Kuidas sõnastikku kasutada
Mõisted on tähestikulises järjekorras ja lingitud juhenditega. Kui otsid konkreetset vastust, kasuta brauseri otsingut (Ctrl+F). Sõnastik kirjeldab üldkasutatavaid mõisteid, mitte konkreetse kliendi lepingu tingimusi.
A–H
- OWASP API Top 10
- Kümme levinumat API turvariski kirjeldav OWASP-i loend. See on riskikategooriate kaart, mitte kohustuslik testipakett. Täpsemalt API turvatestimise juhendis.
- BFLA
- Broken Function Level Authorization – funktsiooni tasemel õiguste puudujääk. Näiteks tavakasutaja pääseb admin-otspunktile, sest rolli ei kontrollita serveris.
- BOLA
- Broken Object Level Authorization – API ei kontrolli, kas päringu tegija tohib viidatud objekti kasutada. Üks levinumaid API riske; kontrollitakse kahe testkonto ja objektiviitega.
- BOPLA
- Broken Object Property Level Authorization – väljade tasemel õiguste puudujääk. Kasutaja saab muuta välja, mida ei tohiks, näiteks rolli, hinda või staatust.
- Bug bounty
- Avalik programm, kus turvauurijad saavad leidude eest tasu. See ei asenda kokkulepitud ulatusega pentesti ega anna süstemaatilist katvust.
- CVE
- Common Vulnerabilities and Exposures – avalik identifikaator konkreetsele haavatavusele. CVE olemasolu ei tähenda automaatselt, et sinu süsteem on mõjutatud.
- CVSS
- Common Vulnerability Scoring System – haavatavuse tõsiduse skoor. Skoor ei arvesta sinu keskkonna konteksti, seetõttu otsustab mõju inimene.
- CSRF
- Cross-Site Request Forgery – võltsitud päring kasutab ohvri olemasolevat sessiooni. Kaitseks kontrollitakse päritolu ja lisatakse sessioonipõhine token.
- Haavatavus
- Nõrkus süsteemis, rakenduses või protsessis, mida saab ära kasutada turvaeesmärgi rikkumiseks. Haavatavus võib olla tehniline või organisatsiooniline.
I–P
- IDOR
- Insecure Direct Object Reference – otsene objekti viide, mille õigusi ei kontrollita. BOLA üks avaldumisviise; näiteks teise kliendi arve avamine ID-d muutes.
- Küberhügieen
- Igapäevased põhiharjumused ja -meetmed: uuendused, varundus, tugevad paroolid, MFA ja ettevaatlik linkide avamine. Odavaim viis riski vähendada.
- Nõrkuse skaneerimine
- Automaatne kontroll tuntud haavatavuste ja seadistuste vastu. Annab hoiatusi, kuid ei tõenda ärakasutatavust ega asenda pentesti.
- Küberaudit
- Laiem turvaseisu ülevaade, mis hindab protsesse, seadistusi ja kontrolle ning annab prioriteetse parandusplaani. Erineb pentestist, mis keskendub konkreetse süsteemi ärakasutatavusele. Loe lähemalt.
- KüTS
- Eesti küberturvalisuse seadus, millega võeti üle NIS2 direktiiv. Kohustused ja tähtajad leiad NIS2 juhendist.
- Läbistustestimine
- Pentesti eestikeelne sünonüüm. Sama tegevus, erinev nimetus; täpne ulatus ja luba kinnitatakse alati eraldi. Pentestimise leht.
- MFA
- Mitmefaktoriline autentimine – lisaks paroolile nõutakse teist tõendit, näiteks rakendust, turvavõtit või biometriat. Üks odavamaid ja mõjusamaid meetmeid.
- NIS2
- Euroopa Liidu küberturvalisuse direktiiv, mille Eesti võttis üle küberturvalisuse seadusega. Kohaldub olulistele ja elutähtsatele üksustele; nõuded ja teatamistähtajad on NIS2 juhendis.
- Oluline küberintsident
- NIS2 tähenduses sündmus, millel on tõsine mõju teenusele, rahaline kahju või oluline mõju teistele isikutele. Teatamine: 24 tundi, 72 tundi ja üks kuu. Teatamise juhend.
- Pentest
- Kokkulepitud ulatuses ja kirjalikul loal tehtav ründesimulatsioon, mille eesmärk on tõendada nõrkuste ärakasutatavust. Tulemus ei ole skanneri hoiatuste loend, vaid kinnitatud leiud ja parandussoovitused. Loe lähemalt.
- PTES
- Penetration Testing Execution Standard – rahvusvaheline pentesti töövoogude raamistik alates eeltööst kuni raportini. Metoodika valik ei ole sertifikaat.
Q–Z
- RCE
- Remote Code Execution – ründaja saab sihtsüsteemis käivitada oma koodi. Kriitiline leid, mis vajab kiiret piiramist ja parandust.
- Red team
- Laiem vastase simulatsioon, mis võib hõlmata inimest, protsesse ja tehnikat ning testida ka tuvastust ja reageerimist. Ulatus on tavalisest pentestist laiem.
- Blue team
- Kaitse- ja reageerimismeeskond, kes tuvastab, piirab ja taastab intsidente. Punase ja sinise meeskonna harjutus aitab mõlemat parandada.
- RTO ja RPO
- Taastamisaeg (RTO) ja andmekao piir (RPO): kui kaua tohib teenus olla maas ja kui palju andmeid tohib kaduda. Mõõdetakse taastetestiga, mitte plaanist lugedes.
- SIEM
- Security Information and Event Management – logide kogumise, korrelatsiooni ja häirete süsteem. Toetab intsidentide tuvastamist, kuid ei asenda protsessi.
- SQL-süst
- SQL injection – kasutaja sisend mõjutab SQL-päringu loogikat ning võib avada, muuta või kustutada andmeid. Paraneb parameetriliste päringute ja sisendi valideerimisega.
- SSRF
- Server-Side Request Forgery – server teeb päringu kasutaja antud aadressile, avades ligipääsu sisemistele ressurssidele. Kontrollitakse lubatud sihtkohtade ja võrgu piirangutega.
- WAF
- Web Application Firewall – veebiliikluse filter, mis võib blokeerida osa rünnakuid, kuid ei asenda haavatavuse parandust. WAF-i taha peidetud viga jääb alles.
- OWASP WSTG
- OWASP Web Security Testing Guide – veebirakenduse turvatestimise kontrollide juhend. Kasutame seda veebirakenduse testide alusena. Veebirakenduse juhend.
- Zero trust
- Lähenemine, kus iga päringut kontrollitakse, mitte ei usaldata automaatselt võrgu asukoha tõttu. Ei tähenda toote ostmist, vaid projekteerimispõhimõtet.
- XSS
- Cross-Site Scripting – süstitud skript käivitub teise kasutaja brauseris. Võib varastada sessiooni või muuta lehe sisu.
Küsimused mõistete kohta
Mis vahe on pentestil ja küberauditil?
Pentest kontrollib, kas konkreetses süsteemis saab nõrkust kokkulepitud piirides päriselt ära kasutada. Küberaudit vaatab laiemat turvaseisu, protsesse ja seadistusi ning annab prioriteetse parandusplaani.
Kas BOLA ja IDOR on sama?
IDOR on üks BOLA avaldumisviise. BOLA kirjeldab puudulikku objektipõhist õiguskontrolli; IDOR viitab konkreetsele olukorrale, kus objektile pääseb ligi selle identifikaatorit muutes.
Kas CVSS skoor määrab parandamise järjekorra?
Ei. CVSS kirjeldab üldist tõsidust, kuid järjekord sõltub sinu süsteemi mõjust, ärakasutatavusest ja andmetest. Skoor on sisend, mitte otsus.