Ключевые слова: информационная безопасность, обеспечение безопасности web-сайтов, уязвимость, атака, взлом, защита, система безопасности

Если взглянуть «широко» на проблему уязвимостей web-сайтов, то можно сказать, что любая из них – это уязвимый код, т.е. фрагмент исходного кода страницы сайта, который может быть использован способом, не подразумевавшимся при его написании.

Можно выделить три основные причины, по которым появляются уязвимые фрагменты в исходных кодах страниц сайта. Во-первых, разработчик может быть недостаточно образован в вопросах разработки безопасных (атакоустойчивых) сайтов, попросту говоря, вообще не знать о том, что web-сайты подвергаются атакам, какого вида бывают эти атаки, и тем более не знать о том, как этим атакам противостоять. Во-вторых, разработчик может знать о возможных атаках на разрабатываемый web-сайт, но в силу халатности или невнимательности не уделить должного внимания написанию кода, защищенного от них. Например, не изучить способы защиты, или забыть использовать безопасный способ написания необходимой конструкции. И наконец, в-третьих, разработчик может намеренно оставить в коде уязвимые фрагменты, чтобы в случае необходимости получить контроль над web-сайтом.

Какова бы ни была истинная причина возникновения уязвимого фрагмента кода, достаточно всего одной уязвимости, чтобы с ее помощью провести весь спектр возможных атак соответствующего типа. Поэтому по-настоящему важно не число защищенных страниц или переменных, а число переменных и страниц, работа которых не рассматривалась с точки зрения безопасности. Пока каждая переменная и страница не будут проанализированы с точки зрения возможности проведения атаки, говорить о безопасности разработанного web-сайта нельзя.