Threats, Vulnerabilities, Attacks and Riskهەڕەشەکان، خاڵە لاوازەکان، هێرشەکان و مەترسی

Four words appear in every security conversation: threat, vulnerability, attack and risk. People often mix them up, but each one names a different link of the same chain. Understand the chain, and you know where to break it.

چوار وشە لە هەموو گفتوگۆیەکی ئاسایشدا دەردەکەون: هەڕەشە، خاڵی لاواز، هێرش و مەترسی. خەڵک زۆرجار تێکەڵیان دەکەن، بەڵام هەریەکەیان ناوی ئەڵقەیەکی جیاوازی هەمان زنجیرەیە. زنجیرەکە تێبگە، ئەوکات دەزانیت لە کوێوە بیپچڕێنیت.

NIST says the same in other words: any circumstance or event with the potential to harm an organisation's operations, assets or people, for example through unauthorized access, destruction, disclosure, modification of information, or denial of service. A threat does not need a person behind it: a flood is a threat too.

NIST هەمان شت بە وشەی تر دەڵێت: هەر دۆخ یان ڕووداوێک کە توانای زیانگەیاندنی بە کارەکان، سامانەکان (Asset) یان خەڵکی ڕێکخراوێک هەبێت، بۆ نموونە لە ڕێی دەستڕاگەیشتنی بێ‌مۆڵەت (Unauthorized access)، لەناوبردن، ئاشکراکردن، گۆڕینی زانیاری (Information) یان ڕێگەگرتن لە خزمەتگوزاری. هەڕەشە پێویست ناکات کەسێکی لە پشتەوە بێت: لافاویش هەڕەشەیە.

The notes list eight 'types of threats' in one list. It is clearer to split them into two groups: where a threat comes from (its source, this screen) and what it causes (its result, the next screen). The sources:

تێبینییەکان هەشت «جۆری هەڕەشە» لە یەک لیستدا دەنووسن. ڕوونترە بیانکەینە دوو گرووپ: هەڕەشە لە کوێوە دێت (سەرچاوەکەی، ئەم پەڕەیە) و چی دەکات (ئەنجامەکەی، پەڕەی داهاتوو). سەرچاوەکان:

The other three items of the notes' list describe what happens when a threat comes true. Each one breaks one corner of the CIA triad:

سێ بڕگەکەی تری لیستی تێبینییەکان باسی ئەوە دەکەن کە چی ڕوو دەدات کاتێک هەڕەشەیەک دێتە دی. هەریەکەیان گۆشەیەکی سێگۆشەی CIA (CIA triad) دەشکێنێت:

Any source can lead to any result. A flood (disaster) can cause denial of service; a careless user can cause disclosure by e-mailing the wrong file. The Database Administration course lists the losses a database can suffer in a similar way: see Five kinds of loss.

هەر سەرچاوەیەک دەتوانێت ببێتە هۆی هەر ئەنجامێک. لافاو (کارەسات) دەتوانێت ببێتە هۆی ڕێگەگرتن لە خزمەتگوزاری؛ بەکارهێنەرێکی بێئاگا دەتوانێت بە ناردنی فایلی هەڵە بە ئیمەیڵ ببێتە هۆی ئاشکراکردن. کۆرسی بەڕێوەبردنی بنکەدراوە (Database) بە شێوەیەکی هاوشێوە ئەو زیانانە دەنووسێت کە بنکەدراوەیەک تووشیان دەبێت: بڕوانە پێنج جۆری زیان.

Weak points are not only in code. NIST's definition also includes weaknesses in procedures and internal controls, which means in the way people work. A few examples:

شوێنە لاوازەکان تەنها لە کۆددا نین. پێناسەی NIST لاوازی لە ڕێکار و کۆنترۆڵە ناوخۆییەکانیشدا دەگرێتەوە، واتە لە شێوەی کارکردنی خەڵکدا. چەند نموونەیەک:

Chapter 6 of this course is about vulnerabilities in depth: where they come from (coding errors, outdated software, misconfigurations), and how they are found, disclosed and patched. Weak passwords are covered in How passwords are broken.

بەشی شەشەمی ئەم کۆرسە بە قووڵی دەربارەی خاڵە لاوازەکانە: لە کوێوە دێن (هەڵەی کۆدنووسین، نەرمەواڵەی کۆن، ڕێکخستنی هەڵە (Misconfiguration)) و چۆن دەدۆزرێنەوە، ڕادەگەیەنرێن و پینە دەکرێن. تێپەڕەوشەی لاواز لە تێپەڕەوشەکان چۆن دەشکێنرێن باس کراوە.

So an attack needs both: a threat (someone with a reason) and a vulnerability (a way in). The piece of code or the trick that turns a weakness into a working attack is called an exploit (more in Exploitation). The course notes name the kinds of malicious attacks in two ways, by what happens to the message and by whether the attacker changes anything. The next screens show both.

کەواتە هێرش پێویستی بە هەردووکیانە: هەڕەشە (کەسێک کە هۆکارێکی هەیە) و خاڵی لاواز (ڕێگەیەک بۆ چوونە ژوورەوە). ئەو پارچە کۆد یان فێڵەی لاوازییەک دەکاتە هێرشێکی کارا پێی دەوترێت ئێکسپلۆیت (Exploit) (زیاتر لە قۆستنەوە). تێبینییەکانی کۆرسەکە جۆرەکانی هێرشی خراپەکار بە دوو شێوە ناو دەبەن، بەپێی ئەوەی چی بەسەر پەیامەکەدا دێت و بەپێی ئەوەی ئایا هێرشبەر شتێک دەگۆڕێت. پەڕەکانی داهاتوو هەردووکیان پیشان دەدەن.

Picture information flowing from a sender to a receiver. An attacker can do four things to that flow, and each one hits one security objective:

زانیاری بهێنە پێش چاوت کە لە نێرەرێکەوە بۆ وەرگرێک دەڕوات. هێرشبەر دەتوانێت چوار شت بەو ڕەوتە بکات و هەریەکەیان لە ئامانجێکی ئاسایش دەدات:

The notes list a fifth type: denial, when a person denies taking an action. For example, a customer orders goods online, receives them, and then says 'I never ordered anything' to avoid paying. Or an employee deletes important files and later says 'it wasn't me'.

تێبینییەکان جۆرێکی پێنجەم دەنووسن: نکۆڵی، کاتێک کەسێک نکۆڵی لە کردنی کارێک دەکات. بۆ نموونە، کڕیارێک بە ئۆنلاین کاڵا داوا دەکات، وەریدەگرێت و پاشان دەڵێت «هەرگیز هیچم داوا نەکردووە» بۆ ئەوەی پارە نەدات. یان فەرمانبەرێک فایلی گرنگ دەسڕێتەوە و دواتر دەڵێت «من نەبووم».

The second way to sort attacks asks one question: does the attacker change anything? A passive attack only watches or listens. An active attack changes data, creates false data or stops a service.

شێوەی دووەمی پۆلێنکردنی هێرشەکان یەک پرسیار دەکات: ئایا هێرشبەر شتێک دەگۆڕێت؟ هێرشی ناچالاک تەنها سەیر دەکات یان گوێ دەگرێت. هێرشی چالاک دراوە دەگۆڕێت، دراوەی ساختە دروست دەکات یان خزمەتگوزارییەک ڕادەگرێت.

Why does the difference matter? Passive attacks are hard to detect, because nothing changes and nothing breaks. So the main defence is prevention: encrypt the traffic, so that what is read is meaningless. Active attacks are hard to prevent completely, because there are so many ways in. So the main defence is to detect them quickly and recover: integrity checks, logs, alarms and backups. A man-in-the-middle attack, where the attacker secretly sits between two sides and relays (and perhaps changes) their messages, mixes both: it starts with listening and often ends with masquerade and modification.

بۆچی جیاوازییەکە گرنگە؟ هێرشە ناچالاکەکان بە زەحمەت دەدۆزرێنەوە، چونکە هیچ شتێک ناگۆڕێت و هیچ شتێک تێک ناچێت. بۆیە بەرگریی سەرەکی ڕێگرتنە: شفرەکردنی هاتوچۆکە، بۆ ئەوەی ئەوەی دەخوێنرێتەوە بێواتا بێت. ڕێگرتنی تەواو لە هێرشە چالاکەکان قورسە، چونکە ڕێگەی زۆر بۆ چوونە ژوورەوە هەیە. بۆیە بەرگریی سەرەکی دۆزینەوەی خێرا و گەڕاندنەوەیە: پشکنینی دروستی، لۆگەکان، ئاگادارکەرەوە و باکئەپەکان. هێرشی کەسی ناوەڕاست، کە تێیدا هێرشبەر بە نهێنی لە نێوان دوو لایەندا دادەنیشێت و پەیامەکانیان دەگوازێتەوە (و لەوانەیە بیانگۆڕێت)، هەردووکیان تێکەڵ دەکات: بە گوێگرتن دەست پێ دەکات و زۆرجار بە خۆگۆڕین و دەستکاریکردن کۆتایی دێت.

The animation follows one payment order through the six attacks of the table. Watch which attacks leave the message untouched and which send or change something:

ئەنیمەیشنەکە (Animation) یەک فەرمانی پارەدان بە ناو شەش هێرشەکەی خشتەکەدا دەبات. سەیر بکە کام هێرشەکان پەیامەکە دەستلێنەدراو جێ دەهێڵن و کامیان شتێک دەنێرن یان دەگۆڕن:

So risk always has two parts. A flood in a desert town is very unlikely, even if it would be terrible; a weak password on a public website is very likely to be tried. Organisations use risk to decide what to protect first, because no one has the money or time to fix everything at once. The full method (estimating likelihood and impact, a risk matrix, and choosing to avoid, reduce, transfer or accept a risk) is taught in Security Planning and Risk Assessment.

کەواتە مەترسی هەمیشە دوو بەشی هەیە. لافاو لە شارۆچکەیەکی بیابانیدا ئەگەری زۆر کەمە، هەرچەندە ئەگەر ڕوو بدات زۆر خراپ دەبێت؛ تێپەڕەوشەیەکی لاواز لەسەر تۆڕگەیەکی گشتی ئەگەرێکی زۆری هەیە تاقی بکرێتەوە. ڕێکخراوەکان مەترسی بەکار دەهێنن بۆ بڕیاردان لەسەر ئەوەی پێشەکی چی بپارێزن، چونکە کەس پارە و کاتی ئەوەی نییە هەموو شتێک بەیەکەوە چاک بکات. ڕێگا تەواوەکە (خەمڵاندنی ئەگەر و کاریگەری، خشتەی مەترسی (Risk matrix) و هەڵبژاردنی دوورکەوتنەوە، کەمکردنەوە، گواستنەوە یان قبووڵکردنی مەترسییەک) لە پلاندانانی ئاسایش و هەڵسەنگاندنی مەترسی فێر دەکرێت.

This order (asset → threat → vulnerability → attack → impact → risk) is the backbone of every risk assessment you will meet later in the course.

ئەم ڕیزبەندییە (سامان ← هەڕەشە ← خاڵی لاواز ← هێرش ← کاریگەری ← مەترسی) بڕبڕەی پشتی هەموو هەڵسەنگاندنێکی مەترسی (Risk assessment) کە دواتر لەم کۆرسەدا دەیبینیت.