Katere so pogoste vrste varnostnih napadov?

Question

Accepted Answer

Razumevanje pogostih **vrst napadov** — kako napadalci poskušajo ogroziti sisteme — je temeljno za obrambo proti njim. Glavne kategorije vključujejo injection, XSS, CSRF, brute force, socialni inženiring, DDoS in drugo.

## Napadi na spletne aplikacije

```text
INJECTION (SQL, command, etc.) → inject malicious code via input (manipulate queries/commands)
XSS (Cross-Site Scripting) → inject scripts that run in victims' browsers
CSRF (Cross-Site Request Forgery) → trick a logged-in user's browser into making unwanted
  requests (perform actions as them without consent)
BROKEN ACCESS CONTROL → access/modify what you're not authorized to (e.g. IDOR)
SSRF → trick the server into making requests it shouldn't
```

## Napadi na avtentifikacijo in dostop

```text
BRUTE FORCE → try many passwords/keys until one works (rate-limit, lock out, MFA)
CREDENTIAL STUFFING → use leaked username/password pairs from other breaches
SESSION HIJACKING → steal session tokens/cookies to impersonate a user
PHISHING / SOCIAL ENGINEERING → trick people into revealing credentials/info (the human
  is often the weakest link)
```

## Drugi napadi

```text
DDoS (Distributed Denial of Service) → flood a system to make it unavailable
MAN-IN-THE-MIDDLE (MITM) → intercept communication (HTTPS prevents this)
MALWARE / ransomware; SUPPLY CHAIN attacks (compromise dependencies/build tools)
ZERO-DAY → exploit unknown/unpatched vulnerabilities
```

## Zakaj je to pomembno

Razumevanje pogostih vrst varnostnih napadov je temeljno, ker **se ne morete braniti pred grožnjami, ki jih ne razumete**, zato je poznavanje, kako napadalci delujejo, bistveno za gradnjo varnih sistemov, kar jih naredi pomembnim varnostnim znanjem.

Osveščenost o vrstah napadov — kako napadalci poskušajo ogroziti sisteme — je osnova obrambe, saj ima vsaka vrsta napada ustrezne obrambe, in razumevanje groženj motivira in vodi zaščitne ukrepe.

Razumevanje **napadov na spletne aplikacije** — **injection** (manipulacija poizvedb/ukazov prek vhoda), **XSS** (skripta se izvaja v brskalnikih žrtev), **CSRF** (prevara prijavljenega uporabnika, da nariše neželjene zahteve), **broken access control** (dostop do nepooblaščenih virov) in **SSRF** — pokriva najpogostejše grožnje na ravni aplikacije, ki se jih morajo razvijalci braniti.

Razumevanje **napadov na avtentifikacijo in dostop** — **brute force** (poskušanje številnih gesel, zaščita z omejevanjem hitrosti in MFA), **credential stuffing** (uporaba uhojenih poverilnic), **session hijacking** (kraja žetonov) in **phishing/socialni inženiring** (prevara ljudi, saj je človek pogosto najšibkejši člen) — pokriva, kako napadalci ciljajo dostop.

Razumevanje **drugih napadov** — **DDoS** (poplava za povzročitev nedostopnosti), **man-in-the-middle** (prestrezanje komunikacije, preprečeno z HTTPS), zlonamerna programska oprema, **napadi na dobavno verigo** (kompromitacija odvisnosti — vse bolj pomembno) in zero-days — razširja ozaveščenost o krajini groženj.

Poznavanje teh vrst napadov omogoča razvijalcem, da prepoznajo grožnje, razumejo, zakaj obstajajo specifične obrambe (parametrizirane poizvedbe proti injection, escape proti XSS, MFA proti brute force, HTTPS proti MITM), in zgradijo primerne zaščite.

Ker zahteva obrambo pred grožnjami njihovo razumevanje in ima vsaka pogosta vrsta napada ustrezne obrambe, in ker je ozaveščenost o glavnih napadih (injection, XSS, CSRF, brute force, phishing, DDoS, dobavna veriga) temeljna za gradnjo varnih sistemov, je razumevanje pogostih varnostnih napadov temeljno, bistveno varnostno znanje — ozaveščenost o grožnjah, ki je osnova vse varnostne obrambe, potrebna za prepoznavanje groženj in razumevanje, zakaj varnostni ukrepi obstajajo, in mejnik za vsakega razvijalca, ki gradi sisteme, ki se morajo ugnati nenehnim in raznovrstnim napadom, s katerimi se sooča programska oprema.