Caner ÖZDEN Güvenlik Planlama Uzmanı Mühendis, Avea Web Uygulama Güvenliği ve Kariyer

1. UYGULAMA GÜVENLIĞI VE
GELECEK HAKKıNDA TAHMINLER
TAHMINLERIN ÇOĞU ÇıKMAYABILIR

2. KIMIM BEN ?
• Caner Özden
• Matematik ve Bilgisayar Bilimleri
• Yazılım Uzmanı ve Bilgi Güvenliği Kıdemli Uzmanı
• Aselsan, Havelsan, BGA, Avea, TT Grup
• twitter.com/canerozden

3. SUNUMDA NELER VAR ?
• Uygulama güvenliği ne ola ki ?
• Neden uygulama güvenliği ? Trend mi yoksa ?
• Bu alanda ilerlersek çok para kazanılır mı ?
• Bordrolu, SGK’lı Hacker
• Gelecekte neler olur ?

4. TAHMINLER
• Hendy Ford ilk Ford araçlarını ürettiği zaman insanların sadece siyah ve tek
tip araç isteyeceğini iddaa ederek farklı model araç üretimini gerekli
görmemiştir.
• Televizyon en geç altı ay içinde piyasadan silinecektir. İnsanlar her akşam
böyle bir kutuya bakmak istemezler. Daryik F. Zanuck
• http://tr.wikiquote.org/wiki/Bilimsel_gaflar
• Tahminler sadece tahmindir, ayrıca hatasız kul olmaz.

5. UYGULAMA GÜVENLIĞI NEDIR ?
• Güvenliğin tanımı aksiyomatik, vakit kaybetmeye gerek yok, kabul edelim
herkes güvenlik ister. (En çok şirketler !)
• Güvenliğin Türleri
- Ağ Güvenliği
- Sistem Güvenliği
- Uygulama Güvenliği

6. İLK ZAMANLAR
• Ağ Güvenliği önemliydi, tam standartlar belirlenmiş değildi.
• Şirketlerde ağ kurulumu bile yeni idi.
• Bir musibet bin nasihattan iyidir. (Güvenlik zamanla anlaşılmaya başlandı)

7. UYGULAMA GÜVENLIĞI NEDIR ?
• Uygulama güvenliği, yazılımların kod seviyesinde yapılan hatalardan dolayı,
bilgi sızdırılması veya sistemlerin ele geçirilmesi ile sonuçlanan olayları
inceleyen bilim dalı, ilgi alanı.

9. UYGULAMALARDAKI HATALAR
• Yazılım geliştiricilerin gerçekleştirmesi gereken çok fazla görev var.
• Fonksiyonellik
• Hatasız çalışma
• Kullanım kolaylığı
• Zaman kısıtı

10. DEADLINE GELİŞTİRİCİNİN DÜŞMANI
• Saldırganlar yazılımcıların yaptıkları yazılımsal hatalardan yararlanırlar.
• Zaman kısıtı altında ve standartlara uygun geliştirilmeyen yazılımlar
• Sürekli iş değiştiren yazılımcılar
• Kodlar bir zaman sonra karışıyor (Spagetti kod)

11. NE TIP HATALAR
• Şüpheci Yaklaşım
• Doğrulama Eğilimi
• Akışkan ve saydam bir sıvının su olma öngörüsü
• Userid değişkeninin integer alma öngörüsü

12. NE TIP HATALAR
• Girdi Denetimi -> En önemlisi
• İş mantığındaki hatalar

13. HATA VE BILGI MESAJLARINDAN FAYDALANMAK

14. OWASP
• Open Web Application Security Project
• Web uygulamalarının güvenliği ile ilgilenen bir kuruluş, kar amacı gütmez.
• Her sene en çok çıkan 10 zafiyet türünü belirleyip, konu hakkında yayınlar
çıkarır.

15. HATALARI ÖNCEDEN BELIRLEMEK
• Uygulama güvenlik uzmanlarının en temel görevlerinden biri, geliştirilmiş ve
canlı ortama çıkmak üzere hazırlanmış uygulamaları güvenlik açısından
inceleyerek bu hata durumlarını raporlayıp, düzeltilmesine yardımcı olmaktır.

16. HATALAR NASIL BELIRLENIR
• Tehdit Modelleme
• Kaynak Kod Analizi
• Uygulama Zafiyet Testi (Pentest diye de bilinir)

17. TEHDIT MODELLEME
• Uygulama tehdit modelleme, uygulamaların functional ve non-functional
özelliklerini içeren tasarımlar üzerinde abuse case (use case’den hatırlayın)
çizerek, olası güvenlik zafiyetleri ile ilgili sorunları ortaya çıkarmak için
yapılan işlemdir.

18. TEHDIT MODELLEME

19. MICROSOFT SECURE SDLC
• Oooooooo Microsoft mu ? Yoksa sen ?!?
• Owasp Secure SDLC konusunda en çok Microsoft yayınlarından faydalanır.
• Adam Shostack (Microsoft Secure SDLC ve Thread Modeling)

20. KAYNAK KOD ANALIZI
• Kod güvenlik açısından incelenir, zafiyet içeren kod desenleri taranarak
raporlanır.
• HP Fortify
• IBM Appscan
• Checkmarx (Yeni bir startup, Israil’de)

21. CHECKMARX WWW.GAMEOFHACKS.COM

22. GAME OF HACKS - SORULAR

23. PENETRASTON TESTLERI / PENTEST
• 3’e ayrılır.
- Black Box (Saldırgan Gözü)
- White Box (Bilgi Alarak)
- Grey Box (Karışık)

24. PENTEST NEDIR
• Uygulamalar saldırgan gözü ile denetlenerek hack’lenmeye çalışılır.
• Sadece uygulama güvenliği ile ilgili değil, network zafiyetleri de incelenir.
• Otomatize araçlar ve manuel olarak gerçekleştirilir.

25. OTOMATIZE ARAÇLAR
• Netsparker (Türkiye girişimi)
• Acunetix
• IBM Appscan
• HP Web Inspect

26. MANUELDE KULLANıLAN ARAÇLAR
• Burp Suite (Tek geçerim)
• Owasp ZAP
• SQL Map
• Kali Linux içerisindeki araçlar

27. ZAFIYET TÜRLERI

28. HEPSINE BAKMAK IMKANSıZ
• Bir uygulama güvenliği eğitimi en az 3 gün sürmekte.
• Yazılım geliştirme tecrübesi
• Deneme, deneme, deneme !

29. MAP.IPVIKING.COM
• Zafiyetleri real-time izleme

30. SEKTÖR HAKKINDA TAHMINLER 1
• Güvenlik denetimlerinde pentest’in yerini Secure SDLC ve Kaynak Kod Analizi
alacak
• Oraya yönelin !
• Soru ???

31. SEKTÖR HAKKINDA TAHMINLER 2
• Güvenlik önlemleri artık framework’lere daha fazla bırakılmaya başlanacak.
• Geleneksel güvenliğin yeri daha fazla sistemlere devredilmeye başlanacak.

32. SEKTÖR HAKKINDA TAHMINLER 3
• Geleneksel güvenlik araçlarını yerini yeni nesil araçlar alacak.
• Yeni nesil güvenlik aracı nedir ?
• İmza tabanlı araçların yerini davranışsal analiz yapan araçlar alacak.

33. SEKTÖR HAKKINDA TAHMINLER 4
• Incident Response (Anında Müdahale) ekipleri revaçta
• Computer Forensics öğrenmeye bakın.
• Pentest bilmeden olmaz !!!

34. SEKTÖR HAKKINDA TAHMINLER 5
• Zero day ataklar artacak
• Önlem mekanizmaları neler olabilir ?
• Araştırma konusu ???
• Yeni start up’lar çıkabilir.

35. BLOG TUTUN !!!
• Yaptığım en büyük hata
• Kitap okuyun !
• Sürekli deneme yapın !!!

36. DEMO
• Shape Security
• Malware ve RoBot’lara karşı önlemler

37. BOTWALL
• Post datası üzerinde obfuscation işlemi
• Sıralamayı karıştırmak
• Başka neler yapılabilir ?
• Tüm HTML ve HTTP elemanları

38. PERFORMANS
• Bu sistemdeki tek sorun performans sorunu yaşanması
• WAF ile entegrasyon yapılabilir.
• PoC için IIS Module yazılmakta.
• Html ve Javascript parsing işlemi için AST kullanılıyor. (Abstract syntax tree)

39. SORULAR