01Sorun ve çözüm
DAST testi, uygulamanızı kaynak koduna bakmadan, tarayıcının ve bir saldırganın gördüğü yerden sınar. Biz bu taramayı tek seferlik bir rapor olarak değil, oturum açma senaryosu kurulmuş, kapsamı ayarlanmış ve sonuçları ayıklanmış tekrarlanabilir bir iş olarak kuruyoruz. İsterseniz tarama, test ortamına her dağıtımda otomatik çalışacak biçimde geliştirme hattınıza bağlanır.
Devamını okuDaha az göster
Tek seferlik bir değerlendirme ile başlayıp, ilk raporun yanlış alarmlarını temizledikten sonra sürekli taramaya geçmek çoğu ekip için daha az gürültülü bir yoldur.
02Kimler için
DAST testi hangi durumlarda işe yarar
DAST, sık sürüm çıkan ve web arayüzü ya da API sunan her uygulamada değer üretir.
- Haftada birkaç kez canlıya sürüm çıkan ve her sürümde güvenlik açısından geriye gidiş olup olmadığını görmek isteyen ürün ekipleri
- Kaynak koduna erişimi olmayan, uygulamayı bir tedarikçiden hazır olarak almış işletmeler
- Müşteri sözleşmesi ya da ihale şartnamesi gereği düzenli zafiyet taraması kanıtı sunması gereken SaaS firmaları
- SAST ve bağımlılık taraması kurmuş, ama çalışan sistemi hiç sınamamış geliştirme ekipleri
- Tek sayfa uygulama ve REST API ayrımıyla geliştirilmiş, arka ucu ayrı yayınlanan projeler
03İhtiyaçlar
Otomatik taramayı zorlaştıran durumlar
Bir tarayıcıyı adres verip çalıştırmak kolaydır; anlamlı sonuç almak için aşağıdaki engellerin aşılması gerekir.
- 01
Oturumun korunması
Tarayıcı giriş yapamazsa uygulamanın yalnızca giriş sayfasını test eder. Çok adımlı giriş, tek kullanımlık kod veya token yenileme varsa, taramanın oturumu kaybetmeden ilerlemesi için senaryo yazılır.
- 02
JavaScript ağırlıklı arayüzler
Bağlantıları dinamik üreten tek sayfa uygulamalarda klasik tarayıcı sayfaları bulamaz. Gerçek bir tarayıcı motoruyla gezinme ve API tanımının içe aktarılması bu boşluğu kapatır.
- 03
Yan etkili işlemler
Form gönderen bir tarayıcı test ortamında bile binlerce kayıt, e-posta ya da sipariş oluşturabilir. Silme, ödeme ve bildirim uç noktaları kapsam dışı bırakılır veya sahte servislere yönlendirilir.
- 04
Gürültü
Ayarlanmamış bir tarama yüzlerce düşük önemli bulgu üretir ve ekip bir süre sonra raporu açmayı bırakır. Kural seti uygulamanın teknolojisine göre daraltılır, kabul edilen riskler işaretlenip bir sonraki taramada gizlenir.
04Özellikler
DAST testi hizmetinde kurduğumuz yapı
Amaç, ekibinizin her sürümde güvenebileceği ve okumaya değer bulduğu bir tarama düzenidir.
- 01
Kimlik doğrulamalı tarama profili
Her kullanıcı rolü için ayrı test hesabıyla tarama yapılır; yetkisiz bir rolün başka rolün sayfalarına ulaşıp ulaşamadığı da gözlenir.
- 02
API kapsamı
OpenAPI tanımı veya Postman koleksiyonu içe aktarılarak arayüzde görünmeyen uç noktalar da taramaya dahil edilir.
- 03
Elle doğrulanmış ilk rapor
İlk taramanın bulguları tek tek denenir; yanlış alarmlar ayıklanır, gerçek açıklar yeniden üretim adımlarıyla yazılır.
- 04
Hızlı ve derin tarama ayrımı
Her dağıtımda dakikalar içinde biten pasif bir tarama, gece ya da hafta sonu ise saldırı denemeleri içeren tam tarama çalışacak şekilde iki profil kurulur.
05Entegrasyonlar
Geliştirme hattı ve takip araçlarıyla bağlantı
DAST sonuçları ekibin zaten baktığı yere düşmezse kısa sürede unutulur.
- 01
CI/CD platformları
GitHub Actions, GitLab CI, Jenkins veya Azure DevOps hattınıza, test ortamına dağıtım bittikten sonra çalışan bir adım olarak eklenir.
- 02
İş takip araçları
Yeni çıkan yüksek önemli bulgular Jira gibi iş takip aracınızda otomatik kayıt açabilir; aynı bulgu tekrar tekrar kayıt üretmez.
- 03
Kalite kapısı
Belirlediğiniz eşiğin üstünde bir bulgu çıktığında hattı durduracak ya da yalnızca uyaracak kural birlikte kararlaştırılır.
- 04
WAF ve hız sınırları
Taramanın WAF tarafından engellenip boş sonuç vermemesi için test ortamında tarayıcı adresine özel bir istisna tanımlanır; canlıda ise bu istisna açılmaz.
06Süreç
DAST testi hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
DAST araçları ve sınırları
OWASP ZAP gibi açık kaynak tarayıcılar ya da Burp Suite gibi ticari araçlar ihtiyaca ve bütçenize göre seçilir; araç seçiminden çok tarama profilinin nasıl ayarlandığı sonucu belirler. Bulgular OWASP Top 10 kategorileri ve CWE numaralarıyla etiketlenir, böylece SAST ve bağımlılık taraması sonuçlarıyla aynı dilde konuşur.
Devamını okuDaha az göster
DAST, iş mantığı hatalarını ve çok adımlı yetki ihlallerini yakalamakta zayıftır; bir indirimi iki kez uygulamak ya da onay adımını atlamak tarayıcıya sıradan bir istek gibi görünür. Bu nedenle DAST'ı elle yapılan sızma testinin yerine değil, iki test arasındaki boşluğu dolduran sürekli bir kontrol olarak konumlandırıyoruz.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
DAST testi hakkında sık sorulan sorular
DAST ile SAST arasındaki fark nedir?
SAST kaynak kodunu okur ve çalıştırmadan analiz eder; DAST ise yayındaki uygulamaya dışarıdan istek gönderir. SAST bir açığın kodda nerede olduğunu gösterir, DAST ise o açığın çalışan sistemde gerçekten istismar edilebilir olup olmadığını görür.
DAST testi canlı ortamda çalıştırılabilir mi?
Pasif tarama canlıda düşük riskle çalışabilir. Saldırı denemeleri içeren tam tarama ise veri oluşturup sistemi yorabileceği için canlıya yakın bir test ortamında yapılmalıdır.
DAST testi fiyatları hangi etkenlere göre değişir?
Taranacak uygulama ve API sayısı, oturum açma akışının karmaşıklığı, rol sayısı, CI entegrasyonu istenip istenmediği ve ilk raporun elle doğrulanma derinliği belirleyicidir.
Ücretsiz bir tarayıcıyı kendimiz çalıştırsak yetmez mi?
Araç aynı olabilir; fark ayardadır. Oturumu koruyamayan, API'yi görmeyen ya da yanlış alarmları ayıklanmamış bir tarama güven verir ama az şey bulur. Kurulumu bir kez doğru yapıp ekibinize devretmek de seçeneklerden biridir.
Tarama uygulamamızı yavaşlatır mı?
Tam tarama kısa sürede çok sayıda istek gönderir. Eşzamanlı istek sayısı ve hız ayarı ortamın kapasitesine göre sınırlanır, tarama yoğun kullanım saatlerinin dışına planlanır.
DAST testi firması olarak kurulumdan sonra destek veriyor musunuz?
Danışmanlık modeliyle periyodik olarak tarama sonuçlarını birlikte gözden geçirebilir, uygulamaya yeni modül eklendiğinde tarama profilini güncelleyebiliriz.
10İlgili hizmetler