Uygulama Güvenliği Testleri: OWASP Top 10, SAST, DAST ve SCA Eğitimi

A01:2025 – Kırık Erişim Kontrolü

Erişim kontrolü, kullanıcıların belirlediği izinlerin dışında hareket edememesini sağlayan bir politika uygulamasıdır. Bu alandaki zafiyetler genellikle yetkisiz bilgi ifşası, tüm verilerin değiştirilmesi veya yok edilmesi ya da kullanıcı yetkilerinin ötesinde işlevlerin gerçekleştirilmesine yol açar.

Uygulamalı Yönler

• Kırık erişim kontrolünün uygulamalı örnekleri

• Güvenli erişim kontrolleri ve en iyi uygulamalar

A02:2025 – Güvenlik Yanlış Yapılandırması

Güvenlik yanlış yapılandırması; bir sistemin, uygulamanın veya bulut hizmetinin güvenlik açısından yanlış kurulması ve zafiyetler yaratmasıdır.

Uygulamalı Yönler

• Yanlış yapılandırmaların gerçek dünya örnekleri

• Yanlış yapılandırmayı önleme adımları, yapılandırma yönetimi ve otomasyon araçları dahil

A03:2025 – Yazılım Tedarik Zinciri Kırılmaları

Yazılım tedarik zinciri kırılmaları; yazılımın oluşturulma, dağıtılma veya güncellenme süreçlerindeki aksaklıkları veya diğer ihlalleri ifade eder. Bunlar genellikle sistemin bağımlı olduğu üçüncü taraf kodlarındaki, araçlardaki veya diğer bağımlılıklardaki zafiyetler veya kötü niyetli değişikliklerden kaynaklanır.

A04:2025 – Kriptografik Kırılmalar

Genel olarak, iletimdeki tüm verilerin iletim katmanında (OSI katmanı 4) şifrelenmesi gerekmektedir. İşlemci performansı ve özel anahtar/sertifika yönetimi gibi eski engeller, artık şifrelemeyi hızlandırmak için tasarlanmış komutlara sahip işlemciler (ör. AES desteği) ve LetsEncrypt.org gibi hizmetlerin özel anahtar ve sertifika yönetimini basitleştirmesiyle ele alınmaktadır; ayrıca büyük bulut sağlayıcıları, platformlarına özgü daha entegre sertifika yönetimi hizmetleri sunmaktadır.

İletim katmanını güvence altına almanın ötesinde, dinlenme halindeki hangi verilerin şifrelenmesi gerektiğini ve iletim sırasında (uygulama katmanında, OSI katmanı 7) ek şifreleme gerektiren verileri belirlemek önemlidir.

Örneğin; şifreler, kredi kartı numaraları, sağlık kayıtları, kişisel bilgiler ve ticari sırlar, özellikle bu veriler AB'nin Genel Veri Koruma Tüzüğü (GDPR) gibi gizlilik yasaları veya PCI Veri Güvenliği Standardı (PCI DSS) gibi düzenlemeler kapsamında ise ekstra koruma gerektirir.

Uygulamalı Yönler

• Zayıf şifreleme algoritmaları veya uygun olmayan anahtar yönetimi gibi kriptografik kırılmaların detaylı analizi

• Güçlü kriptografik mekanizmaların, güvenli protokollerin (SSL/TLS) ve web güvenliğinde modern kriptografi örneklerinin önemi

A05:2025 – Enjeksiyon

Enjeksiyon zafiyeti; saldırganın, bir programın giriş alanlarına kötü niyetli kod veya komutları (SQL veya shell kodu gibi) enjekte etmesine izin veren ve sistemin bu kodu veya komutu sistemin bir parçasıymış gibi çalıştırmasına neden olan bir sistem kusurdur. Bu durum çok ciddi sonuçlara yol açabilir.

Uygulamalı Yönler

• SQL, NoSQL, OS ve LDAP enjeksiyonunun detaylı analizi

• Hazırlanmış ifadeler, parametreli sorgular ve giriş kaçışlarıyla önleme teknikleri

A06:2025 – Güvensiz Tasarım

Güvensiz tasarım, "eksik veya etkisiz kontrol tasarımı" olarak ifade edilen farklı zayıflıkları temsil eden geniş bir kategoridir.

Güvensiz tasarım, Top Ten risk kategorilerinin hepsinin kaynağı değildir. Güvensiz tasarım ile güvensiz uygulama arasında bir fark vardır. Tasarım kusurları ile uygulama hatalarını belirli bir nedenle ayırıyoruz; çünkü bunların farklı kök nedenleri vardır, geliştirme sürecinde farklı zamanlarda ortaya çıkarlar ve farklı giderme yöntemleri gerektirirler.

Güvenli bir tasarımda bile istismar edilebilecek zafiyetlere yol açan uygulama hataları olabilir. Ancak güvensiz bir tasarım, mükemmel bir uygulamayla düzeltilemez; çünkü belirli saldırılara karşı savunma için gerekli güvenlik kontrolleri hiç oluşturulmamış demektir.

Güvensiz tasarıma yol açan faktörlerden biri, geliştirilen yazılımın veya sistemin doğasında var olan iş riskinin profilleştirilmesinin eksikliğidir; bu da gerekli güvenlik tasarım seviyesinin belirlenememesine neden olur.

Uygulamalı Yönler

• Zafiyetlere yol açabilecek tasarım kusurlarının, örneğin uygun olmayan giriş doğrulamasının keşfedileceği

• Güvenli mimari ve güvenli tasarım ilkelerine ilişkin stratejilerin inceleneceği

A07:2025 – Kimlik Doğrulama Kırılmaları

Geçersiz veya yanlış bir kullanıcının, bir saldırgan tarafından sisteme yetkili bir kullanıcıymış gibi kabul ettirilmesine izin veren bir zafiyettir.

Uygulamalı Yönler

• Yaygın kimlik doğrulama sorunları

• Çok faktörlü kimlik doğrulama ve uygun oturum yönetimi gibi güvenli kimlik doğrulama stratejileri

A08:2025 – Yazılım veya Veri Bütünlüğü Kırılmaları

Yazılım ve veri bütünlüğü kırılmaları, geçersiz veya güvenilir olmayan kod veya verilerin güvenilir ve geçerli kabul edilmesine karşı koruma sağlamayan kod ve altyapıyla ilgilidir.

Bunun bir örneği, bir uygulamanın güvenilir olmayan kaynaklardan, depolardan veya içerik dağıtım ağlarından (CDN) gelen eklentilere, kütüphanelere veya modüllere bağımlı olmasıdır.

Yazılım bütünlüğü kontrollerini tüketmeyen veya sağlamayan güvensiz bir CI/CD hattı, yetkisiz erişime, güvensiz veya kötü niyetli koda veya sistem ihlaline yol açabilir.

Bunun bir başka örneği, güvenilir olmayan yerlerden kod veya ürünleri çeken ve/veya kullanım öncesinde (imzayı veya benzer bir mekanizmayı kontrol ederek) doğrulamayan bir CI/CD hattıdır.

Uygulamalı Yönler

• Güvenilir olmayan yazılım güncellemeleri ve veri karıştırmaları gibi sorunlara odaklanılacak

• Güvenli güncelleme mekanizmaları ve veri bütünlüğü kontrolleri

A09:2025 – Güvenlik Kayıt Tutma ve Uyarı Kırılmaları

Kayıt tutma ve izleme olmadan saldırılar ve ihlaller tespit edilemez ve uyarı mekanizması olmadan, bir güvenlik olayı sırasında hızlı ve etkili bir şekilde yanıt vermek çok zordur.

Aktif yanıtları başlatmak için yetersiz kayıt tutma, sürekli izleme, tespit ve uyarı durumları her zaman ortaya çıkabilir.

Uygulamalı Yönler

• Güvenlikle ilgili bilgilerin kaydedilmesi ve şüpheli faaliyetlerin izlenmesinin önemi

• İhlalleri erken aşamada tespit etmek için doğru kayıt tutma ve gerçek zamanlı izleme araçları ve uygulamaları

A10:2025 – İstisnai Koşulların Yanlış Yönetimi

Yazılımda istisnai koşulların yanlış yönetilmesi; programların alışılmadık ve öngörülemeyen durumlardan önleme, tespit etme ve yanıt vermede başarısız olması ve bunun da çökmelere, beklenmedik davranışlara ve bazen zafiyetlere yol açmasıdır.

Bu durum aşağıdaki 3 başarısızlıktan birini veya daha fazlasını içerebilir:

• Uygulama, alışılmadık bir durumun gerçekleşmesini önleyemez

• Durum gerçekleşirken bu durumu tanıyamaz

• Durum sonrasında buna kötü veya hiç yanıt vermez

SAST – Statik Uygulama Güvenliği Testi

1. Statik analizin ne olduğu ve SDLC'de ne zaman çalıştırılması gerektiği (shift left)

2. SAST ile tespit edilebilen zafiyet türleri, zafiyetli kod ile güvenli kod

3. SAST araçları genel bakış (ör. Semgrep, SonarQube, Checkmarx, istemci yığınına göre)

4. Uygulamalı çalışma: Kasıtlı olarak zafiyetler eklenmiş bir depoda SAST taraması çalıştırma, sonuçları yorumlama, yanlış pozitifleri gerçek zafiyetlerden ayırma

DAST – Dinamik Uygulama Güvenliği Testi

1. SAST ile DAST arasındaki fark, çalışan uygulama üzerinde siyah kutu testi

2. DAST tarama akışı, tarama (crawling), bulanıklık (fuzzing), yanıt analizi

3. DAST araçları genel bakış (ör. OWASP ZAP, Burp Suite)

4. Uygulamalı çalışma: Zafiyetli bir test uygulamasında (ör. OWASP Juice Shop) DAST taraması çalıştırma, bulguları belirleme ve doğrulama

SCA – Yazılım Bileşen Analizi

1. Üçüncü taraf bağımlılıkların ve kütüphanelerin riski, miras alınan zafiyetler

2. SBOM, Yazılım Malzeme Listesi, ne olduğu ve neden önemli olduğu

3. SCA araçları genel bakış (ör. Dependency Check, Snyk, GitHub Dependabot)

4. Uygulamalı çalışma: Gerçek bir projede SCA taraması çalıştırma, zafiyetli bağımlılıkları belirleme ve bir giderme planı oluşturma (güncelle, yama uygula, azalt)