У кібербезпеці proof of concept (PoC) — код чи демонстрація, що доводять, що вразливість справді можна експлуатувати, зазвичай без повноцінного бойового навантаження.
Як використовують PoC
Коли дослідник знаходить вразливість, PoC доводить її реальність: він може обвалити сервіс, прочитати файл, відкрити калькулятор чи показати виконання коду з підвищеними правами. Виробники використовують PoC, щоб відтворити й виправити помилку, програми bug bounty часто їх вимагають, а захисники за допомогою публічних PoC перевіряють, чи вразливі їхні системи, і пишуть правила виявлення.
PoC — не те саме, що бойовий експлойт: зазвичай йому бракує надійності на різних версіях, засобів обходу захисту й справжнього шкідливого навантаження. Але розрив між ними часто невеликий.
Чому це важливо
Публікація PoC — переломний момент для ризику. Щойно робочий код з’являється на GitHub чи в соцмережах, масове сканування й експлуатація нерідко починаються протягом годин або днів — так було з Log4Shell 2021 року та з багатьма вразливостями VPN і систем передавання файлів пізніше. Тому «опубліковано PoC» — сигнал до термінового оновлення, і системи пріоритизації на кшталт CISA KEV та EPSS враховують цей чинник. Якщо ж зловмисники використовують помилку до виходу виправлення, це вразливість нульового дня.
PoC слугують і приманкою: дослідники знаходили на GitHub тисячі підроблених PoC-репозиторіїв зі шкідливим ПЗ, націленим на фахівців із безпеки, що їх завантажують.
Рекомендації
- Відстежувати публічні PoC для використовуваного ПЗ і пришвидшувати встановлення оновлень, щойно вони з’являються.
- Запускати сторонній PoC-код лише в ізольованій лабораторії й після перевірки.
- Дослідникам — дотримуватися скоординованого розкриття й давати виробнику час на виправлення.
