Web Uygulama Güvenlik Testi: OWASP Top 10 Rehberi
OWASP Top 10 nedir?
OWASP (Open Worldwide Application Security Project), uygulama güvenliği üzerine çalışan kâr amacı gütmeyen bir topluluktur. Top 10 listesi gerçek dünya verilerine dayanarak en sık görülen ve en çok zarar veren risk kategorilerini sıralar. Bu yazıda 2021 sürümündeki kategorileri temel alıyoruz.
On kategori ve test yaklaşımı
- Bozuk erişim kontrolü: Farklı rollerdeki hesaplarla aynı kayıtlara ve yönetim uç noktalarına erişim denenir; URL'deki ID değerleri değiştirilir.
- Kriptografik hatalar: TLS yapılandırması, parola saklama yöntemi ve çerez bayrakları incelenir.
- Enjeksiyon: SQL, komut enjeksiyonu ve XSS için tüm girdi noktaları denenir.
- Güvensiz tasarım: İş akışları kötüye kullanım senaryolarıyla incelenir; örneğin sınırsız şifre sıfırlama denemesi.
- Yanlış yapılandırma: Dizin listeleme, varsayılan hesaplar, ayrıntılı hata mesajları kontrol edilir.
- Güncel olmayan bileşenler: Bağımlılıklar CVE veritabanlarıyla karşılaştırılır.
- Kimlik doğrulama hataları: Hesap kilitleme, oturum süresi ve çıkışta oturum sonlandırma denenir.
- Yazılım ve veri bütünlüğü: Güncelleme ve CI/CD süreçleri, güvensiz serileştirme incelenir.
- Loglama ve izleme eksikliği: Kritik olayların kaydedilip alarm üretip üretmediğine bakılır.
- SSRF: URL alan parametreler iç ağ adresleriyle denenir.
Listenin ötesi
Top 10 bir farkındalık belgesidir, eksiksiz bir test standardı değildir. Kapsamlı test için OWASP WSTG ve ASVS daha ayrıntılı kontrol listeleri sunar. Ayrıca her uygulamanın kendine özgü iş mantığı riskleri vardır: kupon kodunun birden fazla kullanılması veya fiyatın istemci tarafında değiştirilebilmesi gibi.
Geliştirme ekibi için öneriler
- Yetki kontrolünü her istekte sunucu tarafında yapın
- Tüm sorgularda parametreli sorgu kullanın
- Kullanıcı girdisini çıktıya yazarken bağlama uygun kodlayın
- Bağımlılıkları düzenli tarayın ve güncelleyin
- Güvenlik testini sürüm sürecinin parçası yapın
Sonuç
Web uygulamanızın OWASP Top 10 ve iş mantığı risklerine karşı test edilmesi için siber güvenlik testleri hizmetimize göz atabilir veya teklif alabilirsiniz.