Kurumsal yığın güvenliği söz konusu olduğunda, yazılım uygulamaları en zayıf halkadır. İçinde Uygulama Güvenliği Durumu, 2020Forrester, harici saldırıların çoğunun ya bir yazılım güvenlik açığından yararlanarak (%42) ya da bir web uygulaması aracılığıyla (%35) gerçekleştiğini söylüyor.
Uygulamalar daha karmaşık hale geldikçe ve geliştirme zaman çizelgeleri daraldıkça geliştiriciler, özellikleri mümkün olan en kısa sürede yayınlama baskısı altındadır. Farklılaştırılmış ve zorlayıcı uygulama işlevselliği elde etmek için geliştiriciler, üçüncü taraf kitaplıklarına giderek daha fazla güvenmektedir.
Açık kaynak bileşenlerine yönelik bu kayma, güvenlik uygulamalar şirketler için daha karmaşıktır. Kapsayıcılar ve API'ler gibi yeni çerçeveler, uygulama güvenliğini daha da karmaşık hale getiriyor.
Geliştiricilerin sürekli olarak yeni özellikler yayınlamaları için baskı altında kalmasıyla birlikte kuruluşlar, ayak uyduramama konusunda çok gerçek bir güvenlik riskiyle karşı karşıyadır. Güvenlik, en iyi uygulama güvenliği uygulamalarını yazılım geliştirme yaşam döngüsüne dahil ederek ve bunları uygulayarak sağlanabilir.
Web Güvenlik Testi Neden Önemlidir?
Web uygulamalarını ve yapılandırmalarını güvenlik açıkları açısından test etmek, Web güvenlik testinin amacıdır. Uygulama katmanı saldırıları (yani, HTTP tabanlı uygulamaları hedefleyen) birincil hedeflerdir.
Hataları kışkırtmak ve beklenmedik şekilde davranmasına neden olmak için bir Web uygulamasına farklı türde girdiler göndermek yaygındır. Bu "negatif testler" olarak adlandırılanlarda, sistem amaçlanmayan davranışlar için denetlenir.
Ayrıca şunu not etmek önemlidir: Web güvenlik testi sadece uygulamada uygulanan güvenlik özelliklerini (örneğin, kimlik doğrulama ve yetkilendirme) test etmekle ilgili değildir.
Diğer özelliklerin (örneğin, iş mantığı ve giriş ve çıkış doğrulaması) güvenli bir şekilde uygulanıp uygulanmadığını test etmek de gereklidir. Web uygulaması işlevlerine güvenli erişim hedeftir.
Güvenlik Testlerinin Farklı Türleri Nelerdir?
- Dinamik Uygulama Güvenlik Testi (DAST). Düzenleyici güvenlik değerlendirmeleriyle uyumluluk için bu otomatikleştirilmiş uygulama güvenlik testi, dahili olarak karşı karşıya olan, düşük riskli uygulamalar için idealdir. Manuel web güvenlik testi ve DAST kombinasyonu, orta riskli uygulamalar ve küçük değişiklikler geçiren kritik uygulamalar için en iyi yaklaşımdır.
- Statik Uygulama Güvenlik Testi (SAST). Uygulama güvenliğine yönelik bu yaklaşım, hem manuel hem de otomatik olarak test eder. Bir uygulama, bir üretim ortamında çalıştırmaya gerek kalmadan bu şekilde test edilebilir. Ayrıca, geliştiricilerin kaynak kodunu tarayarak yazılım güvenlik açıklarını sistematik olarak algılamasına ve ortadan kaldırmasına olanak tanır.
- Penetrasyon Testi. Özellikle büyük değişiklikler geçiren uygulamalar için bu manuel uygulama güvenlik testi idealdir. Değerlendirmeler, gelişmiş saldırı senaryolarını belirlemek için iş mantığını ve rakip tabanlı testleri içerir.
- Çalışma Zamanı Uygulaması Kendini Koruması (RASP). Bir uygulamayı, saldırıların yürütülürken izlenebileceği ve ideal olarak gerçek zamanlı olarak engellenebileceği şekilde denetlemek için uygulama güvenliğine yönelik bu gelişen yaklaşımda bir dizi teknolojik teknik kullanılmaktadır.
Uygulama Güvenliği Testi Kuruluşunuzun Riskini Nasıl Azaltır?
Web Uygulaması Saldırılarının Çoğunluğu
- SQL enjeksiyon tekniği
- Siteler arası komut dosyası çalıştırma (XSS)
- Komutların uzaktan yürütülmesi
- Yol Geçişi
Saldırı Sonuçları
- Kısıtlanmış içerik
- Güvenliği ihlal edilmiş hesaplar
- Kötü amaçlı yazılım yüklemesi
- Gelir kaybı
- Müşteriler güvenini kaybeder
- İtibar hasarı
- Hem de çok daha fazlası
Günümüzün Web ortamı, çok çeşitli sorunlara eğilimlidir. Bir uygulamanın nasıl kötüye kullanılabileceğini bilmenin yanı sıra, saldırının olası sonuçlarını bilmek, şirketinizin güvenlik açıklarını önceden tespit etmesine ve bunları doğru bir şekilde test etmesine yardımcı olacaktır.
Hafifletici kontroller, güvenlik açıklarının temel nedenini belirledikten sonra SDLC'nin ilk aşamalarında uygulanabilir. Ek olarak, bir Web uygulaması güvenlik testi, bu saldırıların bilinen ilgi noktalarını hedef almak için nasıl çalıştığına dair bilgiden yararlanabilir.
Firmanızın riskini yönetmek için, güvenlik açığının toplam ciddiyetini ölçmek için kullanılabileceğinden, bir saldırının etkisini anlamalısınız.
Güvenlik testinin bir sonucu olarak, tespit edilen sorunların önem derecesini belirlemek, düzeltme çabalarına verimli ve etkili bir şekilde öncelik vermenize yardımcı olabilir. Kritik önemdeki sorunlardan başlayarak ve daha düşük etkiye sahip konulara geçerek firmanızın riskini en aza indirin.
Bir sorunu belirlemeden önce firmanızın uygulama kitaplığındaki her uygulamanın potansiyel etki değerlendirmesi, uygulama güvenlik testlerinin önceliklendirilmesine yardımcı olabilir.
Web güvenliği testinde yüksek profilli uygulamalardan oluşan bir liste bulunduğunda, testi önce firmanızın kritik uygulamalarını hedefleyecek şekilde planlayabiliriz, böylece işinize yönelik risk azaltılabilir.
Web Uygulaması Güvenlik Testi Sırasında Hangi Özellikler İncelenmeli?
Web uygulamalarının güvenlik testleri sırasında çeşitli özellikler incelenmelidir, ancak liste ayrıntılı değildir. Kuruluşunuz, her birinin uygun olmayan şekilde uygulanması nedeniyle ciddi risklere maruz kalabilir.
- Uygulama ve sunucu yapılandırması- Kusurlar, şifreleme yapılandırması, Web sunucusu yapılandırmaları vb. ile ilgili olabilir.
- Giriş doğrulama ve hata işleme- SQL enjeksiyonu ve siteler arası komut dosyası çalıştırma (XSS) dahil olmak üzere en yaygın enjeksiyon güvenlik açıkları, yetersiz girdi ve çıktı işlemenin sonucudur.
- Kimlik doğrulama ve oturum yönetimi- Güvenlik açıkları, kullanıcıların kimliğine bürünülmesine neden olabilir. Güçlü bir kimlik bilgisi politikası da gereklidir.
- Yetki- Uygulamanın dikey ve yatay ayrıcalık artışını önleme yeteneğinin doğrulanması.
- İş mantığı- Bu tür bir mantık, çoğu iş uygulaması için gereklidir.
- İstemci tarafı mantığı- Bu tür bir özellik, JavaScript ağırlıklı modern web sitelerinin yanı sıra diğer istemci tarafı teknolojileri (örn. Silverlight, Flash, Java uygulamaları) kullanan web sitelerinde daha yaygın hale gelmektedir.
Web Uygulaması Güvenliği İçin En İyi 10 Uygulama
Aşağıda, kuruluşunuzun halihazırda uygulaması gereken en iyi on uygulama güvenliği uygulaması yer almaktadır.
#1 Varlıklarınızı Takip Edin
Neye sahip olduğunuzu bilmiyorsanız, onu koruyamazsınız.
Belirli sunucuları hangi işlevler veya uygulamalar için kullanıyorsunuz? Hangi web uygulamalarında açık kaynak bileşenleri kullanıyorsunuz?
Varlıklarınızı takip etmenin önemli olmadığını mı düşünüyorsunuz? Her uygulamada hangi yazılımın çalıştığını hatırlamak çok önemlidir - 700 milyondan fazla müşterinin verilerini korumadığı için 145 milyon dolar para cezasına çarptırılan Equifax'a sorun.
Kredi derecelendirme kuruluşunun müşteri web portallarından biri, açık kaynaklı bir bileşen olan Apache Struts'un yamalanmamasından sonra ele geçirildi. Şirket, müşteri portalının güvenlik açığı bulunan açık kaynak bileşenini kullandığının farkında olmadığını söylüyor.
Varlıklarınızı ne kadar erken izlemeye başlarsanız, daha sonra o kadar az baş ağrısı ve felaket yaşarsınız. Kuruluşlar gelişimlerini ölçekledikçe, bu süreç Sisyphean bir görev gibi hissedilebilir.
Ayrıca, işletmenizin işlevleri için kritik öneme sahip olanları ve daha az önemli olanları not ederek varlıklarınızı sınıflandırmanız gerekir. Ardından, tehditleri değerlendirebilir ve daha sonra düzeltebilirsiniz.
#2 Bir Tehdit Değerlendirmesi Gerçekleştirin
Korumanız gerekenlerin bir listesini yaparsanız, karşılaştığınız tehditleri ve bunların nasıl azaltılabileceğini belirleyebilirsiniz.
Bilgisayar korsanları uygulamanıza nasıl girebilir? Mevcut hangi güvenlik önlemlerine sahipsiniz? Hangi ek araçlar gereklidir?
Bu ve diğer soruları tehdit değerlendirmenizin bir parçası olarak yanıtlamalısınız.
Ancak, keyfini çıkarabileceğiniz güvenlik düzeyi konusunda da gerçekçi olmalısınız. Sisteminizi ne kadar güvenli hale getirirseniz getirin, yine de hackleyebilirsiniz. Ayrıca, ekibinizin zaman içinde uygulayabileceği önlemler konusunda dürüst olmanız gerekir.
Çok fazla zorlayarak güvenlik standartlarınızın ve uygulamalarınızın göz ardı edilmesini riske atabilirsiniz. Güvenliği ciddiye alın ve acele etmeyin.
Riskinizi değerlendirmek için aşağıdaki formülü kullanın:
Risk = Saldırı Olasılığı x Saldırı Etkisi.
Risk, sonuçların ciddiyetine karşı bir şeyin olma olasılığı olarak da düşünülebilir.
Bir balina gökten düşerse ve sizi ezerse bir felaket olsa da, bunun olması pek olası değildir.
Öte yandan, bir yürüyüş sırasında sivrisinek ısırığı oldukça olasıdır, ancak birkaç kaşıntılı yumru dışında önemli bir zarara neden olması muhtemel değildir.
#3 Yama Uygulamanızın Üstünde Kalın
İşletim sistemlerinize en son yamaları yüklüyor musunuz? Üçüncü taraf yazılımı mı kullanıyorsunuz? Muhtemelen geride kalıyorsun, yani maruz kalıyorsun.
Yazılımınızın güvenliğini sağlamak için atmanız gereken en önemli adımlardan biri, yazılımı ticari bir satıcıdan veya açık kaynaklı bir topluluktan güncellemektir.
Bir güvenlik açığı keşfedildiğinde ve ürün veya proje sahiplerine sorumlu bir şekilde bildirildiğinde, güvenlik danışma sitelerinde ve WhiteSource Vulnerability Database gibi veritabanlarında yayınlanır.
Mümkünse, yayınlanmadan önce kullanıcılara yazılımlarını güvence altına alma fırsatı veren bir düzeltme oluşturulmalı ve yayınlanmalıdır.
Ancak, bir düzeltme eki kullanıma sunulduğunda uygulamazsanız, geliştirilmiş güvenlikten yararlanamazsınız.
En son sürüme güncellemenin ürününüzü bozabileceğinden endişeleniyorsanız, otomatik araçlar çok yardımcı olabilir. Haftanın herhangi bir günü, uygulama güvenliğine ilişkin en iyi uygulamalarınızın bir parçası olarak güncelleme ve yama uygulamalarına öncelik vermelisiniz.
#4 Konteynerlerinizi Yönetin
Son yıllarda, yazılım geliştirme yaşam döngüsü (SDLC) boyunca bileşenleri çeşitli ortamlarda geliştirme, test etme ve dağıtma sürecini basitleştiren esnekliği nedeniyle daha fazla kuruluş teknolojiyi benimserken, kapsayıcılar popülaritesini artırdı.
Konteynerlerin kendilerine avantaj sağlayan güvenlik avantajları sunduğu genel olarak kabul edilir. Ek olarak, kendi kendine yeten işletim sistemi ortamları nedeniyle, tasarımlarına göre bölümlere ayrılırlar, böylece risk seviyesi düşer.
Yine de konteynerler, izolasyonun kırıldığı bir koparma saldırısı gibi istismarlara karşı savunmasız olmaya devam ediyor. Kapsayıcılar, içinde depolanan kodda bir güvenlik açığı da içerebilir.
CI/CD ardışık düzen güvenliği için, kayıtlarınız da dahil olmak üzere baştan sona güvenlik açıklarını taramalısınız.
Bu taramalara ek olarak, kapsayıcılarla çalışırken uygulama güvenliğine yönelik en iyi uygulamalar, Docker Hub kullanıyorsanız Docker Content Trust veya ekibiniz kullanıyorsa Shared Access Signature gibi araçlarla kendi görüntülerinizi imzalamak gibi önemli görevleri de içerir. Microsoft Azure.
#5 İyileştirme Operasyonlarınıza Öncelik Verin
Son yıllarda artan sayıda güvenlik açığı olmuştur ve bu eğilim yakın zamanda herhangi bir yavaşlama belirtisi göstermiyor.
Sonuç olarak, geliştiriciler iyileştirme ile meşgul. Akıl sağlığını korurken uygulamalarını güvende tutmayı uman ekipler için önceliklendirme çok önemlidir.
Tehdit değerlendirmeleri, bir güvenlik açığının önem derecesine (CVSS derecelendirmesi), etkilenen uygulamanın kritikliğine ve bir dizi başka faktöre göre gerçekleştirilir.
Açık kaynak güvenlik açıkları söz konusu olduğunda, açık kaynak güvenlik açığının özel kodunuzu gerçekten etkileyip etkilemediğini bilmeniz gerekir.
Etkisiz bileşenin CVSS derecesi, ürününüzden çağrı almıyorsa kritik öneme sahip olsa bile etkisizdir ve yüksek bir risk değildir.
Akıllı stratejiler, mevcut faktörlere dayalı olarak en acil tehditlere öncelik veren ve düşük riskli olanları sonraya bırakan stratejilerdir.
#6 Şifrele, Şifrele, Şifrele
OWASP İlk 10, yıllarca bekleyen ve aktarılan verilerin şifrelenmesini içererek, herhangi bir uygulama güvenliği en iyi uygulamaları listesi için bir gereklilik haline geldi.
Ortadaki adam saldırıları ve diğer izinsiz giriş biçimleri, trafiğinizi düzgün bir şekilde kilitlemediğinizde hassas verileri açığa çıkarabilir.
Ne zaman şifreleri saklamak ve düz metin olarak kullanıcı kimlikleri, örneğin, müşterilerinizi riske atarsınız.
Şifreleme için temel kontrol listenizin bir parçası olarak güncellenmiş bir sertifikayla SSL kullandığınızdan emin olun. HTTPS standart olduğu için kendinizi geride bırakmayın. Hashing de önerilir.
Ek olarak, dedikleri gibi asla "kendi kriptonuzu yuvarlamamalısınız". İşi doğru yapma deneyimine sahip özel bir ekip tarafından desteklenen güvenlik ürünlerini düşünün.
#7 Ayrıcalıkları Yönet
Kuruluşunuzdaki herkese her şeye erişim izni vermek zorunda değilsiniz. Uygulamalara ve verilere yalnızca ağ güvenliği en iyi uygulamaları ve uygulama güvenliği en iyi uygulamaları izlenerek ihtiyaç duyanlar erişebilir.
Bunun iki nedeni var. Yapmanız gereken ilk şey, bir bilgisayar korsanının finans veya hukuk gibi daha hassas verileri içeren bir sisteme erişmek için pazarlama kimlik bilgilerini kullanmasını engellemektir.
Bir dizüstü bilgisayarı kaybetmek veya bir e-postaya yanlış eki göndermek gibi kasıtsız veya kötü niyetli olsun, içeriden gelen tehditler de bir endişe kaynağıdır.
En Az Ayrıcalık İlkesi, çalışanlara yalnızca veriye erişim söz konusu olduğunda ihtiyaç duydukları verileri sağlama ilkesi, hiçbir kontrol olmamasına kıyasla riskinizi azaltabilir.
#8 Güvenlik Açığı Yönetiminiz için Otomasyonu Kucaklayın
Uygulamalarının güvenliği, özellikle güvenlik açığı yönetimi gibi görevler söz konusu olduğunda, geliştiriciler için son birkaç yılda giderek daha önemli hale geldi.
Güvenliğin sola kaymasını ele almak için geliştirici ekipleri, güvenlik açıklarını düzeltmenin daha kolay ve daha ucuz olduğu geliştirme sürecinin başlarında, güvenlik kontrollerinin çoğunu erken ve sık sık test ediyor.
Çok sayıda güvenlik açığı nedeniyle hantal test sürecini yönetmek için geliştiriciler otomatik araçlara ihtiyaç duyar.
Tescilli kodunuzdaki olası güvenlik açıklarını bulmak için geliştirme sırasında statik uygulama güvenlik testi (SAST) ve dinamik uygulama güvenlik testi (DAST) kullanılabilir.
Güvenlik açıkları, SAST'ler ve DAST'lerle kapatılır, ancak özel kod, genel kodunuzun nispeten küçük bir bölümünü oluşturur.
Tüm modern uygulamaların %92'sinden fazlasında, açık kaynaklı bileşenler kod tabanınızın %60-80'ini oluşturur. Uygulama güvenliği kontrol listeniz, açık kaynak bileşenlerinin güvenliğini sağlamaya öncelik vermelidir.
Ekipler, yazılım bileşimi analiz araçlarını kullanarak SDLC genelinde otomatik güvenlik kontrolleri ve raporları çalıştırarak ortamlarındaki her bir açık kaynak bileşenini tanımlayabilir ve bunlardan hangisinin uygulamalarınız için güvenlik riski oluşturan bilinen bir güvenlik açığına sahip olduğunu gösterebilir.
Açık kaynak güvenlik sorunları için otomatik testinizi sola kaydırarak güvenlik açıklarınızı daha iyi yönetebilirsiniz.
#9 Sızma Testi
Otomatik araçlar güvenlik sorunlarının büyük çoğunluğunu yakalamaya yardımcı olsa da, en iyi uygulama güvenliği en iyi uygulamaları listesi, kalem testinden bahsetmeden eksik kalacaktır.
Kalem ve kağıtla test etmek, zayıflıkları bulmak için uygulamanızı dürtmenize ve teşvik etmenize olanak tanır. Kararlı bir bilgisayar korsanı uygulamanıza girmeye çalışırsa, iyi kalem test uzmanları tam olarak hangi adımları atmaları gerektiğini bilir.
Hacking firmaları işe alınabilir veya serbest çalışanlar BugCrowd ve HackerOne gibi hata ödül programlarına katılabilir. Henüz yapmadıysanız, şirketiniz bir hata ödülüne sponsor olmalıdır.
Kalem testçileri işe alırsanız, gerçek bir ihlalin sonuçlarıyla uğraşmaktansa onlar için ödeme yapmak çok daha iyidir.
#10 Jetonlara Dikkat Edin
Bunun sağlanması kolay olmasına rağmen, birçok geliştirici tokenlerini üçüncü taraflar için uygun şekilde güvenceye almıyor.
Popüler geliştirici web sitelerinde arama yaparak, güvenli olmayan belirteçleri çevrimiçi olarak kolayca bulabilirsiniz. Geliştiriciler, belirteç ayrıntılarını başka bir yerde depolamak yerine, bunları açık kaynak havuzlarına dahil eder.
Temel bir uygulama güvenliği en iyi uygulaması, üçüncü taraf belirteçlerinizi uygun şekilde güvenceye almaktır. Satın aldığınız jetonları kimsenin alması için kodunuzda ortalıkta bırakmamalısınız.
Temel Uygulamalar Olarak Uygulama Güvenliği En İyi Uygulamaları
Burada özetlenen en iyi uygulamaların her biri, kuruluşunuzun sürekli gelişim sürecine entegre edilmelidir. Riski en aza indirmezseniz, şirketinizin uygulamaları ve verileri risk altındadır. Riski en aza indirmek için bu adımları izleyin.
Başkalarının yapma olasılığı yüksek olan hatalardan kaçınmak, bilgisayar korsanlarından bir adım önde olmanın bir yoludur, bu nedenle saldırıları hedeflemek daha zordur. Hiçbir zaman tamamen hacklenmeyen bir çevre veya uygulama güvenlik önlemi olmayacak.
Bununla birlikte, bu temel en iyi uygulamaları takip etmek, uygulamanızı bilgisayar korsanları için zahmete değmeyecek şekilde tutmak için uzun bir yol kat edebilir.
