Woordenlijst web- en WordPress-beveiliging

B

• 

  Backdoor (achterdeur)

  Een backdoor (achterdeur) is een verborgen toegang, ingebouwd in software of geplaatst na een inbraak, waarmee iemand een systeem opnieuw kan binnenkomen zonder de…

• 

  bcrypt

  bcrypt is een hashfunctie die speciaal is ontworpen om wachtwoorden op te slaan. Ze bevat een willekeurige salt en een instelbare kostenfactor die elke…

• 

  Bestandsinclusie (LFI / RFI)

  Bestandsinclusie is een PHP-kwetsbaarheid waarbij een aanvaller het pad bepaalt dat aan include of require wordt doorgegeven. Bij LFI (Local File Inclusion) laat hij…

• 

  Brute-force-aanval

  Een brute-force-aanval bestaat uit het automatisch uitproberen van enorm veel wachtwoorden, of combinaties van gebruikersnaam en wachtwoord, tot er een een account opent. Op…

C

• 

  Clickjacking

  Clickjacking (het kapen van een klik) is een aanval waarbij een legitieme site in een onzichtbaar frame over een valse pagina wordt gelegd: het…

• 

  Content Security Policy (CSP)

  De Content Security Policy (CSP) is een HTTP-header waarmee een site de browser vertelt uit welke bronnen hij scripts, stylesheets, afbeeldingen of frames mag…

• 

  Credential stuffing

  Credential stuffing is een geautomatiseerde aanval waarbij combinaties van gebruikersnaam en wachtwoord, gestolen bij datalekken van andere diensten, op een site opnieuw worden geprobeerd.…

• 

  Cross-site scripting (XSS)

  Cross-site scripting (XSS) is een kwetsbaarheid waarmee een aanvaller zijn eigen JavaScript laat uitvoeren in de pagina die een andere bezoeker bekijkt. Het script…

• 

  CSRF (cross-site request forgery)

  CSRF (cross-site request forgery) is een aanval waarbij de browser van een ingelogde gebruiker, zonder dat die het weet, een verzoek verstuurt naar een…

• 

  CVE

  Een CVE (Common Vulnerabilities and Exposures) is een unieke, openbare code in de vorm CVE-2024-4577 die aan een bekendgemaakte kwetsbaarheid wordt toegekend. Dit register,…

• 

  CVSS-score

  De CVSS-score (Common Vulnerability Scoring System) is een cijfer van 0 tot 10 dat de technische ernst van een kwetsbaarheid uitdrukt, op basis van…

D

• 

  DDoS-aanval

  Een DDoS-aanval (distributed denial of service) probeert een website of server onbereikbaar te maken door hem te overspoelen met verkeer of verzoeken vanaf een…

F

• 

  Fingerprinting

  Fingerprinting is het herkennen van de software waarop een website draait, de versie en de onderdelen ervan aan de hand van zichtbare sporen: HTTP-headers,…

G

• 

  Gebruikersenumeratie

  Gebruikersenumeratie is een verkenningstechniek waarbij een aanvaller de geldige gebruikersnamen van een site in kaart brengt door de antwoorden van de site uit te…

H

• 

  Honeypot

  Een honeypot is een lokmiddel dat bewust wordt neergezet om aanvallers aan te trekken: een nepserver, een webadres dat niet bestaat of een verborgen…

• 

  HSTS

  HSTS (HTTP Strict Transport Security) is een HTTP-header die de browser opdraagt een site gedurende een bepaalde tijd alleen via HTTPS te benaderen. Na…

• 

  HTTP-beveiligingsheaders

  HTTP-beveiligingsheaders zijn instructies die de server met elke pagina meestuurt en die de browser toepast: HTTPS afdwingen, weergave in een extern frame verbieden, de…

I

• 

  IDOR (insecure direct object reference)

  Een IDOR-kwetsbaarheid (insecure direct object reference) geeft toegang tot de gegevens van een andere gebruiker door simpelweg een ID in een verzoek te veranderen,…

M

• 

  Malware

  Malware (kwaadaardige software) is een programma of een stukje code dat in een systeem wordt binnengesmokkeld om de eigenaar of de gebruikers schade te…

N

• 

  Nonce

  Een nonce is een waarde, in principe willekeurig en eenmalig, die aan een uitwisseling wordt toegevoegd om te voorkomen dat die wordt herhaald of…

O

• 

  Onveilige deserialisatie

  Onveilige deserialisatie is een kwetsbaarheid die ontstaat wanneer een applicatie objecten opnieuw opbouwt uit gegevens die een aanvaller in handen heeft, bijvoorbeeld met unserialize()…

P

• 

  Phishing

  Phishing is een vorm van oplichting waarbij een bericht zich voordoet als afkomstig van een vertrouwde organisatie (bank, hostingprovider, overheid, onlinedienst) om het slachtoffer…

• 

  Privilege-escalatie

  Privilege-escalatie is een aanval waarbij iemand meer rechten krijgt dan hem oorspronkelijk zijn toegekend: een bezoeker wordt beheerder, een abonnee wijzigt de instellingen, een…

R

• 

  Ransomware

  Ransomware (gijzelsoftware) is kwaadaardige software die de toegang tot een systeem blokkeert of de gegevens versleutelt en daarna losgeld eist om ze terug te…

• 

  Remote code execution (RCE)

  Remote code execution (RCE), uitvoering van code op afstand, is een kwetsbaarheid waarmee een aanvaller via het netwerk zijn eigen instructies door een server…

S

• 

  Salting (zouten van wachtwoorden)

  Salting is het toevoegen van een unieke, willekeurige waarde, de salt, aan elk wachtwoord voordat de hash wordt berekend. Twee identieke wachtwoorden leveren zo…

• 

  SQL-injectie

  SQL-injectie is een aanval waarbij stukjes SQL worden meegestuurd in gegevens die naar een site gaan, zodat de query die de site naar zijn…

• 

  SSRF (server-side request forgery)

  Een SSRF-kwetsbaarheid (server-side request forgery, vervalsing van verzoeken aan de serverkant) laat een aanvaller de server verzoeken sturen naar een adres naar keuze: interne…

• 

  Supply-chain-aanval

  Een supply-chain-aanval (aanval op de toeleveringsketen) compromitteert een softwareleverancier, een afhankelijkheid of een updatekanaal om de klanten daarvan te bereiken. De kwaadaardige code komt…

T

• 

  TLS / SSL

  TLS (Transport Layer Security) is het protocol dat het verkeer tussen een browser en een server versleutelt, de integriteit ervan bewaakt en de server…

• 

  TLS-certificaat

  Een TLS-certificaat is een elektronisch bestand dat een domeinnaam koppelt aan een publieke sleutel en is ondertekend door een certificaatautoriteit die browsers vertrouwen. Zo…

• 

  Tweefactorauthenticatie (2FA)

  Tweefactorauthenticatie (2FA) voegt bij het inloggen een tweede bewijs van identiteit toe aan het wachtwoord: een tijdelijke code uit een app, een beveiligingssleutel of…

V

• 

  Virtuele patch (virtual patching)

  Een virtuele patch is een filterregel die het misbruik van één specifieke kwetsbaarheid blokkeert zonder de code van de betreffende software aan te passen.…

W

• 

  WAF (web application firewall)

  Een WAF (web application firewall) is een filter voor een webapplicatie dat elk HTTP-verzoek inspecteert (adres, parameters, headers, inhoud) en de verzoeken blokkeert die…

X

• 

  XML-RPC

  XML-RPC is een protocol om op afstand functies aan te roepen via XML-berichten. In WordPress maakt het bestand xmlrpc.php publiceren vanuit een externe app…

Z

• 

  Zero-day-kwetsbaarheid

  Een zero-day-kwetsbaarheid (ook wel zerodaylek of 0-day) is een beveiligingslek dat aanvallers al misbruiken voordat de maker van de software het heeft gedicht, en…