Vaikutusten vähentäminen (syventävä)¶

Ajonaikainen tunnistus (syventävä)¶

Ajonaikainen tunnistus on ainakin periaatteessa tehokasta, koska virheet havaitaan ja voidaan jopa estää ennen kuin vahinkoa aiheutuu. Tämä tosin tapahtuu tyypillisesti keskeyttämällä ohjelman suoritus. Ajonaikainen tunnistus voi esimerkiksi tarkkailla muistialueita ja estää virheellisiä muistiviittauksia, tarkkailla käyttöjärjestelmän muistialueita tai tarkkailla tietovirtojen sääntöjenmukaista käyttöä. Testauksen aikana suorituskyky ei yleensä muodostu ongelmaksi, jolloin virheitä on tehokasta löytää. Suoritusaikainen tunnistus joudutaan tehokkuussyistä tekemään heikommaksi.

Automatisoitu hajauttaminen (syventävä)¶

Haavoittuvuuksien hyväksikäyttö edellyttää tapauskohtaisen toteutuksen tai suoritusympäristön tuntemista. Esimerkiksi muistinhallinnan haavoittuvuuksien hyväksikäyttö edellyttää käyttöympäristön tuntemista ja SQL-injektion hyväksikäyttö edellyttää tietokannan yksityiskohtien tuntemista. Yksi tapa suojautua onkin hajaannuttaa toteutuskohtaisia yksityiskohtia. Näin yksi hyökkäys ei toimi laajasti kaikkia järjestelmiä vastaan. Lisäksi hyökkääjän tekemä testaus myös vaikeutuu. Jos hajautus on toteutettu hyvin, toteutettu hyökkäys ei todennäköisesti toimikaan kohdejärjestelmässä. Esimerkkinä automaattisesta hajauttamisesta on muistiavaruuden satunnaistaminen (Address Space Layout Randomization, ASLR). Näin muistirakenteet eivät löydy kiinteistä osoitteista.

Oikeuksien rajoittaminen (syventävä)¶

Yksi tärkeä keino vähentää haavoittuvan ohjelman vaikutuksia on vähentää sen mahdollisuuksia aiheuttaa vahinkoa. Tämä tapahtuu käytännössä käyttöoikeuksien rajoittamisella tavalla tai toisella.

Yksi keino rajoittaa ohjelman suoritusta on laittaa se ns. hiekkalaatikkoon (sandbox). Hiekkalaatikossa ohjelman suoritus eristetään omaan tilaansa, jolloin mahdollinen haavoittuvuus tai virhetilanne ei aiheuta hiekkalaatikon ulkopuolelle ongelmia. Tästä poikkeuksena ovat haavoittuvuudet itse hiekkalaatikossa, kuten Javan virtuaalikoneessa olevat haavoittuvuudet. Hiekkalaatikon voi luoda monin eri tavoin, kuten virtuaalikoneella, ohjelmallisella erottamisella ja prosessien hallinnalla.

Myös osittamisella (compartmentalization, myös: osastointi) ohjelman oikeuksia voidaan rajoittaa. Tällöin ohjelma jaetaan osiin ja eri osien välisiä oikeuksia rajoitetaan. Tyypillisiä esimerkkejä ovat käyttöjärjestelmän ja tietokantaohjelman asettamat käyttöoikeudet.

Ohjelmiston eheystarkistukset (syventävä)¶

Ohjelman tai sen käyttämän datan eheys voidaan havaita tarkistussummilla tai tiivisteillä. Parhaassa tapauksessa tarkistukset tehdään niin, että hyökkääjä ei voi niihin vaikuttaa. Näin on tarkoitus esim. Trusted computing -toteutuksessa (katso tarkemmin käyttöjärjestelmien yhteydessä).

Yhteenveto haavoittuvuuksista (syventävä)¶

Oheiseen taulukkoon on koottu eri haavoittuvuuksien luokat sekä niille tyypillinen estäminen, tunnistaminen ja vaikutusten vähentäminen.

Lisäksi on hyvä muistaa, että testaus on tärkeä osa haavoittuvuuksien tunnistamista.