Koji su česti tipovi sigurnosnih napada?

Question

Accepted Answer

Razumijevanje čestih **tipova napada** — kako napadači pokušavaju ugroziti sustave — je temeljno za obranu od njih. Glavne kategorije uključuju injekciju, XSS, CSRF, brute force, društveno inženjerstvo, DDoS, i mnogo više.

## Web aplikacijski napadi

```text
INJECTION (SQL, command, etc.) → inject malicious code via input (manipulate queries/commands)
XSS (Cross-Site Scripting) → inject scripts that run in victims' browsers
CSRF (Cross-Site Request Forgery) → trick a logged-in user's browser into making unwanted
  requests (perform actions as them without consent)
BROKEN ACCESS CONTROL → access/modify what you're not authorized to (e.g. IDOR)
SSRF → trick the server into making requests it shouldn't
```

## Napadi na autentifikaciju / pristup

```text
BRUTE FORCE → try many passwords/keys until one works (rate-limit, lock out, MFA)
CREDENTIAL STUFFING → use leaked username/password pairs from other breaches
SESSION HIJACKING → steal session tokens/cookies to impersonate a user
PHISHING / SOCIAL ENGINEERING → trick people into revealing credentials/info (the human
  is often the weakest link)
```

## Ostali napadi

```text
DDoS (Distributed Denial of Service) → flood a system to make it unavailable
MAN-IN-THE-MIDDLE (MITM) → intercept communication (HTTPS prevents this)
MALWARE / ransomware; SUPPLY CHAIN attacks (compromise dependencies/build tools)
ZERO-DAY → exploit unknown/unpatched vulnerabilities
```

## Zašto je to važno

Razumijevanje čestih tipova sigurnosnih napada je temeljno jer **ne možete se braniti od prijetnji koje ne razumijete**, pa je poznavanje kako napadači djeluju esencijalno za gradnju sigurnih sustava, što čini ovo važnim sigurnosnim znanjem.

Osviještenost o tipovima napada — kako napadači pokušavaju ugroziti sustave — je temelj obrane, budući da svaki tip napada ima odgovarajuće obrane, i razumijevanje prijetnji motivira i usmjerava zaštitne mjere.

Razumijevanje **web aplikacijskih napada** — **injekcije** (manipuliranje upitima/naredbama preko unosa), **XSS-a** (skripte koje se izvršavaju u pregledniku žrtve), **CSRF-a** (prijevara prijavljivanog korisnika da njegov preglednik izvrši neželjene zahtjeve), **slomljene kontrole pristupa** (pristup neovlaštenim resursima), i **SSRF-a** — pokriva najčešće prijetnje na razini aplikacije koje razvojni inženjeri moraju obraniti.

Razumijevanje **napada na autentifikaciju/pristup** — **brute force-a** (pokušavanje mnogih lozinki, suprotstavljenih ograničavanju brzine i MFA), **credential stuffinga** (korištenje procurjenih kredencijala), **krađe sesije** (krađa tokena), i **phishinga/društvenog inženjerstva** (prijevara ljudima, budući da je čovjek često najslabija karika) — pokriva kako napadači ciljaju pristup.

Razumijevanje **ostalih napada** — **DDoS-a** (poplava za uzrokovanje nedostupnosti), **man-in-the-middle-a** (presretanje komunikacije, spriječeno sa HTTPS), malvera, **napada na lanac opskrbe** (kompromitiranje ovisnosti — sve važnije), i zero-day-a — proširuje svjesnost o krajoliku prijetnji.

Znanjem ovih tipova napada razvojni inženjeri mogu prepoznati prijetnje, razumjeti zašto specifične obrane postoje (parametrizirani upiti protiv injekcije, escape protiv XSS-a, MFA protiv brute force-a, HTTPS protiv MITM), i graditi odgovarajuće zaštite.

Budući da obrana od prijetnji zahtijeva razumijevanje njih i svaki česti tip napada ima odgovarajuće obrane, i budući da je осvještenost o glavnim napadima (injekcija, XSS, CSRF, brute force, phishing, DDoS, lanac opskrbe) temeljna za gradnju sigurnih sustava, razumijevanje čestih sigurnosnih napada je temeljno, esencijalno sigurnosno znanje — svjesnost prijetnji koja je temelj sve defenzivne sigurnosti, neophodna za prepoznavanje prijetnji i razumijevanje zašto sigurnosne mjere postoje, i bazična linija za bilo kojeg razvojnog inženjera koji gradi sustave koji moraju odolijevati stalnim, raznolikim napadima s kojima se software suočava.