Kapsam
Kontrol kapsamı
Her kontrolün neye baktığını ve hangi standarda karşılık geldiğini aşağıda listeledik. Liste, yeni açık türleri ortaya çıktıkça güncellenir.
01
Web siteleri
OWASP Top 10 (2021) ve CWE ile eşlenir. Tüm kontroller zarar vermeyen okuma istekleridir.
| Kontrol | Neye bakıyoruz | OWASP / CWE |
|---|---|---|
| TLS protokolleri ve şifre takımları | TLS 1.0/1.1 kabul ediliyor mu, zayıf şifre takımları açık mı, HTTP istekleri HTTPS’e yönleniyor mu. | A02:2021 · CWE-326, CWE-327, CWE-319 |
| Sertifika | Zincir eksiksiz mi, ad eşleşiyor mu, süresi ne zaman doluyor, kendinden imzalı mı. | A02:2021 · CWE-295 |
| HSTS | Strict-Transport-Security başlığı var mı, süresi yeterli mi, alt alan adlarını kapsıyor mu. | A05:2021 · CWE-319 |
| İçerik Güvenliği Politikası | CSP tanımlı mı; unsafe-inline, unsafe-eval veya joker kaynaklar politikayı etkisiz kılıyor mu. | A05:2021 · CWE-693, CWE-79 |
| Çerçeveleme ve tür koklama | X-Frame-Options / frame-ancestors ve X-Content-Type-Options başlıkları. | A05:2021 · CWE-1021, CWE-693 |
| Referrer ve izin politikaları | Referrer-Policy ve Permissions-Policy başlıkları. | A05:2021 · CWE-200 |
| Çerez öznitelikleri | Oturum çerezlerinde Secure, HttpOnly ve SameSite eksik mi. | A05:2021 · CWE-614, CWE-1004, CWE-1275 |
| CORS yapılandırması | Her kaynağa izin veren veya kimlik bilgisiyle birlikte joker kullanan yanıtlar. | A05:2021 · CWE-942 |
| Açıkta kalan dosyalar | .git, .svn, .env, yedek arşivler, phpinfo, günlük ve yapılandırma dosyaları. Yalnızca varlık kontrolü yapılır; içerik indirilmez. | A05:2021 · CWE-538, CWE-200, CWE-530 |
| Dizin listeleme ve hata sayfaları | Sunucu dizin içeriğini listeliyor mu, hata sayfaları yığın izi veya sürüm sızdırıyor mu. | A05:2021 · CWE-548, CWE-209 |
| Sürüm bilgisi sızıntısı | Server, X-Powered-By ve benzeri başlıklarda yazılım sürümü. | A05:2021 · CWE-200 |
| İstemci tarafı kütüphaneler | Sayfada yüklenen JavaScript kütüphanelerinin sürümü ve bilinen açıkları. | A06:2021 · CWE-1104 |
| Sunucu yazılımı sürümü | Görünen sunucu ve çatı sürümlerinin bilinen açıkları (CVE) ile eşleştirilmesi. | A06:2021 · CWE-1104 |
| Karışık içerik | HTTPS sayfasında HTTP üzerinden yüklenen betik ve stiller. | A02:2021 · CWE-319 |
| Form güvenliği | Parola alanları HTTP’ye mi gönderiliyor, otomatik doldurma açık mı. Form gönderilmez. | A07:2021 · CWE-319, CWE-522 |
| E-posta alan adı güvenliği | SPF ve DMARC kayıtları var mı, politika gevşek mi. | CWE-290 |
| security.txt | Güvenlik bildirimleri için iletişim kanalı yayımlanmış mı. | Bilgi |
02
Android uygulamaları (APK)
OWASP MASVS ve CWE ile eşlenir. Uygulama çalıştırılmaz; paket statik olarak incelenir.
| Kontrol | Neye bakıyoruz | MASVS / CWE |
|---|---|---|
| Hata ayıklama ve yedekleme bayrakları | android:debuggable ve android:allowBackup değerleri. | MASVS-RESILIENCE · MASVS-STORAGE-2 · CWE-489, CWE-530 |
| Dışa açık bileşenler | İzin koşulu olmadan dışa açık activity, service, receiver ve provider bileşenleri. | MASVS-PLATFORM-1 · CWE-926 |
| Tehlikeli izinler | Uygulamanın istediği izinlerin işleviyle orantılı olup olmadığı. | MASVS-PLATFORM-1 · CWE-250 |
| Ağ güvenliği yapılandırması | usesCleartextTraffic, network_security_config, kullanıcı sertifikalarına güven. | MASVS-NETWORK-1 · CWE-319, CWE-295 |
| Gömülü sırlar | Koda veya kaynaklara gömülmüş API anahtarları, parolalar, özel anahtarlar, bulut kimlik bilgileri. Değerler raporda maskelenir. | MASVS-STORAGE-1 · CWE-798, CWE-321 |
| Şifreleme kullanımı | ECB kipi, MD5/SHA-1 ile parola özeti, sabit IV, güvensiz rastgele sayı üreteci. | MASVS-CRYPTO-1 · CWE-327, CWE-330 |
| WebView yapılandırması | JavaScript arayüzleri ve dosya erişimi ayarları. | MASVS-PLATFORM-2 · CWE-749 |
| İmza ve sertifika | İmza şeması sürümü, sertifika süresi ve hata ayıklama sertifikasıyla imzalanmış olup olmadığı. | MASVS-RESILIENCE-2 · CWE-347 |
| Hedef SDK sürümü | minSdk ve targetSdk değerleri; eski platform davranışlarına açık kalma. | MASVS-CODE-1 · CWE-1104 |
| Üçüncü taraf kütüphaneler | Pakete gömülü kütüphanelerin sürümü ve bilinen açıkları. | MASVS-CODE-3 · CWE-1104 |
03
Windows yazılımları (EXE)
PE dosya yapısı statik olarak incelenir; dosya çalıştırılmaz.
| Kontrol | Neye bakıyoruz | CWE |
|---|---|---|
| Dijital imza | Dosya imzalı mı, imzalayan sertifika kim, imza zaman damgalı mı. | CWE-347 |
| Derleme korumaları | ASLR (DYNAMICBASE, HIGHENTROPYVA), DEP (NXCOMPAT), CFG ve SafeSEH bayrakları. | CWE-693 |
| Gömülü sırlar | Bağlantı dizeleri, parolalar, API anahtarları, iç ağ adresleri. Değerler raporda maskelenir. | CWE-798, CWE-200 |
| Paketlenmiş bileşenler | OpenSSL, zlib, SQLite gibi gömülü kütüphanelerin sürümleri ve bilinen açıkları. | CWE-1104 |
| Güvensiz API kullanımı | Tehlikeli fonksiyonların içe aktarılması (strcpy, gets ve benzerleri). | CWE-676, CWE-120 |
| Paketleyici ve karartma izleri | UPX ve benzeri paketleyiciler; yüksek entropili bölümler. | Bilgi |
| Bildirim dosyası (manifest) | Yönetici yetkisi isteği, DLL arama sırası ve yükleme ayarları. | CWE-250, CWE-427 |
04
Küresel tehdit takibi
CISA KEV ve OSV veritabanlarıyla eşleştirme.
- CISA KEV
- ABD Siber Güvenlik Ajansı’nın (CISA) “gerçekte istismar edildiği bilinen açıklar” kataloğu. Listeyi düzenli olarak güncelliyoruz. Raporunuzdaki bir bileşen bu listedeki bir açıktan etkileniyorsa bulgu ayrıca işaretlenir ve önceliği yükseltilir.
- OSV
- Açık kaynak paketlerin bilinen açıklarını sürüm aralıklarıyla tutan veritabanı. Kütüphane ve bileşen sürümleri bu kayıtlarla eşleştirilir.
- NVD / CVE
- Her bilinen açık CVE numarasıyla verilir ve NIST NVD kaydına bağlantılıdır.
05
Kapsam dışı
Otomatik denetimin bulamayacağı şeyleri açıkça yazıyoruz.
- İş mantığı hataları: indirim kodunun iki kez kullanılabilmesi, sipariş tutarının değiştirilebilmesi gibi.
- Yetkilendirme hataları: bir kullanıcının başka bir kullanıcının kaydını görebilmesi (IDOR) gibi; bunları bulmak için oturum açıp farklı rollerle denemek gerekir.
- Giriş gerektiren sayfalar: tarayıcımız oturum açmaz.
- SQL enjeksiyonu, XSS gibi açıkların istismarla doğrulanması: istismar denemesi yapmıyoruz.
- Sunucu iç yapılandırması, ağ ve fiziksel güvenlik, sosyal mühendislik.
Ödeme alan, sağlık veya kişisel veri işleyen ya da kritik altyapıya bağlı sistemler için bu raporu bir başlangıç noktası olarak kullanın ve yılda en az bir kez deneyimli bir uzmana sızma testi yaptırın.