Kaynak Kod Analizi ve Uygulama Güvenliği
İş Mantığı ve Yetkilendirme Analizi
Uygulamanızda kimin neyi yapabileceğini belirleyen kuralları hem kodda hem çalışan uygulamada test ediyoruz. Bir müşterinin başka bir müşterinin verisine erişebildiği veya bir onay adımının atlanabildiği noktaları tespit ediyoruz.
Nedir?
İş mantığı hatası, kodun teknik olarak doğru çalışıp yanlış bir işleme izin vermesidir. Bir kullanıcının kayıt numarasını değiştirerek başka bir müşterinin kaydını görebilmesi buna örnektir. Otomatik tarama araçları bu hataları tespit edemez, çünkü uygulamanın hangi kurala uyması gerektiğini bilmezler. Analiz, rol ve yetki matrisinizi koddaki gerçek kontrollerle karşılaştırır.
Kapsam
- Her uç noktanın (endpoint) rol ve yetki matrisinizle karşılaştırılması
- Bir kaydın yalnızca sahibine ve yetkili rollere açıldığının kontrolü
- Çok kiracılı (multi-tenant) yapılarda müşteri verilerinin ayrımı
- Talep ve onay adımlarında dört göz ilkesinin uygulanması
- Tutar, limit ve kur hesaplarında yuvarlama ve sınır değerleri
- Eşzamanlı isteklerle bir limitin veya tek kullanımlık hakkın aşılması
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Çok rollü bir müşteri veya bayi portalı yayına alınmadan önce.
- Bir müşteri, başka bir müşteriye ait veriyi gördüğünü bildirdiğinde.
- Kart verisi işleyen bir yazılımda, PCI DSS'in iş mantığı ve erişim kontrolü saldırılarına karşı istediği önlemleri göstermeniz gerektiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Kurallar
Rolleri, onay akışlarını ve limitleri iş birimlerinizle birlikte yazılı bir matrise dökeriz.
-
Kodla karşılaştırma
Matristeki her kuralın kodda nerede ve nasıl uygulandığını buluruz.
-
Rol bazlı test
Her rol için ayrı bir test hesabıyla kuralların çalışan uygulamada da tuttuğunu sınarız.
-
Düzeltme
Yetki kontrolünü tek bir yerde toplayan düzeltmeyi geliştiricilerinizle birlikte tasarlarız.
Sonuç
Çalışmanın sonunda elinizde olan
Hangi rolün hangi işlemi yapabildiği, kodda ve çalışan uygulamada sınanmış olarak elinizdedir. Kuralın tutmadığı her nokta, etkisi ve düzeltmesiyle birlikte listelenmiştir.
Sık sorulan sorular
Bu analiz için kaynak kod şart mı?
Şart değildir. Analiz, rol bazlı test hesaplarıyla çalışan uygulama üzerinden de yapılabilir. Kaynak koda erişim, eksik kontrolün yerini ve aynı hatanın diğer örneklerini daha hızlı gösterir.
Sızma testi bu hataları bulmuyor mu?
Rol bazlı bir sızma testi bir kısmını bulur. Bu analiz kuralları iş birimlerinizle birlikte çıkardığı için, test uzmanının bilemeyeceği iş kurallarındaki hataları da kapsar.
Tutar ve limit testleri canlı ortamda yapılır mı?
Bu testler gerçek parayı ve müşterileri etkileyebileceği için test ortamında yapılır. Canlı ortamda yalnızca onayınızla ve veri değiştirmeyen kontroller yapılır.
Kaynak Kod Analizi ve Uygulama Güvenliği
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın