Teknik biri olmasanız bile uygulamanızın güvenliği neden sizi ilgilendirmeli

İnternete bağlı her uygulama veya web sitesi potansiyel bir hedeftir; bunun nedeni mutlaka önemli olması değil, otomatik saldırıların herhangi bir güvenlik açığı bulmak için interneti taramasıdır. Tek bir ihlal, müşterilerinizin verilerinin sızması, hizmetinizin çökmesi ya da düzenleyici bir para cezası anlamına gelebilir. İyi haber şu: İhlallerin çoğu, küresel OWASP vakfının "Web Uygulamalarında En Önemli 10 Güvenlik Riski" listesinde derlediği, bilinen sınırlı sayıda hatadan yararlanır.

Bu listeyi anlamak için programcı olmanıza gerek yok; onu bilmek, ekibinize veya tedarikçinize doğru soruları sormanız için yeterlidir.

Kısaca OWASP Top 10

  1. Bozuk erişim kontrolü: Bir kullanıcının erişmemesi gereken yerlere (başkalarının verileri veya yönetim paneli) ulaşması. En yaygın ve en tehlikeli risk.
  2. Kriptografik hatalar: Hassas verileri uygun şifreleme olmadan saklamak veya iletmek.
  3. Enjeksiyon: Sistemi istenmeyen komutları çalıştırmaya kandıran kötü niyetli girdi (örneğin SQL enjeksiyonu).
  4. Güvensiz tasarım: Yalnızca kodda değil, sistemin tasarımının kendisindeki kusurlar.
  5. Güvenlik yapılandırma hataları: Varsayılan ayarlar, açık izinler veya gereğinden fazla bilgi veren hata mesajları.
  6. Güvenlik açığı bulunan ve güncelliğini yitirmiş bileşenler: Bilinen güvenlik açıkları olan kütüphaneleri veya eklentileri kullanmak.
  7. Kimlik belirleme ve doğrulama hataları: Zayıf parolalar, iki faktörlü kimlik doğrulamanın olmaması veya kırılgan oturum yönetimi.
  8. Yazılım ve veri bütünlüğü hataları: Güncellemelere veya kaynaklara bütünlüklerini doğrulamadan güvenmek.
  9. Güvenlik kaydı ve izleme hataları: Saldırıları tespit edememek, bir ihlali çok geç fark etmek demektir.
  10. Sunucu taraflı istek sahteciliği (SSRF): Sunucuyu, erişmemesi gereken iç sistemlere istek göndermesi için kandırmak.
Güvenlik, en sonda eklenen bir özellik değildir; ilk satırdan itibaren inşa edilen bir temeldir.

Uygulamanızı pratikte nasıl korursunuz?

  • En az ayrıcalık: Her kullanıcıya ve bileşene yalnızca ihtiyaç duyduğu asgari erişimi verin.
  • Her girdiyi doğrulayın: Kullanıcıdan gelen verilere asla güvenmeyin ve onları yalnızca tarayıcıda değil, sunucuda doğrulayın.
  • Güncel tutun: Güvenlik güncellemeleri yayımlanır yayımlanmaz kütüphanelere ve sistemlere yama uygulayın.
  • 2FA'yı ve şifrelemeyi etkinleştirin: Hem aktarım sırasındaki hem de depolanan veriler için.
  • İzleyin ve kayıt tutun: Şüpheli etkinlikleri takip edin ve erken tespite olanak tanıyan kayıtlar tutun.
  • Güvenliği test edin: Yayına almadan önce ve sonra periyodik taramalar ve sızma testleri yapın.

Origami nasıl yardımcı olur

Origami olarak güvenliği sonradan akla gelen bir şey olarak değil, en baştan ürünün içine yerleştiriyoruz: kod incelemeleri, güvenlik açığı taramaları, hassas erişim kontrolü, şifreleme ve düzenli güncellemeler. Amacımız, uygulamanızın tasarımı gereği güvenli olması; böylece müşterilerinizin verileri ve itibarınız konusunda içiniz rahat olur.

Resmî kaynak: OWASP projesi — Web Uygulamalarında En Önemli 10 Güvenlik Riski (owasp.org).