OWASP Top 10 2025 Eğitimi

A01:2025 - Kırık Erişim Denetimi
A02:2025 - Güvenlik Yanlış Yapılandırması
A03:2025 - Yazılım Tedarik Zinciri Başarısızlıkları
A04:2025 - Kriptografik Başarısızlıklar
A05:2025 - Enjeksiyon
A06:2025 - Güvenliksiz Tasarım
A07:2025 - Kimlik Doğrulama Başarısızlıkları
A08:2025 - Yazılım veya Veri Bütünlüğü Başarısızlıkları
A09:2025 - Güvenlik Kaydı ve Uyarı Başarısızlıkları
A10:2025 - Olağandışı Koşulların Yanlış Yönetimi

A01:2025 Kırık Erişim Denetimi - Erişim denetimi, kullanıcıların planlanan izinlerinin dışında işlem yapmasını engellemek üzere bir politikayı uygular. Başarısızlıklar genellikle yetkisiz bilgi ifşası, tüm verilerin değiştirilmesi veya yok edilmesi ya da kullanıcının sınırları dışında işlevlerin yerine getirilmesine yol açar.

A02:2025 Güvenlik Yanlış Yapılandırması - Güvenlik yanlış yapılandırması; bir sistem, uygulama veya bulut hizmetinin güvenlik açısından hatalı bir şekilde yapılandırılmasıdır ve bu durum açıklar yaratır.

A03:2025 Yazılım Tedarik Zinciri Başarısızlıkları - Yazılım tedarik zinciri başarısızlıkları, yazılımın oluşturulması, dağıtılması veya güncellenmesi süreçlerindeki kesintilerdir. Genellikle sistemin bağımlı olduğu üçüncü taraf kod, araçlar veya diğer bağımlılıklardaki açıklar veya kötü niyetli değişiklikler nedeniyle oluşur.

A04:2025 Kriptografik Başarısızlıklar - Genel olarak, iletim halindeki tüm verilerin taşıma katmanında (OSI 4. katman) şifrelenmesi gerekir. CPU performansı ve özel anahtar/sertifika yönetimi gibi önceki engeller, şimdi şifrelemeyi hızlandırmak için özel talimatlara sahip CPU'lar (örneğin: AES desteği) ve LetsEncrypt.org gibi hizmetler tarafından basitleştirilmiş özel anahtar ve sertifika yönetimiyle ele alınmaktadır; büyük bulut sağlayıcıları da kendi platformları için daha sıkı entegre sertifika yönetimi hizmetleri sunmaktadır. Taşıma katmanını güvence altına almanın ötesinde, kaydedilen verilerin ve iletim sırasında ek şifrelemeye (uygulama katmanı, OSI 7. katman) ihtiyaç duyan verilerin belirlenmesi önemlidir. Örneğin, şifreler, kredi kartı numaraları, sağlık kayıtları, kişisel bilgiler ve işletme sırları, özellikle AB'nin Genel Veri Koruma Tüzüğü (GDPR) veya PCI Veri Güvenliği Standardı (PCI DSS) gibi gizlilik yasalarına veya düzenlemelerine tabiyse ek koruma gerektirir.

A05:2025 Enjeksiyon - Enjeksiyon açığı, saldırganların kötü niyetli kodları veya komutları (SQL veya shell kodu gibi) programın girdi alanlarına yerleştirmesine izin veren bir sistem kusurudur; bu, sistemin bu kodu veya komutu sistemin bir parçasıymış gibi çalıştırmasına neden olur. Bu durum son derece ciddi sonuçlara yol açabilir.

A06:2025 Güvenliksiz Tasarım - Güvenliksiz tasarım, "eksik veya etkisiz kontrol tasarımı" olarak ifade edilen farklı zayıflıkları temsil eden geniş bir kategoridir. Güvenliksiz tasarım, diğer tüm Top 10 risk kategorilerinin kaynağı değildir. Not edilmelidir ki, güvenliksiz tasarım ile güvenliksiz uygulama arasında fark vardır. Tasarım kusurlarını ve uygulama hatalarını ayrı tutmamızın bir nedeni var; kökenleri farklıdır, geliştirme sürecinde farklı zamanlarda ortaya çıkar ve farklı düzeltme yöntemleri gerektirir. Güvenli bir tasarım bile, istismar edilebilecek açıklara yol açan uygulama hataları içerebilir. Güvenliksiz tasarım, mükemmel bir uygulama ile düzeltilemez çünkü belirli saldırılara karşı savunma için gerekli güvenlik kontrolleri hiç oluşturulmamıştır. Güvenliksiz tasarıma katkıda bulunan faktörlerden biri, geliştirilen yazılım veya sistemdeki iş riski profilleme eksikliği ve bunun sonucunda gerekli güvenlik tasarım seviyesinin belirlenememesidir.

A07:2025 Kimlik Doğrulama Başarısızlıkları - Saldırgan, bir sisteme geçersiz veya hatalı bir kullanıcıyı meşru olarak tanıtmayı başarabildiğinde, bu açığı içerir.

A08:2025 Yazılım veya Veri Bütünlüğü Başarısızlıkları - Yazılım ve veri bütünlüğü başarısızlıkları, güvenilir olmayan veya güvensiz kodun/verinin güvenilir ve geçerli olarak ele alınmasını engelleyemeyen kod ve altyapı ile ilgilidir. Bunun bir örneği, bir uygulamanın güvensiz kaynaklardan, depolardan veya içerik dağıtım ağlarından (CDN) gelen eklentilere, kütüphanelere veya modüllere güvenmesidir. Yazılım bütünlüğü kontrolleri tüketmeyen ve sağlamayan güvensiz bir CI/CD hattı, yetkisiz erişim, güvensiz veya zararlı kod ya da sistem istismarı olasılığını getirebilir. Bir başka örnek de, CI/CD hattının güvensiz yerlerden kod veya eserleri çekmesi ve bunları kullanmadan önce doğrulamaması (imzayı kontrol etme veya benzer mekanizmalarla) durumudur.  

A09:2025 Güvenlik Kaydı ve Uyarı Başarısızlıkları  - Kayıt tutma ve izleme olmadan, saldırılar ve ihlaller tespit edilemez ve uyarı olmadan, bir güvenlik olayı sırasında hızlı ve etkili bir şekilde tepki vermek çok zordur. Aktif yanıtları başlatmak için yeterli kayıt tutma, sürekli izleme, algılama ve uyarı her zaman gerçekleşmez

A10:2025 Olağandışı Koşulların Yanlış Yönetimi - Yazılımda olağandışı koşulların yanlış yönetilmesi, programların alışılmadık ve öngörülemeyen durumları önlemeyi, tespit etmeyi ve bunlara yanıt verememesi durumunda meydana gelir; bu durum çökmeler, beklenmedik davranışlar ve bazen açıklara yol açar. Bu, aşağıdaki üç başarısızlıktan biri veya birkaçını içerebilir: uygulama alışılmadık bir durumun gerçekleşmesini önlemez, durum gerçekleşirken bunu tanımlamaz ve/veya durumun ardından durumu kötü veya hiç yanıt vermez.

Aşağıdaki konuların pratik yönlerini tartışacak ve sunacağız:

Kırık Erişim Denetimi
- Kırık erişim denetiminin pratik örnekleri
- Güvenli erişim denetimi ve en iyi uygulamalar

Güvenlik Yanlış Yapılandırması
- Yanlış yapılandırmanın gerçek dünya örnekleri
- Yanlış yapılandırmayı önleme adımları, yapılandırma yönetimi ve otomasyon araçları dahil

Kriptografik Başarısızlıklar
- Zayıf şifreleme algoritmaları veya uygunsuz anahtar yönetimi gibi kriptografik başarısızlıkların detaylı analizi
- Güçlü kriptografik mekanizmaların, güvenli protokollerin (SSL/TLS) ve web güvenliğinde modern kriptografinin önemi ve örnekleri

Enjeksiyon Saldırıları
- SQL, NoSQL, OS ve LDAP enjeksiyonunun detaylı analizi
- Hazırlanmış ifadeler, parametreli sorgular ve girdileri kaçırma kullanılarak azaltma teknikleri

Güvenliksiz Tasarım
- Açıklara yol açabilecek tasarım kusurlarını, örneğin uygunsuz girdi doğrulaması gibi, keşfedeceğiz
- Güvenli mimari ve güvenli tasarım ilkeleri için stratejileri inceleyeceğiz

Kimlik Doğrulama Başarısızlıkları
- Yaygın kimlik doğrulama sorunları
- Çok faktörlü kimlik doğrulama ve uygun oturum yönetimi gibi güvenli kimlik doğrulama stratejileri

Yazılım ve Veri Bütünlüğü Başarısızlıkları
- Güvenilmeyen yazılım güncellemeleri ve veri tahrifatı gibi sorunlara odaklanma
- Güvenli güncelleme mekanizmaları ve veri bütünlüğü kontrolleri

Güvenlik Kaydı ve İzleme Başarısızlıkları
- Güvenlik açısından önemli bilgilerin kayda alınmasının ve şüpheli faaliyetlerin izlenmesinin önemi
- İhlalleri erken tespit etmek için uygun kayıt tutma ve gerçek zamanlı izleme için araçlar ve uygulamalar