SİBER GÜVENLİK WEB UYGULAMALARI VE GÜVENLİK MOBİL UYGULAMALARI VE GÜVENLİK

WEB UYGULAMALARI VE GÜVENLİK internet geliştirildikten sonra web sitelerine ihtiyaç duyuldu. Eskiden bir web sitesi oluşturmak zordu. Web uygulaması geliştirmeyi eğitimli kişiler dışında bilenler yoktu. Günümüze gelindiğinde bir web uygulaması geliştirmek artık daha da kolaylaştı. Wordpress, Joomla, Wix, Woocommerce, Magento gibi hazır CMS’ler web uygulamalarına örnek…

WEB UYGULAMALARI VE GÜVENLİK Web Uygulamalarının Geliştirilmesi Web uygulaması geliştirme kronolojisine baktığımız zaman, eskiden çok az topluluk tarafından web uygulamaları geliştirme, günümüze geldiğimiz zaman ise birçok kişi tarafından geliştirilmeye başlandı. Fakat bir web uygulaması geliştirildiği zaman güvenlik önlemlerinin alınması da arka planda kaldı. Bir web uygulaması geliştiren bir kişi dikkatsizliği veya bilmediği noktaları olduğu için geliştirmiş olduğu web uygulamasında güvenlik açıklarını kapatamamaktadır.

WEB UYGULAMALARI VE GÜVENLİK Güvenlik Açıklarına Müdahale ve Önlemler Güvenlik açıklan kapatılamadığı zaman ilerleyen zamanlarda bu açıklar, hem uygulamayı geliştiren kişiye hem de uygulamayı kullanan kişilere maddi ve manevi olarak büyük zararlar vermektedir. Bu yüzden direkt olarak bir web uygulaması geliştirmeye başlamak yerine, ilk olarak hangi web uygulama dilinde uzman olduğumuzu öğrenmemiz ve bu uygulama dilinde güvenlik açıklarına hangi seviyeye kadar müdahale edebileceğimizi bilmemiz gerekmektedir.

WEB UYGULAMALARI VE GÜVENLİK Güvenlik Açıklarına Müdahale ve Önlemler Eski veya yeni fark etmeden, günümüze kadar geliştirilen web uygulamalarında mutlaka açıklar bulunmaktadır. Bilgisayar ortamında güvenlik açığı olmadan bir uygulama geliştirmek henüz mümkün olmamıştır. Bir zamanlar Web Sitelerinde popüler olan Flash uygulaması veya Flash tabanlı web siteleri. Flash uygulamasının güvenlik açıkları ve kaynakları verimsiz kullanışı ayrıca HTML yazılımının gelişmesi ile 12 Ağustos 2012’de bu uygulamaya destek durdurulmuştur. Günümüzde birçok web tarayıcısının Flash özelliği kapalı olarak gelmektedir. 2020’de Flash’ın internetten tamamen silineceği söylenmektedir.

WEB UYGULAMALARI VE GÜVENLİK Güvenlik Açıklarına Müdahale ve Önlemler Web tabanlı uygulamalar internette veya local bir ağda yayınlanmadan önce mutlaka oluşabilecek hatalara karşı analiz edilmeli ve test sürecinden geçmelidir. Gerekirse test aşamasında Alfa veya Beta sürümleri yayınlanabilir. Google’ın gmail, mail uygulamasının yıllarca beta sürümünde kalmasının nedenlerinden biri uygulamayı kullanan kişilerin tamamlanmamış beta yazılımın çıkabilecek sorunları kabul ederek kullanması gibi… Örnek olarak sunucu üzerinde ki tüm mailleriniz beta versiyonda silinebilir gibi…. Penetrasyon Testleri yazılımın Release Date’i için önemli

WEB UYGULAMALARI VE GÜVENLİK Güvenlik Açıklarına Müdahale ve Önlemler Web tabanlı olan uygulama ve web sitelerinde yazılımlar hiçbir zaman tamamen güvenli denilemez ne kadar güvenlik üst seviyelere getirilse de her zaman bir güvenlik açığı oluşacaktır. Bu durumun asıl nedeni yazılımların ve yazılım standartlarının sürekli gelişmesidir. Web tabanlı bir yazılım veya web sitesinin güvenlik açıklarına karşı koruyabilmenin en verimli yolu yazılımın kodların, standartlara göre sürekli güncellenmesi ve çıkabilecek hatalara karşı sürekli olarak çeşitli penetrasyon testlerinden geçirilmesi gereklidir.

WEB UYGULAMALARI VE GÜVENLİK Güvenlik Açıklarına Müdahale ve Önlemler Penetrasyon testlerinde yazılımlarda çeşitli buglar aranır. Sözcük anlamı böcek olan bug internet ortamında sistem zayıflıklarını ifade etmektedir. Büyük web tabanlı projelerde projeyi yazan yazılımcılar ve test yazılımcıları olarak ikiye ayrılır. Software Developer ve Test Developer olarak. Software Developer yani yazılımcılar asıl projenin mimarisini ve yazılımını yaparken, Test Developer veya Researcherlar yazılan yazılımda çeşitli Penetrasyon toolları kullanarak sistemin zayıflıklarını ve hatalarını bulmaya çalışırlar. Major, Minor, Critical Bug, Huawei örnek.

WEB UYGULAMALARI VE GÜVENLİK Güvenlik Açıklarına Müdahale ve Önlemler Bug Researcher’lar ikiye ayrılmaktadır. İyi niyetli olanlar Kötü niyetli olanlar Beyaz şapkalı ve siyah şapkalı hackerlar’da diyebiliriz. Kötü niyetli bug researcher’lar ilk olarak sistemlerdeki en çok bilinen hataları bulmayı hedefler. Bilinen hatalar ile sistemi sabote etmek veya sistem açıklarını kullanmak çok daha kolaydır. Yeni bulunan bir açığın kullanımı hackerlar için zaman alabilir. Örnek: Meltdown ve Spectre

WEB UYGULAMALARI VE GÜVENLİK Güvenlik Açıklarına Müdahale ve Önlemler Web tabanlı yazılım projelerinde ve web sitelerinde alınması gerek en büyük önlemlerden biri HTTPS, SSL, TLS gibi güçlü şifreleme algoritmalarını bileşimini destekleyen protokollerden birinin kullanımı. HTTPS, SSL web tabanlı bir yazılımda verinin şifreli olarak işlenmesini sağlamaktadır.

WEB UYGULAMALARI VE GÜVENLİK Web Uygulamalarındaki Önemli Güvenlik Açıkları Web uygulamalarındaki önemli ve popüler güvenlik açıkları aşağıdaki gibidir. Injection (SQL Injection, XML Injection, CSV Injection, Template Injection, Text Injection, Hyperlink Injection, HTTP Header Injection/HTTP Response Splitting, Command Injection, Code Injection, HTML Injeciton, Meta Tag Injection) Cross Site Scripting Cross Site Reference Forgery Remote File Include Hizmet Aksatma Yöntemleri Brute Force

WEB UYGULAMALARI VE GÜVENLİK Web Uygulamalarındaki Önemli Güvenlik Açıkları SQL Injection, bir veri tabanı güvenliği açığı olarak bilinmektedir. SQL Injection saldırısı ile yetkisiz olarak veri tabanına sızılabilmektedir. SQL Injection, günümüzde halen yaygın olarak kullanılmakta olup, birçok sitede bulunmaktadır. SQL Injection açıktan yazılan SQL kodlardan meydana gelmektedir. Yine bu kodlar dikkatsizlik ve yanlış kodlama sonucu oluşmaktadır. SQL Injection yöntemi ile bir web uygulamanın tüm veri bilgilerini çalabilir, web uygulamayı hacklenebilmektedir. Yetki Ayarları, CHMOD, get post metodları

WEB UYGULAMALARI VE GÜVENLİK Web Uygulamalarındaki Önemli Güvenlik Açıkları SQL Injection açıkları küçük sitelerden tutun büyük bir firma sitelerine kadar tüm sistemlerde olabilmektedir. SQL Injection açığını hazır sistemlerdede arayabilirsiniz. SQL Injection tam ifadesi Structured Query Language Injectionidur. SQL Injection, açıklarında en önemli etken, meta karakterleri oluştururken birden fazla meta karakter yazma sebebi de, SQL lnjection açıklarının oluşmasını sağlamaktadır. SQL Injection saldırıları genelde üye giriş alanlarında yapılmaktadır.

WEB UYGULAMALARI VE GÜVENLİK Web Uygulamalarındaki Önemli Güvenlik Açıkları Cross Site Scripting (XSS); Çapraz Kod Çalıştırma anlamına gelmektedir. Cross site scripting açığı, dinamik web uygulamalarında oluşan bir güvenlik açığıdır. Geçmişte bu açık yaygın olsa da günümüzde pek fazla yaygın değildir. Ancak bu açık önemli açıklar arasında yer almaktadır. Cross site scripting açığı, en çok POST ve GET metotlarının kullanılmış olduğu bölümlerde meydana gelmektedir. POST ve GET metotlarının kullanım alanlarına örnek verecek olursak; arama yapma alanları, galeri alanı, yorumlar gibi alanlarda meydana gelebilmektedir. HAZIR CMS! ve Open Source Yazılımlar, Bu açıklar çeşitli web sitlerinde yayınlanır. CMS Sürüm güncellemeleri…

WEB UYGULAMALARI VE GÜVENLİK Web Uygulamalarındaki Önemli Güvenlik Açıkları Cross Site Reference Forgery; diğer güvenlik açıkları gibi web uygulamalarında meydana gelmektedir. Cross site reference forgery, kısa adı olarak xsrf-csrf olarak da bilinmektedir. Xsrf saldırıları, siteye entegre kod şeklinde çalışmaktadır. Siteye entegre etme isminin diğer bir adı hostile linking olarak bilinmektedir. Csrf açıkları güncel bug listelerinde ilk sıralarda yer almaktadır. Csrf açıkları web uygulamasının tüm bölümlerinde aranmaktadır. Bu açıkta kullanılan browser en çok Opera’dır. Yönlendirmeler!

WEB UYGULAMALARI VE GÜVENLİK Web Uygulamalarındaki Önemli Güvenlik Açıkları Remote File Include, uzaktan dosya yükleme anlamına gelmektedir. Uzaktan dosya yükleme, tamamen diğer açıklarda olduğu gibi bu açıkta da izinsiz olarak yapılmaktadır. Herhangi bir exploit kodu veya bir editör yardımıyla, uzaktan zararlı dosyalar olarak adlandığımız Shell dosyaları yüklenerek sisteme sızılabilmektedir. Remote file include açığı güncel olarak fazla bulunmamaktadır. Ancak henüz olarak tam kapanmıştır diyemeyiz. Nedeni yeni çıkan editörler bazı kodlama yerlerinde açıklar bırakılmış ve bu açıklar sayesinde buglar oluşabilmektedir. Oluşan buglar ile de sisteme sızılabilmektedir.

WEB UYGULAMALARI VE GÜVENLİK Web Uygulamalarındaki Önemli Güvenlik Açıkları Remote file include açığı güncel olarak fazla bulunmamaktadır. Ancak henüz olarak tam kapanmıştır diyemeyiz. Remote file include açığı genellikle sitelere Shell yüklemek için kullanılmaktadır. Shell olarak adlandırdığımı zararlı dosyalar sistemde safe mode off yapabilmektedir. izinsiz olarak yüklenen bu dosyalar sayesinde sunucuda yer alan diğer web uygulamalarına da zarar verebilmektedir. Bu açık günümüzde güncel olmasa da herhangi bir hata sonucu sunucuda bulunan tüm siteleri etkileyebilmektedir. SHELL NEDİR? Genellikle remote file include açıklarında yüklenen zararlı dosyalardır. Bu dosyalar sayesinde daha kolay işlem yapılabilmektedir. Shell dosyalarının bilgisayanmıza hiçbir zararı yoktur. Bu dosyalar sadece web uygulamalarında zararlıdır. Sanal ortamda en çok bilinen ve kullanılan sheller c99 ve r57 shellieridir. Bu zararlı dosyalar, sadece web uygulamalarına zarar vermeyeceği gibi sunucuda yer alan diğer web uygulamalarına da zarar verebilmektedir.

WEB UYGULAMALARI VE GÜVENLİK CMS Web Siteleri CMS (Content Management System): İçerik yönetim sistemi bulunan web siteleri, web siteleri üzerinde hızlı bir şekilde dinamik sayfalar, yazılar ve içerikler oluşturmamızı sağlar. İnternet üzerinde açık kaynak kodlu(Open Source) birçok CMS bulunmaktadır. Bunlardan en önemlileri; Wordpress, Joomla, Drupal, Magento ve TYPO3’tür.

WEB UYGULAMALARI VE GÜVENLİK CMS Web Siteleri İnternetin %32’lik bir kısmında açık kaynak kodlu bir yazılım olan Wordpress web siteleri bulunmakta. Wordpress, web sitelerinde eklentiler yardımıyla bugün neredeyse yapılamayacak hiçbir şey bulunmamakta e-ticaret bile yapılabilmektedir. İnternetin %32’lik bir kısmını elinde bulunduran bu yazılım aynı zamanda birçok tehlikeyi de beraberinde getirmekte. Özellikle açık kaynak kodlu olması ve çok büyük bir yüzde diliminde kullanılması hackerların dikkatini çekmekte.

WEB UYGULAMALARI VE GÜVENLİK CMS Web Siteleri Açıkları Wordpress web siteleri her ne kadar sürekli güncellense de kullanılan ekstra eklentiler yüzünden diğer sitelere göre güvenlidir veya açığı yoktur diyemeyiz. Açık kaynak kodlu olması yüzünden hackerlar tarafından her zaman hedef olarak gösterilmektedir. Wordpress web siteleri güncellenmez ve açıkları kapatılmazsa çok rahat bir şekilde hacklenebilir. Site üzerine coin virüsleri yüklenebilir, Paylaşımlı sunucularda eğer wordpress siteler barınıyorsa diğer sitelerde hacklenebilir. Bulaştırılan zararlı yazılımlar ile Botnet ağları oluşturulabilir.

WEB UYGULAMALARI VE GÜVENLİK CMS Web Siteleri Açıkları - Önlemler! Burada açık kaynak kodlu yazılımları kullanacak olan yazılımcılar kesinlikle kullanılan yazılımda çıkabilecek açıkları kapatması gereklidir. Örnek olarak: Wordpress yerine daha az hedef olan Joomla veya Drupal açık kaynak kodlu yazılımlar kullanılabilir veya Wordpress için üretilen yaygın kullanılan eklentiler kullanmak yerine alternatifleri kullanılabilir. Hacklenen Wordpress yazılımlarda en çok görülen eksik; eski versiyon oluşu veya kullanılan eklentilerin yine güncel olmamasından kaynaklanmaktadır.

WEB UYGULAMALARI VE GÜVENLİK CMS Web Siteleri Açıkları - Önlemler! Kullanılan sunucu veya hosting yazılımı güncel olmalıdır. Kullanılan sunucu ve hostingte çeşitli güvenlik önlemleri alınmalıdır Yazılım ve eklentileri güncel olmalıdır. Yazılımın sürümleri kapatılmalıdır.(hackerlar hangi sürüm olduğunu görmemeli!) .

WEB UYGULAMALARI VE GÜVENLİK CMS Web Siteleri Açıkları - Önlemler! Veritabanı kullanıcı adı ve şifresi karmaşık olmalıdır. FTP tarafında klasör izinleri doğru verilmelidir. .HTACCESS dosyası güvenli hale getirilmeli Güvenlik için özel eklentiler eklenmelidir. Çeşitli toollar ile güvenlik taramaları yapılmalıdır.

WEB UYGULAMALARI VE GÜVENLİK CMS Web Siteleri Açıkları - Önlemler! Wordpress yazılımları için çeşitli güvenlik eklentileri. WPS Hide Login Easy Hide Login BulledProof Security Pro Wordfence Security iThemes Security Acunetix WP Security All In One WP Security & Firewall Wordpress Security ve Yazılımlar, yeni gelişen bir sektör!

WEB UYGULAMALARI VE GÜVENLİK CMS Web Siteleri Açıkları - Önlemler! Ayrıca; theme klasöründeki function.php dosyasına remove_action(’wp_head’ , ‘wp_generator’); kodu yazılarak Wordpress sürümü gizlenebilir. Wordpress için Dosya ve Klasör İzinleri wp-includes/:755 wp-admin/:755 wp-admin/js/:755 wp-content/themes/:755 wp-content/plugins/:755 wp-admin/index.php: 644 wp-config.php: 644 .htaccess: 644

WEB UYGULAMALARI VE GÜVENLİK CMS Web Siteleri Açıkları - Önlemler! Wordpress için çeşitli Toollar https://sitecheck.sucuri.net https://www.siteguarding.com/en/sitecheck https://suip.biz https://hackertarget.com/wordpress-security-scan

WEB UYGULAMALARI VE GÜVENLİK Sosyal Medya Web Uygulamaları İzinler Web uygulamalarında karşılaşılan en önemli güvenlik açıklarından biride ’’social media authentication’’ Social Media Authentication: Sosyal medya hesaplarımız veya popüler mail uygulamaları iyi yahoo gmail hesapları gibi hesaplar ile bir siteye, foruma veya herhangi bir uygulama ile otomatik bir şekilde üye olma. Seçtiğimiz sosyal medya hesapları ile otomatik üye olmaya kalktığımızda web platformundaki çalışan uygulama bizden sosyal medya hesabımız veya mail hesaplarımızdan çeşitli izinler isterler, arkadaş listemizin tamamı veya sizin adınıza paylaşım yapma gibi…

WEB UYGULAMALARI VE GÜVENLİK Sosyal Medya Web Uygulamaları İzinler Görselde güvenilir bir e-ticaret sitesi olan trendyol web sitesinin facebook hesabınız ile otomatik üye olma uygulaması gözükmekte. Üyelik yapılırken Trendyol e-ticaret sitesi üye olan kişinin herkese açık profiline ve arkadaş listesine erişmek istiyor. Ayrıca sizin adınıza bir paylaşımda bulunmayacağına yönelik bir notta bulunmakta.

WEB UYGULAMALARI VE GÜVENLİK Sosyal Medya Web Uygulamaları İzinler Peki güvenilir olmayan veya bilgileri kötüye kullanan bir sitede herhangi bir sosyal medya hesabımız ile otomatik olarak giriş yapsaydık bizi neler beklerdi. Sosyal Medya Hesabımızda adımıza yönelik virüslü paylaşımlar yapılabilir bu paylaşımlardan kişi listemizdekilerde etkilenebilir. Kişi listemize spam mesaj, mail veya fake mailler, reklam mailleri gönderilebilir. Sosyal Medya Hesabımız Hacklenebilir.

WEB UYGULAMALARI VE GÜVENLİK Sosyal Medya Web Uygulamaları İzinler Korunma Yolları: Güvenmediğimiz sitelerde sosyal medya hesaplarımız ile üye olma gibi bağlantıları kullanmamak. Ayrıca sosyal medya hesapları ile otomatik ve hızlı bir şekilde üye olma uygulamaları haricinde, facebook üzerinde güvenilmeyen yazılımcıların yaptığı uygulamalar, tavla, okey gibi çok kullanılabilecek uygulamalar da hesaplardan çeşitli izinler isteyerek aynı sonuçların elde edilmesine yol açabilir. Örnek: Bahis uygulamaları gibi…

MOBİL UYGULAMALARI VE GÜVENLİK Mobil Uygulamalar ve Güvenlik Günümüz akıllı telefonlarında kullanılan yazılımlar. Mobil uygulamaların aktif bir şekilde internet kullanması ile birlikte mobil uygulamaların güvenirliği de artmaktadır. Özellikle Apple şirketi App Store ile uygulama marketi en güvenli olan mobil platformdur.

MOBİL UYGULAMALARI VE GÜVENLİK Mobil Uygulamalar ve Güvenlik Apple 3. parti uygulama geliştiricilerin uygulamalarında herhangi bir güvenlik zafiyeti gördüğünde uygulamayı marketten kaldırdığı çok sık görülmektedir. Örnek: CIA Uygulaması Ayrıca Android sistemlere çeşitli uygulamalar uygulama marketi dışından da yüklenebilmektedir. Buda en önemli güvenlik zafiyetlerinden biri. Kırık APK’lar ve Virüsler (APK üzerinden bitcoin mining) Konuşulacak Konular: HoneyPot: Bal Küpü Kill chain: Keşifte bulunmaktan başlayıp veri sızıntısına kadar geçen siber saldırıların evreleri 7 Aşama

TEŞEKKÜRLER HTTP://WWW.ALİCANHAZIR.COM Alican HAZIR +90 (850) 304‐1-456 info@alicanhazir.com TEŞEKKÜRLER HTTP://WWW.ALİCANHAZIR.COM