Güvenlik testi ve OWASP Top 10

Güvenli kod yazdın, peki gerçekten güvenli mi? Bunu bilmenin tek yolu test. Bu sayfa güvenli SDLC’nin doğrulama (verification and validation) ayağı: hangi test tekniği hangi açığı bulur, hangisi neyi kaçırır. İkinci yarıda OWASP Top 10 (2021) var. Sınavda en sık görülen iki tip: “bu teknik ne yapar / hangisi kodu çalıştırmaz” ve “bu senaryo OWASP’ın hangi kategorisi”. Arada precision/recall ya da fuzzing olasılığı gibi küçük hesaplar çıkabilir.

Altın kurallar:

1. Tek teknik yetmez. Statik analiz, dinamik test ve insan incelemesi farklı hataları bulur.
2. Erken test ucuzdur. SAST ve kod inceleme kod yazılırken çalışır.
3. Araç çıktısı ham veridir. Her bulgu doğrulanmalı; false positive gürültü, false negative kör nokta.
4. İzinsiz test yapılmaz. Pentest yazılı izin ve net kapsamla yapılır.
5. OWASP listesini senaryodan tanı. Kategori adını ezberlemek yetmez, örnekle eşleştir.

Güvenlik testi teknikleri

Statik analiz (SAST)

SAST, girdinin geldiği yeri kaynak (source), tehlikeli kullanıldığı yeri çıkış (sink) olarak işaretler ve aradaki yolda temizleme (sanitization) olup olmadığına bakar. Buna taint analysis denir.

String id = request.getParameter("id");              // source: güvenilmeyen
String sql = "SELECT * FROM orders WHERE id = " + id;
stmt.executeQuery(sql);                               // sink: SQL motoru
// SAST uyarısı: tainted data flows from getParameter to executeQuery

Avantajı: henüz çalışan bir sistem gerekmez, her yolu inceler. Dezavantajı: bir değerin gerçekte zararsız olduğunu her zaman anlayamaz, yanlış alarm üretir.

Araç başarısını ölçmek: precision ve recall

Bir araç 60 bulgu raporlasın, 45’i gerçek olsun. Kodda toplam 50 gerçek açık olsun.

$\text{precision} = \frac{TP}{TP+FP} = \frac{45}{60} = 0.75 \qquad \text{recall} = \frac{TP}{TP+FN} = \frac{45}{50} = 0.90$

Güvenlikte false negative daha tehlikelidir (açık canlıya gider), ama çok düşük precision geliştiricinin aracı kapatmasına yol açar. İkisi arasında denge kurulur.

Dinamik analiz (DAST)

DAST çalışan uygulamayı kaynak kodunu görmeden test eder: formları doldurur, parametrelere özel karakterler koyar, yanıtta hata mesajı, yansıyan girdi, eksik güvenlik başlığı (Content-Security-Policy, Strict-Transport-Security) arar. Gerçek ortamı test ettiği için yapılandırma hatalarını görür; ama sadece ulaşabildiği sayfaları test eder. IAST, uygulamanın içine ajan yerleştirerek ikisini birleştirir.

Fuzzing

Fuzzer, programa beklenmedik girdiler verir ve çökme, sonsuz döngü, bellek hatası arar. Özellikle dosya formatı ayrıştırıcıları, ağ protokolleri ve C/C++ kodu için çok etkilidir.

Neden çok girdi gerekir? Bir hata girdi başına $p$ olasılıkla tetikleniyorsa, $n$ bağımsız girdide en az bir kez tetiklenme olasılığı:

$P = 1 - (1-p)^n \approx 1 - e^{-np}$

$p = 10^{-4}$, $n = 10\,000$ için $P \approx 0.6321$. Aynı hatayı yüksek olasılıkla yakalamak için girdi sayısını birkaç kat artırmak gerekir. Coverage-guided fuzzing tam olarak bu $p$‘yi büyütmeye çalışır.

TUZAK · Fuzzing her açığı bulmaz. Çökme üretmeyen hatalar (örn. IDOR, yanlış yetki kontrolü) fuzzer için görünmezdir. Program “doğru” yanıt döner ama başkasının verisini gösterir. Bunlar kod inceleme ve pentestle bulunur.

Penetrasyon testi

Pentest, yetkili bir uzmanın sistemi saldırgan gözüyle ama yazılı izinle ve tanımlı kapsamda test etmesidir. Amaç açığı bulup sahibine raporlamak.

Tipik aşamalar: kapsam ve kurallar (rules of engagement) → bilgi toplama → zafiyet tarama → bulguların kontrollü doğrulanması → raporlama (risk seviyesi ve düzeltme önerisiyle) → düzeltmeden sonra yeniden test. Rapor, testin asıl ürünüdür.

OWASP Top 10 (2021)

OWASP (Open Worldwide Application Security Project) web uygulamalarındaki en kritik risk kategorilerini birkaç yılda bir yayımlar. 2021 listesi:

2017’den 2021’e önemli değişiklikler: Broken Access Control beşinciden birinciye çıktı; XSS ayrı kategori olmaktan çıkıp Injection’a katıldı; Insecure Design, Software and Data Integrity Failures ve SSRF yeni kategoriler olarak eklendi.

İPUCU · Kategoriyi senaryodan bulma. Önce sor: kimlik doğru mu? Doğruysa ama yetkisiz veriye erişiliyorsa A01, kimliğin kendisi sorunluysa A07. Veri yorumlayıcıya kod olarak gidiyorsa A03. Kod değil ayar yanlışsa A05. Açık başkasının kütüphanesindeyse A06. Sunucu kullanıcının verdiği adrese gidiyorsa A10.

Hangi test hangi kategoriyi iyi yakalar? SAST A03’te güçlü, SCA A06’da tam isabet, DAST A05’te iyi. A01 ve A04 çoğunlukla insan işidir: kod inceleme, tehdit modelleme ve pentest.

Sık yapılan hatalar