Glossary

Zmęczenie alarmami to sytuacja, gdy zespoły ds. bezpieczeństwa lub operacji są zalewane alertami każdego dnia. Z czasem ludzie stają się zmęczeni, zestresowani i zaczynają je ignorować.

Bezpieczeństwo API to proces ochrony interfejsów API, części nowoczesnego oprogramowania umożliwiających komunikację aplikacji, przed nieautoryzowanym dostępem, nadużyciami lub atakami.

Testowanie bezpieczeństwa API wykrywa i naprawia podatności, takie jak złamana autoryzacja lub wycieki danych w API, co jest niezbędne do ochrony nowoczesnych aplikacji i wrażliwych danych.

Bezpieczeństwo aplikacji to praktyka ochrony oprogramowania przed podatnościami i atakami na całym SDLC. Dowiedz się, jakie ma znaczenie, jakie są powszechne zagrożenia oraz jakie praktyki stosować w cyklu życia, aby zabezpieczyć nowoczesne aplikacje w środowiskach chmurowych i kontenerowych.

Ocena bezpieczeństwa aplikacji to proces identyfikacji i naprawy luk w oprogramowaniu. Poznaj jej cele, komponenty, powszechne narzędzia i wyzwania, aby chronić aplikacje przed zagrożeniami cybernetycznymi.

Cykl życia bezpieczeństwa aplikacji integruje bezpieczeństwo na każdym etapie rozwoju oprogramowania2od planowania i projektowania po wdrożenie i utrzymanie. Poznaj jego etapy, najlepsze praktyki i dlaczego jest kluczowy dla ochrony nowoczesnych aplikacji.

Zarządzanie Postawą Bezpieczeństwa Aplikacji (ASPM) to platforma, która daje organizacjom pełną widoczność i kontrolę nad ryzykiem bezpieczeństwa aplikacji w całym cyklu życia oprogramowania.

Testowanie bezpieczeństwa aplikacji (AST) oznacza sprawdzanie aplikacji pod kątem słabości, które mogą zostać wykorzystane przez atakujących. Do powszechnych metod AST należą SAST, DAST i IAST, które pomagają utrzymać bezpieczeństwo oprogramowania na każdym etapie rozwoju.

CI Gating to zautomatyzowany mechanizm „stop-the-line” w procesie rozwoju oprogramowania. Oceni kod pod kątem polityk bezpieczeństwa i jakości, blokując każdy commit, który nie spełnia wymagań

Potok CI/CD to zautomatyzowany proces przenoszenia kodu z laptopa dewelopera i bezpiecznego dostarczania go do użytkowników. Buduje kod, testuje go i wdraża bez polegania na ręcznych krokach.

Bezpieczeństwo CI/CD to proces integracji zabezpieczeń w ciągłym procesie integracji i ciągłym wdrażaniu (CI/CD), od zatwierdzenia do wdrożenia.

Zarządzanie postawą bezpieczeństwa chmury (CSPM) to metoda i zestaw narzędzi bezpieczeństwa, które ciągle monitorują środowisko chmury w celu wykrywania i naprawiania błędnych konfiguracji, naruszeń zgodności oraz ryzyka bezpieczeństwa na platformach chmurowych takich jak AWS, Azure czy Google Cloud.

CNAPP (Platforma Ochrony Aplikacji Cloud-Native) to zintegrowany model bezpieczeństwa. Łączy Zarządzanie Postawą Bezpieczeństwa Chmury (CSPM), Ochronę Obciążeń Chmury (CWPP), Zarządzanie Uprawnieniami Infrastruktury Chmury (CIEM) i Zarządzanie Postawą Bezpieczeństwa Aplikacji (ASPM).

CVE to skrót od Common Vulnerabilities and Exposures. Jest to system, który śledzi znane publicznie podatności w zakresie cyberbezpieczeństwa.

Bezpieczeństwo kontenerów to proces ochrony aplikacji konteneryzowanych (działających na Dockerze lub Kubernetesie) w całym ich cyklu życia, od budowy po czas działania.

CVSS to standardowy sposób określania, jak poważny jest błąd bezpieczeństwa. Każdej podatności przypisuje się ocenę od 0 do 10, aby zespoły wiedziały, co naprawić najpierw.

DevSecOps to sposób pracy, który dodaje bezpieczeństwo na każdym etapie procesu DevOps, zaczynając od kodowania i testowania, a kończąc na wdrażaniu i utrzymaniu.

Proste wyjaśnienie kontenerów Docker, jak działają i dlaczego deweloperzy używają ich do uruchamiania aplikacji w sposób spójny w różnych środowiskach.

Dynamiczne testowanie bezpieczeństwa aplikacji, czyli DAST, to sposób sprawdzania bezpieczeństwa aplikacji podczas jej działania. W przeciwieństwie do SAST, które analizuje kod źródłowy, DAST testuje bezpieczeństwo, symulując rzeczywiste ataki, takie jak SQL Injection i Cross-Site Scripting (XSS) w środowisku na żywo.

System Oceny Przewidywania Eksploatacji (EPSS) to standard oparty na danych, który szacuje prawdopodobieństwo, że konkretna luka w oprogramowaniu zostanie wykorzystana w środowisku naturalnym.

Fałszywy pozytyw to sytuacja, gdy narzędzie bezpieczeństwa zgłasza problem, który w rzeczywistości nie istnieje.

Bezpieczeństwo Infrastruktury jako Kod (IaC) to proces zabezpieczania infrastruktury chmurowej poprzez skanowanie plików konfiguracyjnych lub skryptów napisanych w określonych językach, takich jak Terraform, CloudFormation, Kubernetes YAML, itp., przed wdrożeniem.

Interactive Application Security Testing (IAST) to metoda łącząca SAST (Statyczne Testowanie Bezpieczeństwa Aplikacji) i DAST (Dynamiczne Testowanie Bezpieczeństwa Aplikacji) w celu skuteczniejszego wykrywania podatności aplikacji.

Wykrywanie złośliwego oprogramowania oznacza odnajdywanie i blokowanie szkodliwego oprogramowania, takiego jak wirusy, ransomware, spyware i trojany na systemach, sieciach i aplikacjach.

MTTR to kluczowy wskaźnik cyberbezpieczeństwa pokazujący, jak szybko reagujesz na znane zagrożenie

Uwierzytelnianie wieloskładnikowe to metoda zabezpieczeń, która wymaga dwóch lub więcej rodzajów weryfikacji, aby uzyskać dostęp do aplikacji lub systemu. MFA dodaje dodatkową warstwę ochrony, więc nie polegasz tylko na haśle

NVD jest głównym światowym repozytorium danych o lukach w zabezpieczeniach, utrzymywanym przez NIST. Wzbogaca identyfikatory CVE o oceny surowości CVSS, klasyfikacje CWE i szczegółowe opisy techniczne.

Audyt open source to kompleksowy przegląd wszystkich komponentów open source używanych w aplikacji programowej

OWASP Top 10 wymienia najpoważniejsze podatności aplikacji internetowych. OWASP oferuje również pomocne zasoby, dzięki którym deweloperzy i zespoły ds. bezpieczeństwa mogą nauczyć się, jak znaleźć, naprawić i zapobiec tym problemom w dzisiejszych aplikacjach.

Phishing to rodzaj ataku socjotechnicznego, w którym atakujący podszywają się pod zaufane podmioty, takie jak banki, usługi w chmurze, współpracownicy itp., aby oszukać ofiarę i skłonić ją do ujawnienia poufnych informacji, takich jak hasło, numer karty kredytowej lub inne dane uwierzytelniające.

RBAC to metoda zarządzania bezpieczeństwem systemu poprzez przypisywanie użytkowników do określonych ról w organizacji. Każda rola ma własny zestaw uprawnień, które decydują, jakie działania mogą podejmować użytkownicy w tej roli.

Reverse shell to zdalna powłoka, w której komputer ofiary rozpoczyna połączenie z komputerem atakującego.

SBOM to szczegółowy spis komponentów tworzących oprogramowanie, w tym bibliotek zewnętrznych i open-source oraz wersji frameworków.

Wykrywanie tajemnic to proces skanowania baz kodu, pipeline'ów CI/CD oraz chmury w celu identyfikacji ujawnionych tajemnic, takich jak klucze API, poświadczenia, klucze szyfrowania czy tokeny. Jest to kluczowe, ponieważ atakujący, tacy jak boty do wypełniania poświadczeń czy porywacze zasobów chmurowych, mogą wykorzystać te ujawnione tajemnice do uzyskania nieautoryzowanego dostępu.

Naprawa oznacza usuwanie lub poprawianie słabości w systemach organizacji, aby uczynić je bezpiecznymi i zmniejszyć ryzyko.

Analiza składu oprogramowania (SCA) to proces bezpieczeństwa, który identyfikuje i zarządza ryzykiem w bibliotekach zewnętrznych używanych w aplikacjach.

Cykl życia oprogramowania, czyli SDLC, to proces, który pomaga zespołom deweloperskim w planowaniu, projektowaniu, budowaniu, testowaniu i uruchamianiu aplikacji w zorganizowany sposób.

Bezpieczeństwo łańcucha dostaw oprogramowania polega na zabezpieczaniu każdej części, procesu i narzędzia w całym cyklu tworzenia oprogramowania, od pierwszej linii kodu po końcowe wdrożenie.

SQL Injection (SQLi) to rodzaj ataku, w którym atakujący wprowadza złośliwe polecenie SQL do pola wejściowego, aby manipulować bazą danych.

SSDLC (Secure Software Development Life Cycle) to rozszerzenie tradycyjnego SDLC, które integruje praktyki bezpieczeństwa na każdym etapie rozwoju oprogramowania—projektowanie, kodowanie, testowanie, wdrażanie i utrzymanie. Jego celem jest wczesne identyfikowanie i rozwiązywanie podatności, co zmniejsza koszty napraw i zapewnia bardziej bezpieczne aplikacje.

SAST to rodzaj testowania bezpieczeństwa aplikacji, który sprawdza kod źródłowy aplikacji (oryginalny kod napisany przez programistów), zależności (zewnętrzne biblioteki lub pakiety, na których opiera się kod) lub pliki binarne (skomplikowany kod gotowy do uruchomienia) przed jego uruchomieniem.

Cross-Site Scripting, czyli XSS, to luka bezpieczeństwa w witrynach internetowych, która pozwala atakującym na dodawanie szkodliwych skryptów do stron internetowych. Najczęściej skrypty te są napisane w JavaScript.

Zero Trust to koncepcja cyberbezpieczeństwa, która zakłada, że żadne urządzenie, użytkownik ani aplikacja nie powinny być zaufane, nawet jeśli znajdują się wewnątrz obwodu sieci. Dostęp jest przyznawany dopiero po weryfikacji stanu urządzenia, tożsamości i kontekstu.

Luka zero-day to błąd bezpieczeństwa oprogramowania, który został właśnie odkryty przez dostawcę lub dewelopera, więc nie mieli oni czasu na stworzenie lub wydanie poprawki. Ponieważ nie ma jeszcze rozwiązania, cyberprzestępcy mogą wykorzystać te luki do przeprowadzania ataków, które są trudne do wykrycia i zatrzymania.

Uwierzytelnianie dwuskładnikowe (2FA) to metoda zabezpieczeń, która wymaga od użytkowników podania dwóch rodzajów czynników uwierzytelniających w celu potwierdzenia ich tożsamości. Jest uważane za podzbiór MFA, ponieważ MFA (uwierzytelnianie wieloskładnikowe) może obejmować dwa lub więcej czynników weryfikacyjnych, podczas gdy 2FA oznacza dokładnie dwa.