Kaynak Kod Güvenlik Analizi
Uygulamanızın kaynak kodunu OWASP ASVS metodolojisiyle sistematik olarak inceliyoruz. Sızma testinin bulamayacağı mimari zafiyetleri, güvensiz kriptografi kullanımlarını ve iş mantığı hatalarını tespit ediyoruz.
Sızma Testinden Farklı Olarak
Sızma testi "dışarıdan bakış açısı" ile çalışır: sisteminize saldırarak açıkları bulur. Kaynak kod analizi ise "içeriden bakış açısı" ile çalışır: kodunuzu satır satır inceleyerek güvenlik kontrollerinin doğru uygulanıp uygulanmadığını doğrular.
Birçok kritik zafiyet (güvensiz kriptografi, hatalı erişim kontrolü, race condition, güvensiz deserialization) yalnızca kaynak kod incelemesiyle tespit edilebilir. OWASP ASVS, bu kontrolleri 14 kategoride 286 madde olarak sistematize eder.
OWASP ASVS Seviyeleri
Seviye 1
Temel Güvenlik
Tüm uygulamalar için minimum güvenlik gereksinimleri. Otomatik araçlar ve pentest ile doğrulanabilir kontroller.
Seviye 2
Standart Güvenlik
Hassas veri işleyen uygulamalar için. Kaynak kod incelemesi gerektirir. Çoğu iş uygulaması için önerilir.
Seviye 3
İleri Güvenlik
Kritik uygulamalar (ödeme, sağlık, savunma). Derinlemesine mimari analiz ve tehdit modelleme gerektirir.
İnceleme Kapsamı
Kimlik Doğrulama ve Oturum
Parola politikaları, oturum yönetimi, çok faktörlü doğrulama, token güvenliği.
Erişim Kontrolü
Yetkilendirme mantığı, IDOR kontrolleri, rol tabanlı erişim doğrulaması.
Kriptografi
Şifreleme algoritmaları, anahtar yönetimi, rastgele sayı üretimi, sertifika doğrulama.
Giriş Doğrulama
Input sanitization, output encoding, SQL injection, XSS, SSRF korumaları.
Hata Yönetimi ve Loglama
Güvenli hata mesajları, log bütünlüğü, hassas veri sızıntısı kontrolü.
İş Mantığı
Race condition, iş akışı bypass, ödeme manipülasyonu, rate limiting.
Desteklenen Diller
Sızma testi + Kaynak kod analizi: En kapsamlı güvenlik değerlendirmesi için her iki hizmeti birlikte alabilirsiniz. Dışarıdan saldırı simülasyonu + içeriden kod incelemesi birlikte uygulandığında, tek başına yapılan testlerden çok daha fazla zafiyet tespit edilir.
Otomatik tarama ile manuel incelemenin hangi zafiyet türlerinde ayrıştığını Zafiyet Taraması, Zafiyet Yönetimi ve Sızma Testi yazısında anlattık.
Metodoloji
- 01 Uygulama mimarisi ve teknoloji yığını analizi
- 02 OWASP ASVS kontrol listesine göre sistematik kod incelemesi
- 03 Kimlik doğrulama, oturum yönetimi ve erişim kontrolü doğrulaması
- 04 Kriptografi kullanımı ve veri koruma analizi
- 05 Hata yönetimi, loglama ve giriş doğrulama kontrolleri
- 06 İş mantığı ve veri akışı güvenlik analizi
- 07 Bulguların raporlanması ve güvenli kodlama önerileri