SİBER GÜVENLİK WEB UYGULAMALARI VE GÜVENLİK MOBİL UYGULAMALARI VE GÜVENLİK.

SİBER GÜVENLİK WEB UYGULAMALARI VE GÜVENLİK MOBİL UYGULAMALARI VE GÜVENLİK

WEB UYGULAMALARI VE GÜVENLİK
internet geliştirildikten sonra web sitelerine ihtiyaç duyuldu. Eskiden bir web sitesi oluşturmak zordu. Web uygulaması geliştirmeyi eğitimli kişiler dışında bilenler yoktu. Günümüze gelindiğinde bir web uygulaması geliştirmek artık daha da kolaylaştı. Wordpress, Joomla, Wix, Woocommerce, Magento gibi hazır CMS’ler web uygulamalarına örnek…

Web Uygulamalarının Geliştirilmesi Web uygulaması geliştirme kronolojisine baktığımız zaman, eskiden çok az topluluk tarafından web uygulamaları geliştirme, günümüze geldiğimiz zaman ise birçok kişi tarafından geliştirilmeye başlandı. Fakat bir web uygulaması geliştirildiği zaman güvenlik önlemlerinin alınması da arka planda kaldı. Bir web uygulaması geliştiren bir kişi dikkatsizliği veya bilmediği noktaları olduğu için geliştirmiş olduğu web uygulamasında güvenlik açıklarını kapatamamaktadır.

Güvenlik Açıklarına Müdahale ve Önlemler Güvenlik açıklan kapatılamadığı zaman ilerleyen zamanlarda bu açıklar, hem uygulamayı geliştiren kişiye hem de uygulamayı kullanan kişilere maddi ve manevi olarak büyük zararlar vermektedir. Bu yüzden direkt olarak bir web uygulaması geliştirmeye başlamak yerine, ilk olarak hangi web uygulama dilinde uzman olduğumuzu öğrenmemiz ve bu uygulama dilinde güvenlik açıklarına hangi seviyeye kadar müdahale edebileceğimizi bilmemiz gerekmektedir.

Güvenlik Açıklarına Müdahale ve Önlemler Eski veya yeni fark etmeden, günümüze kadar geliştirilen web uygulamalarında mutlaka açıklar bulunmaktadır. Bilgisayar ortamında güvenlik açığı olmadan bir uygulama geliştirmek henüz mümkün olmamıştır. Bir zamanlar Web Sitelerinde popüler olan Flash uygulaması veya Flash tabanlı web siteleri. Flash uygulamasının güvenlik açıkları ve kaynakları verimsiz kullanışı ayrıca HTML yazılımının gelişmesi ile 12 Ağustos 2012’de bu uygulamaya destek durdurulmuştur. Günümüzde birçok web tarayıcısının Flash özelliği kapalı olarak gelmektedir. 2020’de Flash’ın internetten tamamen silineceği söylenmektedir.

Güvenlik Açıklarına Müdahale ve Önlemler Web tabanlı uygulamalar internette veya local bir ağda yayınlanmadan önce mutlaka oluşabilecek hatalara karşı analiz edilmeli ve test sürecinden geçmelidir. Gerekirse test aşamasında Alfa veya Beta sürümleri yayınlanabilir. Google’ın gmail, mail uygulamasının yıllarca beta sürümünde kalmasının nedenlerinden biri uygulamayı kullanan kişilerin tamamlanmamış beta yazılımın çıkabilecek sorunları kabul ederek kullanması gibi… Örnek olarak sunucu üzerinde ki tüm mailleriniz beta versiyonda silinebilir gibi…. Penetrasyon Testleri yazılımın Release Date’i için önemli

Güvenlik Açıklarına Müdahale ve Önlemler Web tabanlı olan uygulama ve web sitelerinde yazılımlar hiçbir zaman tamamen güvenli denilemez ne kadar güvenlik üst seviyelere getirilse de her zaman bir güvenlik açığı oluşacaktır. Bu durumun asıl nedeni yazılımların ve yazılım standartlarının sürekli gelişmesidir. Web tabanlı bir yazılım veya web sitesinin güvenlik açıklarına karşı koruyabilmenin en verimli yolu yazılımın kodların, standartlara göre sürekli güncellenmesi ve çıkabilecek hatalara karşı sürekli olarak çeşitli penetrasyon testlerinden geçirilmesi gereklidir.

Güvenlik Açıklarına Müdahale ve Önlemler Penetrasyon testlerinde yazılımlarda çeşitli buglar aranır. Sözcük anlamı böcek olan bug internet ortamında sistem zayıflıklarını ifade etmektedir. Büyük web tabanlı projelerde projeyi yazan yazılımcılar ve test yazılımcıları olarak ikiye ayrılır. Software Developer ve Test Developer olarak. Software Developer yani yazılımcılar asıl projenin mimarisini ve yazılımını yaparken, Test Developer veya Researcherlar yazılan yazılımda çeşitli Penetrasyon toolları kullanarak sistemin zayıflıklarını ve hatalarını bulmaya çalışırlar. Major, Minor, Critical Bug, Huawei örnek.

Güvenlik Açıklarına Müdahale ve Önlemler Bug Researcher’lar ikiye ayrılmaktadır. İyi niyetli olanlar Kötü niyetli olanlar Beyaz şapkalı ve siyah şapkalı hackerlar’da diyebiliriz. Kötü niyetli bug researcher’lar ilk olarak sistemlerdeki en çok bilinen hataları bulmayı hedefler. Bilinen hatalar ile sistemi sabote etmek veya sistem açıklarını kullanmak çok daha kolaydır. Yeni bulunan bir açığın kullanımı hackerlar için zaman alabilir. Örnek: Meltdown ve Spectre

Güvenlik Açıklarına Müdahale ve Önlemler Web tabanlı yazılım projelerinde ve web sitelerinde alınması gerek en büyük önlemlerden biri HTTPS, SSL, TLS gibi güçlü şifreleme algoritmalarını bileşimini destekleyen protokollerden birinin kullanımı. HTTPS, SSL web tabanlı bir yazılımda verinin şifreli olarak işlenmesini sağlamaktadır.

Web Uygulamalarındaki Önemli Güvenlik Açıkları Web uygulamalarındaki önemli ve popüler güvenlik açıkları aşağıdaki gibidir. Injection (SQL Injection, XML Injection, CSV Injection, Template Injection, Text Injection, Hyperlink Injection, HTTP Header Injection/HTTP Response Splitting, Command Injection, Code Injection, HTML Injeciton, Meta Tag Injection) Cross Site Scripting Cross Site Reference Forgery Remote File Include Hizmet Aksatma Yöntemleri Brute Force

Web Uygulamalarındaki Önemli Güvenlik Açıkları SQL Injection, bir veri tabanı güvenliği açığı olarak bilinmektedir. SQL Injection saldırısı ile yetkisiz olarak veri tabanına sızılabilmektedir. SQL Injection, günümüzde halen yaygın olarak kullanılmakta olup, birçok sitede bulunmaktadır. SQL Injection açıktan yazılan SQL kodlardan meydana gelmektedir. Yine bu kodlar dikkatsizlik ve yanlış kodlama sonucu oluşmaktadır. SQL Injection yöntemi ile bir web uygulamanın tüm veri bilgilerini çalabilir, web uygulamayı hacklenebilmektedir. Yetki Ayarları, CHMOD, get post metodları

Web Uygulamalarındaki Önemli Güvenlik Açıkları SQL Injection açıkları küçük sitelerden tutun büyük bir firma sitelerine kadar tüm sistemlerde olabilmektedir. SQL Injection açığını hazır sistemlerdede arayabilirsiniz. SQL Injection tam ifadesi Structured Query Language Injectionidur. SQL Injection, açıklarında en önemli etken, meta karakterleri oluştururken birden fazla meta karakter yazma sebebi de, SQL lnjection açıklarının oluşmasını sağlamaktadır. SQL Injection saldırıları genelde üye giriş alanlarında yapılmaktadır.

Web Uygulamalarındaki Önemli Güvenlik Açıkları Cross Site Scripting (XSS); Çapraz Kod Çalıştırma anlamına gelmektedir. Cross site scripting açığı, dinamik web uygulamalarında oluşan bir güvenlik açığıdır. Geçmişte bu açık yaygın olsa da günümüzde pek fazla yaygın değildir. Ancak bu açık önemli açıklar arasında yer almaktadır. Cross site scripting açığı, en çok POST ve GET metotlarının kullanılmış olduğu bölümlerde meydana gelmektedir. POST ve GET metotlarının kullanım alanlarına örnek verecek olursak; arama yapma alanları, galeri alanı, yorumlar gibi alanlarda meydana gelebilmektedir. HAZIR CMS! ve Open Source Yazılımlar, Bu açıklar çeşitli web sitlerinde yayınlanır. CMS Sürüm güncellemeleri…

Web Uygulamalarındaki Önemli Güvenlik Açıkları Cross Site Reference Forgery; diğer güvenlik açıkları gibi web uygulamalarında meydana gelmektedir. Cross site reference forgery, kısa adı olarak xsrf-csrf olarak da bilinmektedir. Xsrf saldırıları, siteye entegre kod şeklinde çalışmaktadır. Siteye entegre etme isminin diğer bir adı hostile linking olarak bilinmektedir. Csrf açıkları güncel bug listelerinde ilk sıralarda yer almaktadır. Csrf açıkları web uygulamasının tüm bölümlerinde aranmaktadır. Bu açıkta kullanılan browser en çok Opera’dır. Yönlendirmeler!

Web Uygulamalarındaki Önemli Güvenlik Açıkları Remote File Include, uzaktan dosya yükleme anlamına gelmektedir. Uzaktan dosya yükleme, tamamen diğer açıklarda olduğu gibi bu açıkta da izinsiz olarak yapılmaktadır. Herhangi bir exploit kodu veya bir editör yardımıyla, uzaktan zararlı dosyalar olarak adlandığımız Shell dosyaları yüklenerek sisteme sızılabilmektedir. Remote file include açığı güncel olarak fazla bulunmamaktadır. Ancak henüz olarak tam kapanmıştır diyemeyiz. Nedeni yeni çıkan editörler bazı kodlama yerlerinde açıklar bırakılmış ve bu açıklar sayesinde buglar oluşabilmektedir. Oluşan buglar ile de sisteme sızılabilmektedir.

Web Uygulamalarındaki Önemli Güvenlik Açıkları Remote file include açığı güncel olarak fazla bulunmamaktadır. Ancak henüz olarak tam kapanmıştır diyemeyiz. Remote file include açığı genellikle sitelere Shell yüklemek için kullanılmaktadır. Shell olarak adlandırdığımı zararlı dosyalar sistemde safe mode off yapabilmektedir. izinsiz olarak yüklenen bu dosyalar sayesinde sunucuda yer alan diğer web uygulamalarına da zarar verebilmektedir. Bu açık günümüzde güncel olmasa da herhangi bir hata sonucu sunucuda bulunan tüm siteleri etkileyebilmektedir. SHELL NEDİR? Genellikle remote file include açıklarında yüklenen zararlı dosyalardır. Bu dosyalar sayesinde daha kolay işlem yapılabilmektedir. Shell dosyalarının bilgisayanmıza hiçbir zararı yoktur. Bu dosyalar sadece web uygulamalarında zararlıdır. Sanal ortamda en çok bilinen ve kullanılan sheller c99 ve r57 shellieridir. Bu zararlı dosyalar, sadece web uygulamalarına zarar vermeyeceği gibi sunucuda yer alan diğer web uygulamalarına da zarar verebilmektedir.

CMS Web Siteleri CMS (Content Management System): İçerik yönetim sistemi bulunan web siteleri, web siteleri üzerinde hızlı bir şekilde dinamik sayfalar, yazılar ve içerikler oluşturmamızı sağlar. İnternet üzerinde açık kaynak kodlu(Open Source) birçok CMS bulunmaktadır. Bunlardan en önemlileri; Wordpress, Joomla, Drupal, Magento ve TYPO3’tür.

CMS Web Siteleri İnternetin %32’lik bir kısmında açık kaynak kodlu bir yazılım olan Wordpress web siteleri bulunmakta. Wordpress, web sitelerinde eklentiler yardımıyla bugün neredeyse yapılamayacak hiçbir şey bulunmamakta e-ticaret bile yapılabilmektedir. İnternetin %32’lik bir kısmını elinde bulunduran bu yazılım aynı zamanda birçok tehlikeyi de beraberinde getirmekte. Özellikle açık kaynak kodlu olması ve çok büyük bir yüzde diliminde kullanılması hackerların dikkatini çekmekte.

CMS Web Siteleri Açıkları Wordpress web siteleri her ne kadar sürekli güncellense de kullanılan ekstra eklentiler yüzünden diğer sitelere göre güvenlidir veya açığı yoktur diyemeyiz. Açık kaynak kodlu olması yüzünden hackerlar tarafından her zaman hedef olarak gösterilmektedir. Wordpress web siteleri güncellenmez ve açıkları kapatılmazsa çok rahat bir şekilde hacklenebilir. Site üzerine coin virüsleri yüklenebilir, Paylaşımlı sunucularda eğer wordpress siteler barınıyorsa diğer sitelerde hacklenebilir. Bulaştırılan zararlı yazılımlar ile Botnet ağları oluşturulabilir.

CMS Web Siteleri Açıkları - Önlemler! Burada açık kaynak kodlu yazılımları kullanacak olan yazılımcılar kesinlikle kullanılan yazılımda çıkabilecek açıkları kapatması gereklidir. Örnek olarak: Wordpress yerine daha az hedef olan Joomla veya Drupal açık kaynak kodlu yazılımlar kullanılabilir veya Wordpress için üretilen yaygın kullanılan eklentiler kullanmak yerine alternatifleri kullanılabilir. Hacklenen Wordpress yazılımlarda en çok görülen eksik; eski versiyon oluşu veya kullanılan eklentilerin yine güncel olmamasından kaynaklanmaktadır.

CMS Web Siteleri Açıkları - Önlemler! Kullanılan sunucu veya hosting yazılımı güncel olmalıdır. Kullanılan sunucu ve hostingte çeşitli güvenlik önlemleri alınmalıdır Yazılım ve eklentileri güncel olmalıdır. Yazılımın sürümleri kapatılmalıdır.(hackerlar hangi sürüm olduğunu görmemeli!) .

CMS Web Siteleri Açıkları - Önlemler! Veritabanı kullanıcı adı ve şifresi karmaşık olmalıdır. FTP tarafında klasör izinleri doğru verilmelidir. .HTACCESS dosyası güvenli hale getirilmeli Güvenlik için özel eklentiler eklenmelidir. Çeşitli toollar ile güvenlik taramaları yapılmalıdır.

CMS Web Siteleri Açıkları - Önlemler! Wordpress yazılımları için çeşitli güvenlik eklentileri. WPS Hide Login Easy Hide Login BulledProof Security Pro Wordfence Security iThemes Security Acunetix WP Security All In One WP Security & Firewall Wordpress Security ve Yazılımlar, yeni gelişen bir sektör!

CMS Web Siteleri Açıkları - Önlemler! Ayrıca; theme klasöründeki function.php dosyasına remove_action(’wp_head’ , ‘wp_generator’); kodu yazılarak Wordpress sürümü gizlenebilir. Wordpress için Dosya ve Klasör İzinleri wp-includes/:755 wp-admin/:755 wp-admin/js/:755 wp-content/themes/:755 wp-content/plugins/:755 wp-admin/index.php: 644 wp-config.php: 644 .htaccess: 644

CMS Web Siteleri Açıkları - Önlemler! Wordpress için çeşitli Toollar

Sosyal Medya Web Uygulamaları İzinler Web uygulamalarında karşılaşılan en önemli güvenlik açıklarından biride ’’social media authentication’’ Social Media Authentication: Sosyal medya hesaplarımız veya popüler mail uygulamaları iyi yahoo gmail hesapları gibi hesaplar ile bir siteye, foruma veya herhangi bir uygulama ile otomatik bir şekilde üye olma. Seçtiğimiz sosyal medya hesapları ile otomatik üye olmaya kalktığımızda web platformundaki çalışan uygulama bizden sosyal medya hesabımız veya mail hesaplarımızdan çeşitli izinler isterler, arkadaş listemizin tamamı veya sizin adınıza paylaşım yapma gibi…

Sosyal Medya Web Uygulamaları İzinler Görselde güvenilir bir e-ticaret sitesi olan trendyol web sitesinin facebook hesabınız ile otomatik üye olma uygulaması gözükmekte. Üyelik yapılırken Trendyol e-ticaret sitesi üye olan kişinin herkese açık profiline ve arkadaş listesine erişmek istiyor. Ayrıca sizin adınıza bir paylaşımda bulunmayacağına yönelik bir notta bulunmakta.

Sosyal Medya Web Uygulamaları İzinler Peki güvenilir olmayan veya bilgileri kötüye kullanan bir sitede herhangi bir sosyal medya hesabımız ile otomatik olarak giriş yapsaydık bizi neler beklerdi. Sosyal Medya Hesabımızda adımıza yönelik virüslü paylaşımlar yapılabilir bu paylaşımlardan kişi listemizdekilerde etkilenebilir. Kişi listemize spam mesaj, mail veya fake mailler, reklam mailleri gönderilebilir. Sosyal Medya Hesabımız Hacklenebilir.

Sosyal Medya Web Uygulamaları İzinler Korunma Yolları: Güvenmediğimiz sitelerde sosyal medya hesaplarımız ile üye olma gibi bağlantıları kullanmamak. Ayrıca sosyal medya hesapları ile otomatik ve hızlı bir şekilde üye olma uygulamaları haricinde, facebook üzerinde güvenilmeyen yazılımcıların yaptığı uygulamalar, tavla, okey gibi çok kullanılabilecek uygulamalar da hesaplardan çeşitli izinler isteyerek aynı sonuçların elde edilmesine yol açabilir. Örnek: Bahis uygulamaları gibi…

MOBİL UYGULAMALARI VE GÜVENLİK
Mobil Uygulamalar ve Güvenlik Günümüz akıllı telefonlarında kullanılan yazılımlar. Mobil uygulamaların aktif bir şekilde internet kullanması ile birlikte mobil uygulamaların güvenirliği de artmaktadır. Özellikle Apple şirketi App Store ile uygulama marketi en güvenli olan mobil platformdur.

MOBİL UYGULAMALARI VE GÜVENLİK
Mobil Uygulamalar ve Güvenlik Apple 3. parti uygulama geliştiricilerin uygulamalarında herhangi bir güvenlik zafiyeti gördüğünde uygulamayı marketten kaldırdığı çok sık görülmektedir. Örnek: CIA Uygulaması Ayrıca Android sistemlere çeşitli uygulamalar uygulama marketi dışından da yüklenebilmektedir. Buda en önemli güvenlik zafiyetlerinden biri. Kırık APK’lar ve Virüsler (APK üzerinden bitcoin mining) Konuşulacak Konular: HoneyPot: Bal Küpü Kill chain: Keşifte bulunmaktan başlayıp veri sızıntısına kadar geçen siber saldırıların evreleri 7 Aşama

TEŞEKKÜRLER HTTP://WWW.ALİCANHAZIR.COM Alican HAZIR
+90 (850) 304‐1-456 TEŞEKKÜRLER

SİBER GÜVENLİK WEB UYGULAMALARI VE GÜVENLİK MOBİL UYGULAMALARI VE GÜVENLİK.

Benzer bir sunumlar

... konulu sunumlar: "SİBER GÜVENLİK WEB UYGULAMALARI VE GÜVENLİK MOBİL UYGULAMALARI VE GÜVENLİK."— Sunum transkripti:

Benzer bir sunumlar

Proje hakkında

Geri bildirim

Giriş

Sosyal ağ üzerinden giriş yapmak:

SİBER GÜVENLİK WEB UYGULAMALARI VE GÜVENLİK MOBİL UYGULAMALARI VE GÜVENLİK.

Benzer bir sunumlar

... konulu sunumlar: "SİBER GÜVENLİK WEB UYGULAMALARI VE GÜVENLİK MOBİL UYGULAMALARI VE GÜVENLİK."— Sunum transkripti:

Benzer bir sunumlar

Proje hakkında

Geri bildirim