Web Uygulama Güvenliği Nedir?

Web uygulaması güvenliği(web application security), bir uygulamanın kodundaki güvenlik açıklarını kullanan farklı güvenlik tehditlerine karşı web sitelerini ve çevrimiçi hizmetleri koruyan bir işlemdir. Web uygulama saldırıları için ortak hedefler, içerik yönetim sistemleri (ör. WordPress), veritabanı yönetim araçları (ör. PhpMyAdmin) ve SaaS uygulamalarıdır.

Failler, web uygulamaları için öncelikli hedefler şunları düşünüyor:

Katılımsız zayıflıklar ve kötü amaçlı kod manipülasyonu ihtimalini artıran kaynak kodunun doğal karmaşıklığı.
Başarılı kaynak kodu manipülasyonundan toplanan hassas özel veriler de dahil olmak üzere yüksek değerli ödüller.
Çoğu saldırı, kolaylıkla otomatikleşebilir ve her seferinde binlerce, hatta onlarca ya da yüz binlerce hedefe karşı sınırsız biçimde başlatılabilir.
Web uygulamalarını güvence altına almayan kuruluşlar saldırıya maruz kalma riski taşımaktadır. Bunun sonucunda, bilgi hırsızlığı, hasar görmüş müşteri ilişkileri, iptal edilen lisanslar ve yasal işlemleri devam ettirebilir.

WEB UYGULAMA AÇIKLARI NEDİR?

Web uygulaması güvenlik açıkları, genellikle kaynak kodu manipüle etmek veya yetkisiz erişim kazanmak için kullanılan girdi / çıktı veri eksikliğinin bir sonucudur.

(< Aşağıda kısa şekilde anlatılmış yöntemler için Başlıklara tıklayarak geniş anlatımını okuyabilirsiniz/>)

Bu güvenlik açıkları, aşağıdakiler dahil olmak üzere farklı saldırı vektörlerinin kullanılmasını sağlar:

SQL İnjections: 

Bir failin bir arka plan veritabanını manipüle etmek için kötü amaçlı SQL kodu kullanmasıyla bilgi hırsızlığı yaparak kullanıcı verilerine veritabanına erişmesini sağlayan saldırı biçimidir.

Cross site scripting(XSS):

XSS, hesaplara erişmek, Truva atlarını etkinleştirmek veya sayfa içeriğini değiştirmek için kullanıcıları hedefleyen bir enjeksiyon saldırısıdır. Stored XSS, bir uygulamaya kötü amaçlı kod enjekte edildiğinde ortaya çıkar. Reflected XSS, kötü niyetli bir komut bir uygulamanın bir kullanıcının tarayıcısına yansıyacağı zaman gerçekleşir.

Remote File İnclusion(RFI)

Bir bilgisayar korsanı(hacker), bir web uygulama sunucusuna uzaktan bir dosya enjekte etmek için bu tür bir saldırıyı kullanır. Bu, veri hırsızlığının veya manipülasyonunun yanı sıra, uygulama içindeki kötü amaçlı komut dosyalarının veya kodların yürütülmesine ve sisteminizin zarar görmesini sağlar.

Cross-site Request Forgery(CSRF)

İstenmeyen para transferi, değiştirilen şifreler veya veri hırsızlığıyla sonuçlanabilecek bir saldırı türüdür. Kötü niyetli bir web uygulaması, bir kullanıcının tarayıcısının, kullanıcının oturum açmış olduğu bir sitede kullanıcıdan habersiz işlemler gerçekleşmesine verilerinin çalınmasına sebep olur. Sitelerde alt sekmede açılan reklamlar bu saldırı türünü kullanıyor olabilir.

Peki Bu saldırılara karşı savunma yolu nedir? Onun İçin

WAF‘ a bakabilirsiniz 🙂

Bir Cevap Yazın

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir