WEB Uygulamalarına Yapılan Ataklar ve Uygulama
Özet
Bu çalışma, internetin yaygınlaşmasıyla artan web teknolojileri kullanımının beraberinde getirdiği güvenlik ihtiyaçlarını ve web uygulamalarına yönelik tehditleri incelemektedir. Araştırmada literatür taraması yöntemi kullanılmış ve OWASP Top 10 (2021) listesinde yer alan bozuk erişim kontrolü, kriptografik arızalar, enjeksiyon, güvensiz tasarım ve hatalı güvenlik yapılandırmaları gibi en sık karşılaşılan on saldırı yöntemi detaylandırılmıştır. Web uygulamalarına yapılan saldırıların tespit edilmesinde imza tabanlı sistemler, anomali tespiti ve merkezi log sunucularında olayların korelasyonu gibi yöntemlerin önemi vurgulanmaktadır. Ayrıca, web trafiğinin %77'sinin şifreli olduğu günümüzde, güvenlik cihazlarında SSL inceleme özelliklerinin aktif edilmesi gerektiği belirtilmiştir. Çalışma kapsamında bWAPP uygulaması üzerinden Check Point güvenlik duvarı, Apache, MySQL ve IBM QRadar gibi bileşenlerle üç farklı saldırı simülasyon senaryosu (port taraması ve SQL enjeksiyonu, aşırı HTTP 500 hatası ve SQL enjeksiyonu ile siber tehdit istihbaratı destekli iframe enjeksiyonu) gerçekleştirilmiştir. Bu senaryolarda, olay yönetim sistemi (SIEM) kuralları aracılığıyla saldırgan IP adreslerinin otomatik olarak tespit edilip IPS üzerinden belirli bir süre karantinaya alınması sağlanmıştır. Sonuç olarak, insani faktörleri azaltmak adına güvenli yazılım geliştirme eğitimlerinin verilmesi, altyapı sıkılaştırmaları, WAF kullanımı ve otomatik cevap sistemlerinin kurgulanması önerilmektedir.
This study examines the security requirements and threats against web applications brought about by the increasing use of web technologies with the widespread adoption of the internet. The literature review method was utilized in the research, and the ten most common attack methods in the OWASP Top 10 (2021) list, such as broken access control, cryptographic failures, injection, insecure design, and security misconfigurations, were detailed. The importance of methods such as signature-based systems, anomaly detection, and correlation of events in central log servers in detecting attacks on web applications is emphasized. Additionally, it is stated that SSL inspection features must be activated on security devices today, where 77% of web traffic is encrypted. Within the scope of the study, three different attack simulation scenarios (port scanning + SQL injection, excessive HTTP 500 errors + SQL injection, and cyber threat intelligence-supported iframe injection) were performed over the bWAPP application using components like Check Point firewall, Apache, MySQL, and IBM QRadar. In these scenarios, attacker IP addresses were automatically detected through security information and event management (SIEM) rules and quarantined over the IPS for a certain period. Consequently, providing secure software development training to mitigate the human factor, infrastructure hardening, WAF utilization, and the implementation of automated response systems are recommended.
Referanslar
Aslan, B. (2007). Web 2.0, teknikleri ve uygulamaları. XII.Türkiye’de İnternet Konferansı Bildirileri, 8-10.
Avcı, İ., Koca, M., & Atasoy, M. (2021). Windows Tabanlı Uygulamalarda SQL Enjeksiyon Siber Saldırı Senaryosu ve Güvenlik Önlemleri. Avrupa Bilim ve Teknoloji Dergisi, 213-219.
Baykara, M., Daş, R, & Tuna, G. (2016). Web Sunucu Erişim Kütüklerinden Web Ataklarının Tespitine Yönelik Web Tabanlı Log Analiz Platformu. Fırat Üniversitesi Mühendislik Bilimleri Dergisi, 291-302.
Çağlayan, İ. (2004). Yeni web teknolojileri ve web uygulamaları (Doctoral dissertation, İstanbul Kültür Üniversitesi/Fen Bilimleri Enstitüsü/Bilgisayar Mühendisliği Anabilim Dalı). 5-15
Çakmak, A. (2018). Web güvenliğinde SSL/TLS kriptografik protokolü: açıklıklar, saldırılar ve güvenlik önlemleri (Master's thesis, İstanbul Şehir Üniversitesi Fen Bilimleri Enstitüsü). 63 -98
Çınar, I., & Bilge, H. Ş. (2016). Web Madenciliği Yöntemleri ile Web Loglarının İstatistiksel Analizi ve Saldırı Tespiti. Bilişim Teknolojileri Dergisi, 9(2), 125.
Çiftçi, H. (2013). Her Yönüyle Siber Savaş. TÜBİTAK,
Demirol, D., Daş, R., & Baykara, M. (2013). SQL enjeksiyon saldırı uygulaması ve güvenlik önerileri. In 1st International Symposium on Digital Forensics and Security (1. Uluslararası Adli Bilişim ve Güvenlik Sempozyumu) 62-66.
Gaissecurity (2021). Bkz.https://gaissecurity.com/bilgi/ssrf-server-side-request-forgery environments (Erişim: 01 Aralık 2021).
Gülnaz, M. (2010). Kamusal Web Güvenliği (Türkiyede Kamu Kurumlarına ve Özel Şirketlere Ait Web Sitelerinin Web Güvenliği Açısından Değerlendirilmesi Üzerine Bir Araştırma) (Doctoral dissertation, Marmara Universitesi (Turkey)). 65-146
Karaarslan, E. (2008). Web saldırı saptama sistemlerinin etkinleştirilmesi için sistem farkındalığı ve çok katmanlı güvenlik önlemlerinin gerçekleştirilmesi. ( Doktora Tezi, Ege Üniversitesi Fen Bilimleri Enstitüse Bilgisayar Mühendisliği Anabilim Dalı, İzmir) 67-91
Karaaslan, E., Tuğlular, T., & Şengonca, H. (2008). Kurumsal web güvenliği yapısı. Akademik Bilişim, 237-246.
Mitropoulos, D., Louridas, P., Polychronakis, M., & Keromytis, A. D. (2017). Defending against web application attacks: approaches, challenges and implications. IEEE Transactions on Dependable and Secure Computing, 188-203.
Of, M. (2019). Siber Güvenlik Üzerine Bir Araştırma: Yazılım Güvenliği. Bayburt Üniversitesi Fen Bilimleri Dergisi, 2(2), 254-260.
Owasp1 (2021). Bkz.https://owasp.org/www-project-top-ten (Erişim Tarihi: 01.12.2021)
Owasp10 (2021). Bkz.https://owasp.org/Top10/A10_2021-Server-Side_Request_Forgery_(SSRF) (Erişim: 01 Aralık 2021).
Owasp2 (2021). Bkz.https://trendmicro.com/en_us/devops/21/k/overview-owasp-top-10-2021.html (Erişim: 01 Aralık 2021).
Owasp3 (2021). Bkz.https://owasp.org/Top10/A01_2021-Broken_Access_Control (Erişim: 01 Aralık 2021).
Owasp4 (2021). Bkz.https://owasp.org/Top10/A04_2021-Insecure_Design (Erişim: 01 Aralık 2021)
Owasp5 (2021). Bkz.https://owasp.org/Top10/A05_2021-Security_Misconfiguration (Erişim: 01 Aralık 2021)
Owasp6 (2021). Bkz.https://owasp.org/Top10/A06_2021-Vulnerable_and_Outdated_Components (Erişim: 01 Aralık 2021).
Owasp7 (2021). Bkz.https://owasp.org/Top10/A07_2021-Identification_and_Authentication_Failures (Erişim: 01 Aralık 2021)
Owasp8 (2021). Bkz.https://owasp.org/Top10/A08_2021-Software_and_Data_Integrity_Failures (Erişim: 01 Aralık 2021).
Owasp9 (2021). Bkz.https://owasp.org/Top10/A09_2021-Security_Logging_and_Monitoring_Failures (Erişim: 01 Aralık 2021).
Özbek, M., (2019). Mikroservis Tabanlı Ağ Uygulamalarında Zararlı Davranışların Saptanması (Yüksek Lisans Tezi, İstanbul Teknik Üniversitesi Fen Bilimleri Bilgisayar Mühendisliği Anabilim Dalı, İstanbul )
Sağıroğlu, Ş., & Alkan, M. (2018). Siber Güvenlik ve Savunma Farkındalık ve Caydırıcılık. Grafiker Yayınları
Sarısakal, N., & Uysal, M. (2001). Web teknolojilerindeki hızlı gelişmelerin ve web programlama araçlarının incelenmesi. Istanbul University-Journal of Electrical ve Electronics Engineering, 2-4.
Securityintelligence (2021). Bkz.https://securityintelligence.com/posts/x-force-report-hacking-cloud-environments (Erişim: 01 Aralık 2021).
Sevri, M. (2016). Web saldırılarının tespitine yönelik yapay zeka tabanlı bir güvenlik modülü geliştirilmesi (Yüksek Lisans Tezi, Gazi Üniversitesi Bilişim Enstitüsü Bilişim Sistemleri Ana Bilim Dalı, Ankara)
Tekerek, A., Gemci, C., & Bay, Ö. F. (2016). Web tabanlı saldırı önleme sistemi tasarımı ve gerçekleştirilmesi: yeni bir hibrit model. Gazi Üniversitesi Mühendislik Mimarlık Fakültesi Dergisi, 645-653.
W3techs (2021). Bkz.https://w3techs.com/technologies/details/ce-httpsdefault (Erişim: 01 Aralık 2021).
Yalçınkaya, M. A., & Küçülsille, E. (2021). Web Uygulama Sızma Testlerinde Kapsam Genişletme İşlemi İçin Metodoloji Geliştirilmesi ve Uygulanması. Süleyman Demirel Üniversitesi Fen Bilimleri Enstitüsü Dergisi, 25(1), 16-27.
