Kaynak Kod Analizi ve Uygulama Güvenliği
Güvenlik Mimarisi İncelemesi
Servisler arası güveni, müşteri ayrımını ve hassas verinin hareketini mimari düzeyde değerlendiriyoruz. Tek bir bileşen ele geçirildiğinde zararın nereye kadar yayılabileceğini gösteriyoruz.
Nedir?
Mimari inceleme, tekil zafiyetlere değil, sistemin bütününe odaklanır. Servislerin birbirini nasıl doğruladığı ve yetkilendirmenin nerede yapıldığı incelenir. Her servisin diğerine koşulsuz güvendiği yapılarda, tek bir zafiyet tüm sisteme yayılabilir. İnceleme, bu yayılmayı sınırlayacak tasarım değişikliklerini belirler.
Kapsam
- Servisler arası kimlik doğrulama (mTLS veya imzalı belirteçler)
- Yetki kararının merkezi mi, her serviste mi verildiği
- Çok kiracılı yapılarda veritabanı, önbellek ve kuyruk düzeyinde müşteri ayrımı
- Kişisel ve finansal verinin servisler, loglar ve yedekler arasındaki akışı
- Sırların ve şifreleme anahtarlarının nerede tutulduğu ve kime açık olduğu
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Monolitik bir uygulamayı mikroservislere bölerken veya buluta taşırken.
- SaaS ürününüze kurumsal müşteriler katılırken ve müşteri ayrımının kanıtı istendiğinde.
- Bir satın alma öncesinde hedef şirketin ürün mimarisini değerlendirmeniz gerektiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Belgeler ve görüşmeler
Mimari diyagramları inceler, mimar ve geliştiricilerinizle görüşürüz.
-
Güven haritası
Hangi bileşenin hangisine, hangi kimlikle ve hangi yetkiyle eriştiğini çıkarırız.
-
Senaryolar
Her kritik bileşen ele geçirildiğinde ulaşılabilecek veriyi ve sistemleri gösteririz.
-
Hedef mimari
Etkiyi sınırlayan değişiklikleri uygulanma sırasıyla birlikte öneririz.
Sonuç
Çalışmanın sonunda elinizde olan
Sisteminizdeki güven ilişkilerini gösteren bir harita ve her kritik bileşenin ele geçirilmesinin etkisi elinizdedir. Etkiyi sınırlayan mimari değişiklikler önceliklendirilmiştir.
Sık sorulan sorular
Mimari inceleme kod incelemesinden nasıl ayrılır?
Kod incelemesi uygulamanın içindeki hataları bulur. Mimari inceleme, bir hata istismar edildiğinde zararın bileşenler arasında nasıl yayılacağını değerlendirir.
Güncel mimari belgemiz yok. Yine de başlayabilir miyiz?
Evet. Belgeyi ekiplerinizle yaptığımız görüşmelerden ve yapılandırmalardan birlikte çıkarırız. Bu belge çalışmanın çıktılarından biri olur.
Çıktı ISO/IEC 27001 için kullanılabilir mi?
ISO/IEC 27001:2022 Ek A, güvenli sistem mimarisi ve mühendislik ilkelerini bir kontrol olarak tanımlar. İnceleme çıktısı, bu kontrolün uygulandığını gösteren kanıtlardan biri olarak kullanılabilir.
Kaynak Kod Analizi ve Uygulama Güvenliği
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın