Hesap açan, sipariş veren ve daha sonra faturasını indirmek için dönen bir müşteri düşünün. Her şey doğal ilerliyor: site müşteriyi tanıyor, doğru belgeleri gösteriyor ve sonraki adımı anlaşılır kılıyor. Bu varsayımsal yolculuk, web güvenliğini anlamak için yararlı bir başlangıçtır.
Bu yalın deneyimin arkasında kimlik, erişim, iletişim ve bakım kararları bulunur. Güvenlik denetimi bu kararları görünür kılar; ekip her korumanın deneyime katkısını anlayabilir.
Bu rehberin kapsamı
Bu rehber kavramları anlatır. Ücretsiz Yayına Hazırlık Snapshot’ı sekiz pasif kontrolde yalnızca herkese açık sinyalleri okur: DNS ve e-posta kayıtları, alan adı kaydı, TLS el sıkışması ve ana sayfanın HTTP yanıtı. Siteye giriş yapmaz, hesap ve yetkileri incelemez. Sızma testi (pentest) değildir.
1. Korumaları gerçek bir yolculuk boyunca izleyin
Ziyaretçi için önemli bir görevle başlayın: hesap açmak, sipariş görmek veya destek talebi göndermek. İlgili sayfa, hizmet ve kayıtları listeleyin. Böylece incelemenin somut bir hedefi olur ve teknik çalışma insanların değer verdiği bir sonuçla birleşir.
Ağ amaçlanan hizmetlere erişim sağlar. Uygulama hesabı tanır ve izinleri uygular. Tarayıcı içeriği şifreli bağlantıyla alır, yanıt politikalarını izler. Barındırma sağlayıcıları ve yazılım bağımlılıkları arka planda bunları destekler. OWASP Web Güvenliği Test Rehberi bu katmanları düzenli incelemeyi sağlar. Yolculuğu izlemek, her uzmanın katkısını bütün içinde görmesine yardım eder.
2. Her korumayı yararlı bir sonuçla ilişkilendirin
| Koruma | Kazanım | İyi uygulama |
|---|---|---|
| Kimlik doğrulama | Hesabı tanımak için tutarlı yöntem | Giriş, doğrulama ve hesap kurtarmayı birlikte inceleyin |
| Yetkilendirme | Kişi amaçlanan kayıt ve işlemlere ulaşır | Rolleri belgeleyin, kararları sunucuda kontrol edin |
| TLS ve tarayıcı politikaları | Korumalı iletişim ve öngörülebilir içerik işleme | Genel alan adlarını, sertifikaları ve iletilen başlıkları inceleyin |
| Bakımı yapılan hizmetler | Düzenli işletim için anlaşılır temel | Sorumlu atayın ve desteklenen sürümleri kullanın |
Bu sonuçlar ekibin öncelikleri yapıcı konuşmasını sağlar. Çok kullanılan müşteri hesabı akışı önce ele alınabilir. Ortak bileşeni incelemek de birçok sayfaya aynı iyi uygulamayı taşıdığı için değerlidir. Çalışmayı desteklediği deneyime ve yarar görecek alanlara göre seçin.
3. Hesaplara tutarlı ve rahat bir deneyim sunun
Kimlik doğrulama hizmeti kullanan hesabı belirler. Yetkilendirme izin verilen işlem ve kayıtları seçer. Kuralları günlük dille yazın: müşteri kendi faturalarını görür, destek çalışanı atanmış taleplerle ilgilenir, yönetici ekip ayarlarını düzenler. Bu açıklama yararlı bir test planına dönüşür.
Kayıt, giriş, doğrulama, kurtarma ve çıkışı tek deneyim olarak inceleyin. Parola yöneticilerini ve açık form etiketlerini destekleyin. Çok etkenli doğrulamanın uygun olduğu hesaplarda anlaşılır etkinleştirme ve kurtarma adımları sağlayın. OWASP kimlik doğrulama rehberi temel kontrolleri açıklar. Amaçlanan rolleri temsil eden özel test hesapları ve kolay tanınan örnek kayıtlar kullanın.
4. Teknik gözlemleri paylaşmayı kolaylaştırın
İyi inceleme neye bakıldığını ve ne olduğunu kaydeder. Tam sayfa veya hizmeti, ilgili yanıt değerini, beklenen davranışı ve izlenen adımları ekleyin. Paylaşılan notlarda örnek veri ve maskelenmiş kimlik bilgileri kullanın. Geliştirici, destek ekibi ve sonraki inceleyiciler ortak bir kaynağa sahip olur.
Gözlemleri sahibi olan bileşene göre gruplayın. Birçok sayfa tek oturum ayarını, birçok ağ kontrolü tek hizmeti kullanabilir. Genel sitede HTTPS çoğunlukla 443 portundadır; 80 portu HTTPS adresine geçiş sağlar. Hizmetin amacını kaydetmek teknik listeyi anlaşılır haritaya dönüştürür. Başarılı kontrolleri yararlı takip adımlarıyla birlikte tutarak mevcut korumaları da görünür kılın.
5. İyi uygulamaları günlük geliştirmeye katın
Yerleşik kimlik doğrulama bileşenleri, parametreli veritabanı sorguları ve sunucu tarafı izin kontrolleri kullanın. Kimlik bilgilerini sorumlusu ve yenileme süreci belli güvenli depoda tutun. Oturum çerezlerini gerçek hesap yolculuğuna göre ayarlayın. OWASP başlık rehberi tarayıcı ve çerez politikalarının katkısını açıklar.
Hizmet amacı, sorumlusu, sürümü ve güncelleme yöntemi içeren kısa kayıt tutun. Ödeme sağlayıcısı veya destek bileşeni eklenince kayda işleyip ilgili akışı deneyin. Planlı güncellemeler ve bilinen bir ayarın hazır tutulması koordinasyonu kolaylaştırır. Şablonlar boyunca tutarlı kullanılan küçük bir uygulama kümesi, siteyi geliştiren herkes için ortak standart oluşturur.
6. Tekrarlanabilir bir inceleme düzeni kurun
Bir başlangıç kaydı seçin ve ilgili değişikliklerden sonra aynı kontrolleri yineleyin. Anlamlı karşılaştırma için hedefi, rolü ve yolculuğu aynı tutun. İzinlerde her test hesabının amaçlanan erişimi aldığını doğrulayın. Tarayıcı politikalarında ziyaretçinin kullandığı form ve dış hizmet dönüşlerini tamamlayın.
- İncelenen sayfa, rol ve işlemleri kaydedin.
- İletilen yanıtları inceleyip gözlenen korumayı yazın.
- Temsilî hesaplarla amaçlanan kullanıcı yolculuğunu tamamlayın.
- Sonucu, sorumlusunu ve sonraki inceleme zamanını kaydedin.
Barındırma, giriş, ortak şablon veya bağlı hizmet değişikliği uygun inceleme fırsatıdır. Tarihli kayıt yeni çalışanın ayarların mantığını anlamasını sağlar. Zamanla bu düzen, sitenin nasıl korunduğuna ve önemli müşteri işlemlerinin nasıl desteklendiğine ilişkin yararlı geçmiş oluşturur.
7. Küçük bir ilk incelemeyle başlayın
Bir genel sayfa ve bir hesap işlemi seçip korumalarını kısa kontrol listesinde anlatın. Sitelemetry bu inceleme için gözlemlenebilir güvenlik bilgilerini ve kontrollerini düzenlemeye yardımcı olabilir. Bağlantı katmanı için TLS ve tarayıcı koruması, alan adı iletişimi için DNS ve e-posta rehberini keşfedin. Sitenizin gönderdiği güvenlik başlıklarına tek başına bakmak için ücretsiz güvenlik başlıkları kontrolünü, alan adınızın e-posta kayıtları için SPF ve DMARC kontrolünü kullanabilirsiniz.
Sık sorulan sorular
İlk güvenlik incelemesi nasıl seçilir?
Önemli bir müşteri yolculuğu seçin, sayfalarını ve hesap rollerini belirleyin; kimlik, izin ve iletişimin onu nasıl desteklediğini kaydedin. Temsilî hesaplarla deneyip sonuçları sonraki karşılaştırmalar için saklayın.
İnceleme ne sıklıkta tekrarlanır?
Barındırma taşınması, giriş güncellemesi ve yeni entegrasyon gibi anlamlı değişikliklerle ilişkilendirin. Buna sitenize ve ekibinize uygun düzenli bakım alışkanlığı ekleyin.
Sonuçları uygulanabilir kılan nedir?
Tam hedefi, gözlenen değeri, beklenen davranışı ve sorumlu bileşeni kaydedin. İlgili kontrolleri gruplayın; her takip işine sorumlu ve gözlenebilir tamamlanma koşulu verin.
Kaynaklar ve ileri okuma
- OWASP Web Güvenliği Test Rehberiowasp.org
- OWASP: kimlik doğrulama rehbericheatsheetseries.owasp.org
- OWASP HTTP başlık rehbericheatsheetseries.owasp.org
Sitelemetry yayın ekibi tarafından hazırlanmıştır. Konuyu derinleştirmek için bağlantılı kaynakları inceleyebilirsiniz.
