Copyright © The OWASP Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the OWASP License. The OWASP.

... konulu sunumlar: "Copyright © The OWASP Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the OWASP License. The OWASP."— Sunum transkripti:

1 Copyright © The OWASP Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the OWASP License. The OWASP Foundation OWASP-TR http://www.owasp.org Yazılım Geliştirme Sürecinde Güvenlik Testleri Burak Dayıoğlu, burak.dayioglu@pro-g.com.tr

2 OWASP-TR Yazılımları Neden Test Ediyoruz?

3 OWASP-TR Test Ediyoruz Çünkü...  Hatasız yazılım geliştiremiyoruz  Ancak  Az hatalı  Hatanın etkisinin az olduğu yazılımları hedefleyebiliyoruz  Hatasız geliştirecek teknolojimiz olana değin teste devam...

4 OWASP-TR Farklı Test Kategorileri  İşlevsellik  Performans  Erişilebilirlik (accessibility)  Uluslararasılaştırma (i18n)  Güvenlik Her test kategorisi hata bulmayı hedeflemez; bazıları beklentileri karşılama düzeyini belirlemek içindir

5 OWASP-TR %80 Bilişim güvenliği ihlallerinin YAZILIM GÜVENLİĞİ problemlerinden kaynaklananlarının oranı (Kaynak: Gartner)

6 OWASP-TR Güvensizliğin Bedeli  Yazılımların güvenlik problemlerinin bedelleri çok ağır olabilir  Ölüm ve yaralanma  Ulusal güvenlik zafiyetleri  Finansal kayıplar  İtibar kaybı  Kıymetli bilgilerin çalınması ...

7 OWASP-TR İşimizi Yazılım Taşıyor  Tüm kritik iş süreçleri bilgisayar yazılımları ile destekleniyor  Yazılımların güvenliğinin sağlanması artık çok daha önemli

8 OWASP-TR Güvenlik Testini Kim Yapar?  Geliştiriciler  Test uzmanları  Meraklılar  Güvenlik denetim firmaları  Suç işleyecekler / suç örgütleri

9 OWASP-TR Neyi Test Ediyoruz?  Girdi denetimi  Doğrulama/yetkilendirme  Kayıt tutma  Zaman/durum yönetimi ...  Buffer overflow  Integer overflow  Command injection  SQL injection  LDAP injection  Cross-site scripting  Format strings  HTTP response splitting  Authentication bypass  Man in the middle  Replay  Spoofing  Credential management  Least privilege violation  Password management  Privacy violation  Log forging  Log flooding  Time sync  Deadlocks  Race conditions  HTTP session fixation  Improper thread mgmt  Double checked locking

10 OWASP-TR Genel Yaklaşım 1.Teste konu yazılımı iyice anla 2.Hedef için olumsuz neler yapabileceğini kurgula ve planla 3.Kurgu ve planlar ışığında testlerini gerçekleştir 4.Çevrede ne olup bittiğini izle, gelişmelerden haberdar ol

11 OWASP-TR Güvenliğe Özel Test Teknikleri  Açık kod ile  Kod ve tasarım gözden geçirmeleri  Statik kod analizi araçlarının kullanılması  Kapalı kod ile  Tersine Mühendislik ile açık koda dönüştürme  Sızma Testleri  Fuzz testleri Tüm testler fonksiyonel olmayan testlerdir

12 OWASP-TR Kod/Tasarım Gözden Geçirmesi  Yazılım kaynak kodunun ve tasarım belgelemesinin “okunması”  Avantajı: Çok etkili  Dezavantajı: Ölçeklenemiyor

13 OWASP-TR Statik Kod Analizi Araçları  Kaynak kodu analiz eden araçların kullanımı ile bilindik güvenlik programlama hatalarının tespiti  Avantajı: Problemlerin çok hızlı tespiti  Dezavantajı: Yazılımın “bağlamından” habersiz olmak

14 OWASP-TR Tersine Mühendislik  Yönetilen platformlar yaygınlaşıyor  Java JRE,.Net CLR, Macromedia Flash  Binary’lere sahipseniz (genellikle) kaynak koda dönebilirsiniz  Reflection yolu ile  Kod karıştırıcılar kullanılmadı ise

15 OWASP-TR Penetrasyon Testleri Teste Konu Yazılım İşletim Sistemi Platformu ve Ağ Altyapısı Kullanıcı Arayüzü Ağ İletişim Arayüzü Web Servisi Arayüzü Dosya Sistemi Arayüzü Veritabanı Arayüzü Ağ İletişim Arayüzü Web Servisi Arayüzü Dosya Sistemi Arayüzü

16 OWASP-TR Fuzz Testleri  Yazılımın arayüzlerinden  Tümüyle rastgele  Kısmen rastgele veri girişi yapılır, yazılımın davranışı incelenir  Her farklı tür uygulama ve protokol için fuzzer bulmak güç olabilir  Pek çok modern web tarayıcısının içerisinde web fuzzer’lar bulunmaktadır

17 OWASP-TR Özet Olarak  Yazılımları güvenlikleri açısından test etmek zorundayız  Kaynak kod ve tasarım belgelemesi incelemesi  Statik kod analiz araçları  Tersine mühendislik  Penetrasyon testleri  Fuzz testleri  Teknikler geliştirme sürecinin tamamında kullanılabilir

18 OWASP-TR Daha Fazla Bilgi İçin...

19 Copyright © The OWASP Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the OWASP License. The OWASP Foundation OWASP-TR http://www.owasp.org Güvenliğiniz Geleceğinizdir