informИнформатикаInformatics1816-03012617-6963UIIP NASB10.37661/1816-0301-2020-17-3-72-77inform-1063Research ArticleЗАЩИТА ИНФОРМАЦИИ И НАДЕЖНОСТЬ СИСТЕМINFORMATION PROTECTION AND SYSTEM RELIABILITYАнализ защищенности веб-ресурсов на основе метрики CVSSWeb resource security analysis based on CVSS metricshttps://orcid.org/0000-0003-3668-7759ДавлатовШ. Р.DavlatovSh. R.

Давлатов Шохрух Рустамович, аспирант кафедры защиты информации 

Минск

Shohrukh R. Davlatov, Postgraduate Student of the Department Information Security

Minsk

shohrukh.92@gmail.comКучинскийП. В.Kuchinsky,P. V.

Кучинский Петр Васильевич, доктор физико-математических наук, директор

Минск

Pyotr  V.  Kuchinsky,  Dr.  Sci.  (Phys.-Math.),  Director

Minsk

Белорусский государственный университет информатики и радиоэлектроникиBelarusian State University of Informatics and RadioelectronicsНаучно-исследовательское учреждение «Институт прикладных физических проблем имени А. Н. Севченко» Белорусского государственного университетаA. N. Sevchenko Institute of Applied Physical Problems of Belarusian State University2020110620201737277Copyright © Давлатов Ш.Р., Кучинский П.В., 20202020Давлатов Ш.Р., Кучинский П.В.Davlatov S.R., Kuchinsky, P.V.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://inf.grid.by/jour/article/view/1063

На основе анализа данных об уязвимостях веб-ресурсов и метрики CVSS (Common Vulnerability Scoring System) изучено распределение усредненной величины оценки по стандарту CVSS для расчета числового показателя уязвимости по десятибалльной шкале для сайтов Республики Беларусь. Проведена проверка гипотезы о распределении оценки уязвимостей CVSS по закону Пуассона методом критерия хи-квадрат. Установлено, что около 10 % веб-ресурсов из исходной генеральной выборки размером 19 000 имеют критическую усредненную оценку уязвимости. В рамках проведенного исследования создана универсальная система для сбора технической информации об активных веб-ресурсах в сети Интернет из общедоступных каталогов и реестров. Разработаны специальные шаблоны поиска с помощью RegExp-выражений языка программирования JavaScript для точного определения версий технологий, которые были использованы для создания веб-сайтов. На базе полученных данных установлены процентные соотношения используемых технологий, доменов верхнего уровня и географическое расположение серверов, которые обслуживают веб-ресурсы. Предлагаемая система может быть адаптирована под любые уникальные требования, необходимые специалистам по защите информации для проведения аудита безопасности веб-ресурсов.

Based on the analysis of vulnerability data for web resources and the CVSS metric, the distribution of the average CVSS (Common Vulnerability Scoring System standard for calculating a numerical vulnerability score on a ten-point scale) score for the websites of theRepublicofBelaruswas studied. The hypothesis on the distribution of the CVSS vulnerability assessment according to Poisson's law was tested by chi-square criteria. It was found that about 10% of web resources from the original general of samples of 19000 size have a critical averaged assessment level of vulnerability. As part of this work an universal system for collecting technical information about active web resources on the Internet from public directories and registries has been developed. Specific search templates have been developed using RegExp JavaScript expressions to detect the versions of technologies that were used to create websites. Based on this data the percentage distribution of used technologies, top-level domains and the geographical location of the servers were calculated. Proposed system can be adapted to any unique conditions required by information security specialists to conduct a security audit of web resources.

информационная безопасностьоценка защищенностивеб-сайтвеб-серверметрика CVSSязык программирования JavaScriptinformation securitysecurity assessmentwebsiteweb serverCVSS metricprogramming language JavaScriptReferencesДойникова, Е. В., Чечулин, А. А., Котенко, И. В. Оценка защищенности компьютерных сетей на основе метрик CVSS // Информационно-управляющие системы, 76-87. DOI: 10.15217/issn1684-8853.2017.6.76Doinikova, E.V., Chechulin, A.A., & Kotenko, I.V. (2019). Otsenka zaschischennosti kompyuternyh setey na osnove metrik CVSS. // Informatsionno-upravlyayuschie sistemyi, (6), 76-87. DOI: 10.15217/issn1684-8853.2017.6.76 (in Russ.)Li, Н., Zhao, L. Study on the distribution of CVSS environmental score // 5th International Conference on Electronics Information and Emergency Communication. May 2015. DOI: 10.1109/ICEIEC.2015.7284502Li, Н., Zhao, L. Study on the distribution of CVSS environmental score. // 5th International Conference on Electronics Information and Emergency Communication. May 2015. DOI: 10.1109/ICEIEC.2015.7284502.Bostic, T., Stanley J., Higgins, J., Chudnov, D., Montgomery, B., Brunell, J. Exploring the Intersections of Web Science and Accessibility // The MITRE Corporation Scientific journal. Aug 2019.Bostic, T., Stanley J., Higgins, J., Chudnov, D., Montgomery, B., Brunell, J. Exploring the Intersections of Web Science and Accessibility. // The MITRE Corporation Scientific journal. Aug 2019.Likarish, P., Jung, E. A targeted web crawling for building malicious javascript collection // Proceeding of the ACM First International Workshop on Data-Intensive Software Management and Mining, Hong Kong, China, November 2009. DOI:10.1145/1651309.165131Likarish, P., Jung, E. A targeted web crawling for building malicious javascript collection. // Proceeding of the ACM First International Workshop on Data-Intensive Software Management and Mining, Hong Kong, China, November 2009. DOI:10.1145/1651309.1651317.Man, D., Yang, W., Yang, Y., Wang, W., Zhang, L., A Quantitative Evaluation Model for Network Security // Proc.of the 2007 Intern.Conf. on Computational Intelligence and Security. Dec 2007. P.773-777.Man, D., Yang, W., Yang, Y., Wang, W., Zhang, L., A Quantitative Evaluation Model for Network Security // Proc.of the 2007 Intern.Conf. on Computational Intelligence and Security.Dec 2007.P.773-777.

The authors declare that there are no conflicts of interest present.