OWASP Top 10 nedir? En önemli maddelerini özetleyin.
Cevap
OWASP Top 10, web uygulamalarındaki en kritik güvenlik risklerinin periyodik olarak güncellenen listesidir. Ezber sıra değil, kategorileri ve örneklerini bilmek önemlidir.
| Kategori | Örnek | Önlem |
|---|---|---|
| Broken Access Control | /api/orders/124 ile başkasının siparişini görmek (IDOR) | Her istekte sunucuda sahiplik/rol kontrolü |
| Cryptographic Failures | Parolanın MD5 ile saklanması, HTTP üzerinden veri | TLS, güçlü hash, hassas veriyi şifreleme |
| Injection | SQL, NoSQL, komut injection, XSS | Parametreli sorgu, çıktı encode |
| Insecure Design | Rate limit olmayan şifre sıfırlama | Tehdit modelleme, güvenli tasarım |
| Security Misconfiguration | Açık debug modu, varsayılan şifreler | Sıkılaştırma, güvenlik başlıkları |
| Vulnerable Components | Açığı olan eski npm paketi | npm audit, Dependabot, güncelleme |
| Authentication Failures | Brute force'a açık giriş, zayıf oturum | MFA, rate limit, güvenli session |
| Integrity Failures | İmzasız güncelleme, güvensiz deserialization | İmza doğrulama, güvenilir CI/CD |
| Logging and Monitoring Failures | Saldırının fark edilmemesi | Merkezi log, alarm |
| SSRF | Sunucunun kullanıcı verdiği URL'ye istek atması | URL beyaz listesi, iç ağ erişimini kısıtlama |
Listenin başında yer alan Broken Access Control, pratikte en sık karşılaşılan sorundur: frontend'de butonu gizlemek yetkilendirme değildir, kontrol her zaman sunucuda yapılmalıdır.
İlgili Web Güvenliği soruları
- CORS nedir? Neden CORS hatası alırız?
- XSS ve CSRF saldırıları nedir, nasıl korunulur?
- Authentication ile authorization arasındaki fark nedir?
- Güvenli cookie ayarları nelerdir? Session hijacking nasıl önlenir?
- Content Security Policy (CSP) nedir ve nasıl yapılandırılır?
- Parolalar veritabanında nasıl saklanmalıdır? bcrypt ve Argon2 neden tercih edilir?
Bu konuda başka bir soru biliyor musun?
Mülakatta karşılaştığın soruları ekle, onaylandıktan sonra yayına alınsın.