01Sorun ve çözüm
Web uygulaması sızma testi hizmetinde uygulamanızı tarayıcıdan ve doğrudan HTTP istekleri üreterek, farklı kullanıcı rolleriyle ve yazılı izin çerçevesinde deniyoruz. Amaç, geliştirici ekibin bulguyu yeniden üretebileceği ve kodda karşılığını bulabileceği ayrıntıda bir rapor teslim etmektir.
02Kimler için
Web uygulaması sızma testi ne zaman yaptırılmalı
Uygulamanın riski, değiştiği ve dışarıya açıldığı anlarda artar.
- Müşteri portalı, bayi paneli ya da iç kullanım sistemi gibi giriş gerektiren bir uygulamayı canlıya alacak ekipler
- Büyük bir sürüm, yeni ödeme akışı veya yeni kullanıcı rolü ekleyen ürün sahipleri
- Uygulamayı dış bir yazılım firmasına yaptırmış ve teslim aldığı kodun güvenliğini bilmeyen işletmeler
- İhale şartnamesi ya da sözleşmesinde bağımsız güvenlik testi raporu bulunan yazılım tedarikçileri
03İhtiyaçlar
Web uygulamalarında sınanan güvenlik riskleri
Riskler arayüzde değil, sunucunun gelen isteğe nasıl karar verdiğinde ortaya çıkar.
- 01
Kimlik doğrulama ve oturum
Parola sıfırlama, çok adımlı doğrulama, oturum süresi ve çıkıştan sonra oturumun geçersiz kılınması denenir. Zayıf bir sıfırlama akışı bile hesap ele geçirmeye yeter.
- 02
Erişim kontrolü
Adres çubuğundaki bir kimliği değiştirerek başkasının kaydına ya da yönetici sayfasına ulaşılıp ulaşılamadığı her rol için sınanır.
- 03
Girdi işleme
Arama kutusundan dosya yüklemeye kadar kullanıcıdan gelen her veri; SQL enjeksiyonu, betik enjeksiyonu (XSS) ve komut çalıştırma ihtimallerine karşı denenir.
- 04
İş mantığı hataları
Bir adımı atlamak, aynı işlemi iki kez göndermek gibi kurallara uygun ama niyete aykırı kullanımlar otomatik araçlarca bulunamaz; elle denenir.
04Özellikler
Web uygulaması sızma testi kapsamı ve raporu
Çalışma uygulamanın karmaşıklığına göre planlanır, her aşamanın çıktısı yazılıdır.
- 01
Rol bazlı yetkili test
Her kullanıcı rolü için test hesapları kullanılır; giriş yapılmadan görünmeyen işlevler de incelenir. İsterseniz kimlik bilgisiz bir dış bakış da eklenir.
- 02
Yönetim paneli ve dosya işlemleri
Yönetici işlevleri, dosya yükleme ve indirme, dışa ve içe aktarım bölümleri ayrıca ele alınır.
- 03
Tekrarlanabilir bulgular
Her bulguda örnek istek, adım adım yeniden üretim, etkilenen sayfa ve ekran görüntüsü bulunur; geliştirici raporla doğrudan işe başlar.
- 04
Düzeltme sonrası doğrulama
Kapatılan bulgular aynı yöntemle yeniden denenir; hâlâ açık olanlar ve yeni çıkanlar ayrı işaretlenir.
05Entegrasyonlar
Uygulamanın dayandığı yapılar ve testteki yeri
Uygulama boşlukta çalışmaz; veritabanı, kimlik hizmetleri ve dış servisler de risk yüzeyine dahildir.
- 01
Veritabanı ve dosya depolama
Enjeksiyon denemelerinin etkisi, veritabanı hesabının yetkileri ve yüklenen dosyaların saklandığı yer birlikte değerlendirilir.
- 02
Kimlik sağlayıcılar
Tek oturum açma (SSO), sosyal giriş ve çok adımlı doğrulama entegrasyonlarının yapılandırması incelenir.
- 03
WAF ve geliştirme süreci
WAF'ın hangi saldırıları durdurduğu, hangilerini kaçırdığı not edilir; çerez bayrakları ve tarayıcı güvenlik başlıkları kontrol edilir. Bulgular iş takip aracınıza aktarılabilecek biçimde yazılır.
06Süreç
Web uygulaması testi nasıl ilerler
Adım 01
Kapsam ve ortam kararı
Adresler, ortam (test veya canlı), roller, kapsam dışı bölümler ve test saatleri yazılı izne bağlanır.
Adım 02
Uygulama haritalama
Sayfalar, formlar, API çağrıları ve kullanıcı rolleri çıkarılarak saldırı yüzeyi oluşturulur.
Adım 03
Kimlik ve yetki testleri
Giriş, oturum yönetimi ve erişim kontrolü her rol için denenir.
Adım 04
Girdi ve mantık testleri
Formlar, dosya işlemleri ve çok adımlı akışlar enjeksiyon ve kural ihlali açısından sınanır.
Adım 05
Bulgu toplantısı
Kritik bulgular, rapor tamamlanmadan geliştirici ekibe anlatılır ve düzeltmeye başlanabilir.
Adım 06
Yeniden test
Düzeltmeler tamamlandığında aynı senaryolar tekrarlanır ve rapor güncellenir.
07Teknoloji
Web uygulaması sızma testinde yöntem ve standartlar
Test planı OWASP Web Security Testing Guide bölümlerine göre kurulur; bulgular OWASP Top 10 kategorileri ve CWE numaralarıyla eşleştirilir. Uygulamanın kritikliğine göre OWASP ASVS'nin ilgili doğrulama düzeyi hedef seçilebilir.
Devamını okuDaha az göster
Araçlar keşif ve tekrar eden denemelerde kullanılır; zafiyet olarak raporlanan her şey elle doğrulanır, böylece yanlış alarmlar ayıklanır. Canlı ortamda veri silme, toplu e-posta tetikleme ve yoğun yük denemeleri yapılmaz; test için ayrı hesaplar kullanılır, mümkünse canlıya yakın bir test ortamı tercih edilir.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Web uygulaması sızma testi hakkında sık sorulan sorular
Web uygulaması sızma testi firması test ortamında mı canlıda mı çalışmalı?
Mümkünse canlıya çok yakın bir test ortamı tercih edilir; böylece gerçek veri ve kullanıcı deneyimi risk altına girmez. Ortamlar farklı yapılandırılmışsa canlıda sınırlı ve kontrollü bir doğrulama da planlanabilir.
Web uygulaması sızma testi fiyatları neye göre değişir?
Sayfa sayısından çok işlevlerin karmaşıklığı, rol sayısı, kimlik doğrulama biçimi, dosya ve ödeme akışları ile yeniden test ihtiyacı belirleyicidir.
WAF kullanıyorsam test gereksiz olur mu?
Hayır. WAF bazı saldırıları keser ama mantık ve yetki hatalarını çoğunlukla göremez, kuralları da atlatılabilir. Test, WAF'ın arkasındaki uygulamanın kendisini sınar.
Uygulamayı yazan ekip testi kendisi yapabilir mi?
Yapabilir, ancak bağımsız bakış kaybolur; kodu yazan kişi kendi varsayımlarını sorgulamakta zorlanır. Dışarıdan bir test, ekibin göremediği varsayımları açığa çıkarır.
Teste başlamak için hangi bilgiler gerekir?
Uygulamanın adresi ve ortamı, her rol için test hesabı, kapsam dışı bölümler ve bir iletişim kişisi. Bunların hepsi yazılı izin belgesine eklenir; izin kapsamı dışındaki alt alan adlarına geçilmez.
Test sırasında kullanıcı verilerime erişilir mi?
Çalışma test hesaplarıyla yürür. Bir açık üzerinden gerçek kayıtlara ulaşılırsa etkiyi göstermeye yetecek en az veri görüntülenir, kopyalanmaz; kanıt maskelenerek raporlanır ve durum size hemen bildirilir.
10İlgili hizmetler