash vositalarini himoya qiladi, ishlov beruvchilardan
qayta foydalanish mumkin bo'lib qoladi. tify manba uchun statik buferlar va
format satrlarini himoya qiladi. Ushbu himoya vositalari kodni kiritishni to'liq
yumshatadi va kodni qayta ishlatish va nazorat oqimini o'g'irlash hujumlarini ehtimoliy yoki qisman kamaytiradi.
6 Mudofaa strategiyasi
104
Soya steklari stekning yaxlitligini ta'minlaydi va burilishga yo'naltirilgan
dasturlashdan himoya qiladi. Control-Flow Integrity kichik to'plamga oldinga
yo'nalishli boshqaruv oqimi o'tkazmalarini cheklaydi. Sandboxing va dasturiy
ta'minotga asoslangan xato izolyatsiyasi xavfli modullarni kod va/yoki
ma'lumotlarning kichik maydoni bilan cheklaydi.
Yangi himoya vositalari tajovuzkorning ishlaydigan ekspluatatsiyani yaratish
xarajatlarini yanada oshiradi va muvaffaqiyatga erishish imkoniyatini kamaytiradi.
Machine Translated by Google

---

Xavfsiz dasturiy ta'minotni ishlab chiqish, xavfsizlik siyosati, dasturiy ta'minotni sinovdan
o'tkazish strategiyalari, kamaytirish choralari va hujum vektorlarini muhokama qilgandan
so'ng, biz dasturiy ta'minot xavfsizligi jarayonini qo'llaydigan yoki takomillashtiradigan bir
nechta amaliy tadqiqotlarga e'tibor qaratamiz. Dasturiy ta'minot xavfsizligi statik emas,
lekin himoyani maksimal darajada oshirish uchun ma'lum bir vaziyatga moslashtirilishi kerak.
Biz ikkita amaliy tadqiqotlarni baholaymiz: veb-xavfsizlik va mobil
xavfsizlik. Veb xavfsizligi uchun tajovuzkor modeli veb-xizmatlarni
taqdim etuvchi serverni ham , veb-ilovada ishlaydigan brauzer yoki
mijozni ham o'z ichiga oladi. Mobil xavfsizlik uchun bozorni markaziy
nazorat qilish provayderga ilovalarni o'rnatishdan oldin ularni
sinchiklab tekshirish imkonini beradi.
Veb xavfsizligi - bu himoya qilinishi kerak bo'lgan ko'plab jihatlar
tufayli o'z kitobiga loyiq bo'lgan keng mavzu . Ushbu bo'limda biz veb-
xavfsizlikning uchta keng jihatini ko'rib chiqamiz: serverni himoya
qilish, server va mijoz o'rtasidagi o'zaro aloqani himoya qilish va veb-
brauzerni himoya qilish. Veb-serverlar (va brauzerlar) uzoq vaqt
ishlaydigan dasturiy ta'minot ilovalari bo'lib , ular tashqi so'rovlarga
xizmat qilishlari sababli raqiblarga ta'sir qiladi. Umuman olganda, dasturiy ta'minot