vdgtuВестник Дагестанского государственного технического университета. Технические наукиHerald of Dagestan State Technical University. Technical Sciences2073-61852542-095XDaghestan State Technical University10.21822/2073-6185-2025-52-2-98-106vdgtu-1775Research ArticleИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ И ТЕЛЕКОММУНИКАЦИИINFORMATION TECHNOLOGY AND TELECOMMUNICATIONSПричины возникновения, классификация и критичность уязвимостей программного обеспечения информационных системCauses, classification, and criticality of information system software vulnerabilitiesЕфимовА. О.EfimovA. O.

Алексей Олегович Ефимов, преподаватель кафедры автоматизированных информационных системорганов внутренних дел

394065, г. Воронеж, пр. Патриотов, 53

Aleksey O. Efimov, Lecturer, Department of Automated Information Systems of Internal Affairs Bodies

53 Patriotov Str., Voronezh 394065

ea.aleksei@yandex.ruВоронежский институт МВД РоссииРоссияVoronezh Institute of the Ministry of Internal Affairs of RussiaRussian Federation20251008202552298106Copyright © Ефимов А.О., 20252025Ефимов А.О.Efimov A.O.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://vestnik.dgtu.ru/jour/article/view/1775

Цель. Целью исследования является описание причин возникновения уязвимостей программного обеспечения, а также их классификация; устранение неопределённости понятия «критичность уязвимости программного обеспечения». Метод. Анализ существующих подходов к оценке, классификации, и определения уязвимостей программного обеспечения. Моделирование, построение UML модели, описание алгоритма. Результат. Дано определение критичности уязвимости программного обеспечения. Частично описаны причины возникновения уязвимостей программного обеспечения, расширена существующая классификация уязвимостей программного обеспечения. Приведен пример оценки критичности уязвимостей программного обеспечения на основе вычисляемых метрик. Приведен пример оценки и приоритезации метрик уязвимостей. Представлены UML модель и алгоритм оценки уязвимостей. Вывод. Результаты проведенного исследования расширяют перечень показателей и предметную область описания уязвимостей программного обеспечения.

Objective. The purpose of this paper is to describe the causes of software vulnerabilities, as well as their classification. Eliminating the ambiguity of the concept of software vulnerability criticality. Method. Analysis of existing approaches to the assessment, classification, and identification of software vulnerabilities. Modeling, building a UML model, and describing an algorithm. Result. A definition of the criticality of a software vulnerability is proposed. The causes of the software are partially described, and the existing classification of software vulnerabilities is expanded. An example of assessing the criticality of software vulnerabilities based on calculated metrics is given. An example of vulnerability metrics evaluation and prioritization is given. The UML model and vulnerability assessment algorithm are presented. Conclusion. The results of the conducted research expand the list of indicators and the subject area of the description of software vulnerabilities.

уязвимостькритичность уязвимостиоценка уязвимостейбезопасность программного обеспеченияклассификация уязвимостейvulnerabilitycriticality of vulnerabilityvulnerability assessmentsoftware securityvulnerability classificationReferencesГОСТ Р 58142-2018. Информационная безопасность. Методы и средства защиты информации. Общие положения. – Введ. 2018-12-01. – М.: Стандартинформ, 2018. – 24 с.GOST R 58142-2018. Information Security. Methods and Tools for Information Protection. General Provisions. – Enacted on 2018-12-01. Moscow: Standartinform, 2018;24 p.(In Russ)Дойникова, Е. В. Оценка защищенности компьютерных сетей на основе метрик CVSS / Е. В. Дойникова, А.А. Чечулин, И.В. Котенко // Информационно-управляющие системы. – 2017. – № 6(91). – С. 76–87. – DOI 10.15217/issn1684-8853.2017.6.76. – EDN ZXWUWH.Doinikova, E.V. Evaluation of Computer Network Security Based on CVSS Metrics / E.V. Doinikova, A.A. Chechulin, I.V. Kotenko. Information and Control Systems. 2017;6(91):76–87. DOI: 10.15217/issn1684-8853.2017.6.76. – EDN ZXWUWH. (In Russ)Дровникова, И.Г. Основные виды уязвимостей и взаимосвязь компонентов безопасности при обосновании показателей надёжности системы защиты информации от несанкционированного доступа в автоматизированных системах / И.Г. Дровникова, А.С. Етепнев, Е.А. Рогозин // Приборы и системы. Управление, контроль, диагностика. – 2019. – № 3. – С. 59–64. – EDN VWGOHY.Drovnikova, I.G. Main Types of Vulnerabilities and the Relationship of Security Components in Justifying Indicators of Information Protection System Reliability Against Unauthorized Access in Automated Systems / I.G. Drovnikova, A.S. Etepnev, E.A. Rogozin. Instruments and Systems: Monitoring, Control, and Diagnostics. 2019; 3: 59–64. – EDN VWGOHY. (In Russ)Щеглов, К.А. Защита от атак на уязвимости приложений. Модели контроля доступа / К.А. Щеглов, А.Ю. Щеглов // Вопросы защиты информации. – 2013. – № 2(101). – С. 36–43. – EDN QAVHRX.Shcheglov, K.A. Protection Against Application Vulnerability Attacks. Access Control Models/ K.A. Shcheglov, A.Yu. Shcheglov. Information Security Issues. 2013; 2(101):36–43. EDN QAVHRX. (In Russ)Коноваленко, С.А. Выявление уязвимостей информационных систем посредством комбинированного метода анализа параметрических данных, определяемых системами мониторинга вычислительных сетей / С.А. Коноваленко, И.Д. Королев // Альманах современной науки и образования. – 2016. – № 11(113). – С. 60–66. – EDN XEEDXH.Konovalenko, S.A. Detection of Information System Vulnerabilities Using a Combined Method for Analyzing Parametric Data Determined by Network Monitoring Systems / S.A. Konovalenko, I.D. Korolev. Almanac of Modern Science and Education. 2016;11(113): 60–66. – EDN XEEDXH. (In Russ)Forum of Incident Response and Security Teams. Common Vulnerability Scoring System version 4.0: Specification Document [Электронный ресурс]. – URL: https://www.first.org/cvss/specification-document (дата обращения: 16.01.2025).Forum of Incident Response and Security Teams. Common Vulnerability Scoring System version 4.0: Specification Document [Electronic resource]. – URL: https://www.first.org/cvss/specification-document (accessed on 16.01.2025).OWASP Foundation. OWASP Risk Rating Methodology [Электронный ресурс]. – URL: https://owasp.org/www-community/OWASP_Risk_Rating_Methodology (дата обращения: 16.01.2025).OWASP Foundation. OWASP Risk Rating Methodology [Electronic resource]. – URL: https://owasp.org/www-community/OWASP_Risk_Rating_Methodology (accessed on 16.01.2025).Карты источников, содержащих сведения об уязвимостях программного обеспечения / А.Л. Сердечный, М.А. Тарелкин, А.А. Ломов, К.В. Симонов // Информация и безопасность. – 2019. – Т. 22, № 3. – С. 411–422. – EDN ZOUMGN.Sources Containing Information on Software Vulnerabilities / A.L. Serdechny, M. A. Tarelkin, A.A. Lomov, K.V. Simonov. Information and Security. 2019; 22(3): 411–422. – EDN ZOUMGN. (In Russ)ГОСТ Р 56546-2015. Информационная безопасность. Защита информации. Показатели защищённости информационных систем. – Введ. 2016-01-01. – М.: Стандартинформ, 2016. – 12 с.GOST R 56546-2015. Information Security. Information Protection. Security Indicators of Information Systems. – Enacted on 2016-01-01. – Moscow: Standartinform, 2016;12 p. (In Russ)ГОСТ Р 53114-2008. Информационная технология. Защита информации. Основные термины и определения. – Введ. 2009-01-01. – М.: Стандартинформ, 2009. – 14 с.GOST R 53114-2008. Information Technology. Information Protection. Basic Terms and Definitions. – Enacted on 2009-01-01. – Moscow: Standartinform, 2009; 14 p. (In Russ)Концептуальные основы оценки уровня защищенности автоматизированных систем на основе их уязвимости /А.О. Ефимов, И.И. Лившиц, Т.В. Мещерякова, Е.А. Рогозин // Безопасность информационных технологий. – 2023. – Т. 30, № 2. – С. 63–79. – DOI 10.26583/bit.2023.2.04. – EDN LGPQZP.Conceptual Foundations for Assessing the Security Level of Automated Systems Based on Their Vulnerabilities / A.O. Efimov, I.I. Livshits, T.V. Meshcheryakova, E.A. Rogozin. Information Technology Security. 2023;30(2):63–79. – DOI: 10.26583/bit.2023.2.04. – EDN LGPQZP. (In Russ)Аветисян А.И., Белеванцев А.А., Чукляев И.И. Технологии статического и динамического анализа уязвимостей программного обеспечения. Вопросы кибербезопасности. 2014, № 3(4), с. 20–28. – EDN SSYPXV.Avetisyan, A.I., Belevantsev, A.A., Chuklyaev, I.I. Technologies for Static and Dynamic Analysis of Software Vulnerabilities. Cybersecurity Issues. 2014;3(4): 20–28. – EDN SSYPXV. (In Russ)Russell R. et al. Automated Vulnerability Detection in Source Code Using Deep Representation Learning. 17th IEEE International Conference on Machine Learning and Applications (ICMLA), Orlando, FL, USA. 2018, p. 757–762. DOI: http://dx.doi.org/10.1109/ICMLA.2018.00120.Russell, R. et al. Automated Vulnerability Detection in Source Code Using Deep Representation Learning. 17th IEEE International Conference on Machine Learning and Applications (ICMLA), Orlando, FL, USA. 2018; p. 757–762. DOI: http://dx.doi.org/10.1109/ICMLA.2018.00120.Wang T., Wei T., Gu G. and Zou W. TaintScope: A Checksum-Aware Directed Fuzzing Tool for Automatic Software Vulnerability Detection. IEEE Symposium on Security and Privacy, Oakland, CA, USA. 2010, p. 497–512. DOI: http://dx.doi.org/10.1109/SP.2010.37.Wang, T., Wei, T., Gu, G., and Zou, W. TaintScope: A Checksum-Aware Directed Fuzzing Tool for Automatic Software Vulnerability Detection. IEEE Symposium on Security and Privacy, Oakland, CA, USA. 2010; p. 497–512. DOI: http://dx.doi.org/10.1109/SP.2010.37.Lin G., Wen S., Han Q. -L., Zhang J. and Xiang Y. Software Vulnerability Detection Using Deep Neural Networks: A Survey in Proceedings of the IEEE. Oct. 2020, vol. 108, no. 10, p. 1825–1848. DOI: http://dx.doi.org/10.1109/JPROC.2020.2993293.Lin, G., Wen, S., Han, Q. -L., Zhang, J., and Xiang, Y. Software Vulnerability Detection Using Deep Neural Networks: A Survey in Proceedings of the IEEE. Oct. 2020;108(10):1825–1848. DOI: http://dx.doi.org/10.1109/JPROC.2020.2993293.Кубарев, А.В. Подход к формализации уязвимостей информационных систем на основе их классификационных признаков / А.В. Кубарев // Вопросы кибербезопасности. – 2013. –№ 2(2). –С. 29–33. –EDNSZEDHH.Kubarev, A.V. Approach to Formalizing Information System Vulnerabilities Based on Their Classification Features / A.V. Kubarev. Cybersecurity Issues. 2013; 2(2): 29–33. – EDN SZEDHH. (In Russ)Ланкин, О.В. Системно-комплексный кибернетический подход к формированию методологических основ интеллектуальной защиты информации от несанкционированного доступа / О.В. Ланкин, В.И. Сумин, Е.В. Воронова // Вестник Воронежского государственного технического университета. – 2011. – Т. 7, № 8. – С. 174–176. – EDN NYIJQT.Lankin, O.V. Systemic-Cybernetic Approach to Forming Methodological Foundations for Intelligent Protection of Information from Unauthorized Access / O.V. Lankin, V.I. Sumin, E.V. Voronova. Bulletin of Voronezh State Technical University. 2011; 7( 8):174–176. – EDN NYIJQT. (In Russ)Лившиц И.И. Метод оценивания безопасности облачных ИТ-компонент по критериям существующих стандартов / И. И. Лившиц // Труды СПИИРАН. – 2020. – Т. 19, № 2. – С. 383–411. – DOI 10.15622/sp.2020.19.2.6. – EDN DPCIDQ.Livshits, I.I. A Method for Evaluating the Security of Cloud IT Components Based on Existing Standards / I.I. Livshits. SPIIRAS Proceedings. 2020;19(2):383–411. DOI: 10.15622/sp.2020.19.2.6. – EDN DPCIDQ. (In Russ)Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств : утв. ФСТЭК России 28 октября 2022 г. : методический документ ФСТЭК России от 28.02.2022 г. URL: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokumentot-28-oktyabrya-2022-g-2 (дата обращения: 04.10.2024).Methodology for Assessing the Criticality Level of Vulnerabilities in Software and Hardware-Software Tools: Approved by FSTEC of Russia on October 28, 2022: Methodological Document of FSTEC of Russia from October 28, 2022. URL: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokument-ot-28-oktyabrya-2022-g-2 (accessed on 04.10.2024). (In Russ)Методики оценивания надежности систем защиты информации от несанкционированного доступа в автоматизированных системах/О.И. Бокова, И.Г. Дровникова, А.С. Етепнев [и др.]//Труды СПИИРАН. – 2019. – Т. 18, № 6. – С. 1301–1332. – DOI 10.15622/sp.2019.18.6.1301-1332. – EDN YBHXOB.Methodologies for Assessing the Reliability of Information Protection Systems Against Unauthorized Access in Automated Systems / O.I. Bokova, I.G. Drovnikova, A.S. Etepnev [et al.]. SPIIRAS Proceedings. 2019;18(6):1301–1332. – DOI: 10.15622/sp.2019.18.6.1301-1332. – EDN YBHXOB. (In Russ)

The authors declare that there are no conflicts of interest present.