Devraldığımız kodu inceliyoruz — OWASP ilk 10 kod inceleme sürecine nereden başlanır?

Manuel aramada metin içi desen taraması çok işe yarar: 1) Sorgu içinde doğrudan değişken birleştirmesi yapılan veri tabanı çağrıları, 2) Şifrelenmeden kodda bırakılan gizli anahtarlar, 3) Hata yakalama bloklarında hassas sistem bilgilerini istemciye döndüren yapılar. Bu desenleri aramak birkaç saatinizi alır.

Benzer ölçekteki bir portal devraldığımızda manuel incelemeyle iki günde 5 farklı yetki aşımı yakaladık. Otomatik tarayıcılar bu açıkları hiç görmemişti çünkü yazılımın hangi veriyi kime göstermesi gerektiğini sadece iş mantığını okuyan insan anlayabiliyor.

Önce projedeki üçüncü taraf kütüphanelerin bağımlılık denetimini yapın. Paket yöneticinizin dahili güvenlik denetimi komutlarını çalıştırıp bilinen güvenlik zafiyeti olan paketleri güncelleyin. Genellikle ajansların geride bıraktığı en büyük açıklar eski kütüphanelerden gelir.

Kodu yazmayan iki geliştiricinin başkasının mimarisini sırf OWASP listesine bakarak güvenli hale getirmesi çok zordur. Zaman kısıtınız varsa sadece erişim yetkilerine ve veri tabanı sorgularına odaklanın, geri kalan karmaşık kriptografik detaylarla vakit kaybetmeyin.

özellikle url üzerindeki id parametrelernii değiştirip başkasının siparişine erişebiliyor musunuz ona bakın ajanslar genelde bu yetki kontrollerini backend tarafında unutuyor

edit: birkaç yazım hatasını düzelttim.

Kurumsal lojistik müşterileriyle sözleşme imzalama aşamasında, tarafların bağımsız bir güvenlik denetim raporu talep etmesi olağan bir süreçtir. Şirket içi yaptığınız bu inceleme sistemi güçlendirir ancak harici bir denetim raporunun yerini hukuki olarak tutmayabilir.

Sisteminizde çok kiracılı bi yapı var mı? Yani tüm lojistik müşterileri aynı veri tabanını mı paylaşıyor? Eğer öyleyse, incelemenin en kritik odağı bi müşterinin diğer firmanın veri tablosuna sızmasını engelleyen izolasyon mekanizması olmalıdır.

Küçük ekipler için göz korkutucu görünse de OWASP kılavuzunu kontrol listesi yaparak adım adım ilerlemek ekibinize müthiş bir mühendislik vizyonu katar. İş mantığı açıklarını yakaladıkça yazılım mimariniz de çok daha dayanıklı hale gelecektir.

Ucuz görünen yol genelde sonradan pahalıya patlıyor. Yedeğin aynı ağda ve aynı kimlikle erişilebilir olması, onu hedefin parçası yapıyor.

Tam zamanında bir konu. Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

Kısmen katılıyorum, kısmen katılmıyorum. Zaman kaybının çoğu, onay bekleyen işlerde birikiyor.

Buraya kadar söylenenleri özetleyeyim. owasp ilk 10 kod inceleme tarafında yapılan hata genelde geri dönülebilir ama pahalı.

Not olarak bırakayım, lazım olur.

Anlamadığım bir yer var. Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.

Herkesin yaptığı şey doğru olduğu anlamına gelmiyor. neyse kolay gelsin.

Burada bi tuzak var söylemeden geçmeyeyim. İnsanlar süreci değil, alışkanlığı savunur. açıkçası direnç oradan gelir.

Tecrübeyle sabit.

Karşı taraftan konuşayım, ben tedarikçi tarafındayım. Tek bir önleme güvenmeyin; katman katman gidin.

Bunu tek başına yapmaya çalışmak en pahalı yol. Ben olsam bu yoldan giderdim.

kaydettim.

genel olarak doğru ama bi yeri eksik kalmış sonra kararı verirkken elinizde hangi veri var önce ona bakın.

sonucu buraya yazarsanız başkalarına da faydası olur.

Tam olarak böyle. Bizde en çok zaman kaybettiren şey kimin karar vereceğinin belli olmamasıydı.

Bunu tek başına yapmaya çalışmak en pahalı yol.