Zafiyet Araştırması
Ürün Odaklı Zafiyet Araştırması
Belirlediğiniz bir ürün veya bileşende bilinmeyen zafiyetleri arıyoruz. Her zafiyeti, geliştiricilerinizin yeniden üretip düzeltebileceği şekilde belgeliyoruz.
Nedir?
Zafiyet araştırması, bilinen zafiyetleri arayan testlerden farklıdır. Amaç, ürünün kendi kodunda henüz kimsenin bulmadığı hataları ortaya çıkarmaktır. Araştırma, ürünün dışarıdan girdi aldığı noktaların haritasıyla başlar. Bu noktalar kaynak kod incelemesi, fuzzing ve gerektiğinde tersine mühendislikle incelenir.
Kapsam
- Ağ protokolü işleyicileri, dosya ayrıştırıcıları ve API uç noktaları
- Kimlik doğrulama, oturum ve yetkilendirme mantığı
- Güncelleme mekanizması ve imza doğrulaması
- Ürünün üçüncü taraf kütüphaneleri kullanma biçimi
- Kaynak kod yoksa derlenmiş sürüm üzerinde tersine mühendislik
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Ürününüz, kendi güvenlik incelemesini yapan bankalara veya kamu kurumlarına sunulmadan önce.
- Ürüne yeni bir protokol, dosya biçimi veya uzaktan yönetim özelliği eklendiğinde.
- Ürününüz AB pazarına sunulacaksa. Siber Dayanıklılık Tüzüğü, 11 Aralık 2027'den itibaren ürünlerin bilinen ve istismar edilebilir zafiyet içermeden piyasaya sunulmasını ister.
Yöntem
Nasıl çalışıyoruz?
-
Saldırı yüzeyi
Ürünün dışarıdan girdi aldığı her noktayı ve bu noktaların çalıştığı yetki düzeyini çıkarırız.
-
Önceliklendirme
Ağdan erişilebilen ve yüksek yetkiyle çalışan kod yollarını öne alırız.
-
Derin inceleme
Bu kod yollarını elle incelerken aynı giriş noktalarını fuzzing ile sınarız.
-
Bildirim ve yeniden test
Her zafiyeti kök nedeni ve düzeltme önerisiyle bildiririz. Düzeltmeden sonra yeniden test ederiz.
Sonuç
Çalışmanın sonunda elinizde olan
Bulunan her zafiyet için kök neden, etki ve düzeltme önerisi elinizdedir. İncelenen kod yolları da belgelendiği için ürünün hangi bölümlerinin ne derinlikte incelendiğini bilirsiniz.
Sık sorulan sorular
Zafiyet araştırması ile sızma testi arasındaki fark nedir?
Sızma testi, bir sistemi belirli bir sürede bilinen zafiyet türlerine ve yapılandırma hatalarına karşı sınar. Zafiyet araştırması ise tek bir ürünün koduna derinlemesine iner ve henüz bilinmeyen hataları arar.
Kaynak koda erişim gerekir mi?
Gerekmez, ancak araştırmayı hızlandırır ve derinleştirir. Kaynak kod paylaşılamıyorsa derlenmiş sürüm tersine mühendislikle incelenir.
Bulunan zafiyet için CVE kimliği alınır mı?
Ürün sizinse CVE talebi ve duyuru kararı sizindir. CVE kimliğini, ürününüzü kapsayan yetkili bir CNA (CVE Numbering Authority) atar. İsterseniz bu süreçte destek oluruz.
Zafiyet Araştırması
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın