Web Uygulamaları Güvenliği & IBM Rational AppScan

Transkript

1 Web Uygulamaları Güvenliği & IBM Rational AppScan Mehmet Çağrı ELİBOL Rational Ürün Teknik Satış Uzmanı

2 Gündem Web Uygulamaları Güvenliği Genel Bakış Endüstriyel Durum Uygulama Güvenliği Açıkları WASC, OWASP ve The OWASP Top Ten 2 Yüksek Seviyeli Atağı İnceleme IBM Rational AppScan Ailesinin Ürünlerinin Tanıtımı Sorular ve Cevaplar 2

3 Uygulama Güvenliği Endüstriyel Durum

4 IBM Rational AppScan Basit Güvenlik Görünümü Erişim Kontrolü Ve IDS/IPS Güvenlik Duvarı Kurulum AV Web Sunucusu DOS Saldırıları Databases (veritabanı) Bilinen Web Sunucu Sorunları Uygulama Sunucusu Backend Server/System Internet SSL Özel Uygulama Katmanı Saldırıları Pattern Meerkezli Saldırılar Port Tarama 4

5 Saldırı Gerçekleri LexisNexis Veri Açığı -Washington Post Feb 17, 2008 Ekvator Cumhurbaşkanlığı Websitesi Hacklendi Thaindian, Feb 11, 2008 IndiaTimes.com Kötü Amaçlı Yazılım InformationWeek Feb 17,2008 Ücretsiz MacWorld Expo Platinum Pass CNet, Jan 14, 2008 RIAA wiped off the Net TheRegister, Jan Yunan Bakanlığına Hacker Saldırıları Mac blogları XSS ile Hacklendi The Register, Feb 17, 2008 ekathimerini, Jan 31,2008 Dolandırıcılar İtalyan Bankasını Çarptı Netcraft, Jan Hacker Davidson İstemci Verilerini Çaldı - Falls Tribune, Feb Aşamada Hackleme Wikipedia, Feb Hacker Pennsylvania gvmt i Alaşağı Eder AP, Jan 6, 2008 Çinli Hacker 18M Bilgileri Çaldı - HackBase.com, Feb 10,2008 Drive-by Pharming in the Wild Symantec, Jan

6 Uygulama Katmanı Açıkları: Genel Güvenlik Harcamalar % Saldırılar % Dolar ($) Web Applications 10% 75% 90% 25% Network Server 75% 2/3 Saldırıların %75 i Web Uygulama Katmanına Yönelik Oluyor Web Sitelerinin 2/3 si Savunmasız Kaynaklar: Gartner, Watchfire 6

7 Hackerlar Web Uygulamalarına Odaklanmaya Devam Ediyorlar çünkü web uygulamaları en kolay giriş noktalarıdır ve uygulamaların yürütümünde veri değişiminin önemi göz ardı edilemez. Web Uygulamalarında Güvenlik Açıklarındaki Artış Web Uygulamaları Güvenlik Açıkları Yüzdesi (yamalarla birlikte) Web uygulamaları Saldırı Tehtidi Altında.! Source: 2008 IBM ISS X-Force Annual Report 2008 yılında IBM Mss milyonlarca SQL İnjection Saldırılarına Tanık Olmuştur Hackerların Hedefledikleri Çaldıkları Verilerle Yasal,Meşru Siteleri Zararlı Sitelere Yönlendirmektir 2008 Açıklamalarına Göre Güvenlik Açıkları %90 Oranında Uzaktan Ele Geçirilebilir Vaziyettedir Hackerler Son Derece Karmaşık Ve Kötü Niyetli Teknikleri Verilerinizi Çalmak İçin Kullanır Web Sunucuları Üzerindeki Saldırılar Son 6 Ay İçinde Eşi Görülmemiş Derecede Artış Göstermiştir(30 kat) 7

8 Web Tehditleri En Büyük Rolü Oynamakta Web Uygulama Açıkları 2008 Yılı için Web Uygulamalarında %54.9 Oranında Korunmasızlık Görülmektedir IBM Internet Security Systems X-Force 2008 Trend & Risk Report 8

9 2007 Web Hackleme Olayları Veritabanı (WASC Projesi) Hackerlar hangi saldırılar ları kullanır? osql Enjeksiyon okasıtlı Olmayan Bilgi Dağıtımı obilinen Güvenlik Açıkları oçapraz Site Olusturma oyetersiz Erişim Kontrolü okimlik ve Oturum Tahmini odiğerleri ** 9

10 Bir Uygulama Güvenliği İhlalinin Maliyeti Medya İlgisi/ Marka Zararı Stok Fiyatlarındaki Ani Düşüşler İletişim/Takip Servisi Maliyetleri Yasal ücretler (Belirtilen 3-4 Milyon Dolar) Denetimler Yeni Güvenlik Harcamaları Müşteri Davaları Müşteri Kayıpları 10

11 Web Uygulama Saldırıları: Özel Saldırılar

12 Altyapı ve Uygulama Güvenliği Konuları Hata Sebebi Güvenlik Açığının Olduğu Yer Giriş Metodları Altyapı Güvenlik Açıkları 3 ncü Parti Yazılımın Güvenliksiz Geliştirilmesi ve Deploy edilmesi 3 ncü Partinin Altyapısı(web server, OS, etc.) Bilinen Güvenlik Açıkları Uygulamalara Özel Güvenlik Açıkları Bize Ait Güvensiz Geliştirilen Uygulamalar Uygulama Kodları, Sıklıkla Application Server Üzerinde Bulunur Şüpheli Bileşenler, Bilgi Sızıntısı Tarama/Bulma Yama Yönetim Sistemi Uygulama Güvenliği Taranır Dahili/Harici Denetimler, Otomatik Taramalar Ne Yapılabilir? Yamaları Yükle,Güvenilir 3 ncü PartiYazılımlar Kullan Eğitim & Tarayıcılar (Yazılım Yaşam Döngüsü Boyunca) 12

13 WASC Web Application Security Consortium (WASC) Amaç: Geliştirmek, Sahip Çıkmak Ve Web Uygulamaları Güvenligi İçin Standartları Desteklemek Resmi Web Sitesi: Web Güvenliği Tehdit Sınıflandırma Projesi Amaç: Bir Web Sitesinin Güvenliği İçin Tehditleri Tanımlamak ve Organize Etme Endüstri Standardında,Terminolojiyi, Çıkan Neticelere Göre Geliştirmek. 13

14 OWASP (The Open Web Application Security Project ) Açık Web Uygulama Güvenliği Projesi Amaç:Yazılımların Güvensizliğinin Nedenini Bulmaya Ve Mücadele Etmeye Adanmıştır. Resmi web sitesi : OWASP ın zirvedeki 10 projesi: Amaç: Kritik Web Uygulamaları Açıkları Hakkında geniş Bir Fikir Birliği Sağlayabilmek. Web Uygulama Güvenliği Konularında Bilinçlendirmek. 14

15 OWASP UYGULAMA SALDIRILARINDA TOP 10 Uygulama Tehditleri Olumsuz Etkisi Örnek Durum Cross Site Scripting Injection Kusurları Kötü Amaçlı Dosya Yürütümü Güvensiz Referans Nesnesi Cross Site İsteğinde Sahtecilik Bilgi Sızıntısı Ve Yanlış Veri İşleme Hatalı Kimlik Doğrulama & Oturum Yöneticisi Güvensiz Kriptografik Depolama Güvensiz İletişim Kısıtlı URL Erişimi Kimlik Hırsızlığı,Hassas Bilgi Sızıntısı Saldırgan DB / LDAP / Diğer Sistemleri Manipüle Edebilir Server Üzerinde Komutlar İle Tam Kontrol Sağlayabilirler Saldırganlar Özel Dosya ve Kodlara Erişebilirler Saldırgan Web Uygulamalarında KÖR Eylemleri Güvenli Bir Kullanıcı Gibi Çağırabilir Saldırganlar Sistem Bilgilerini Detaylarıyla Elde Edebilirler Korunamayan Oturum İçerikleri yada Geçersiz Oturum Açılması Zayıf Şifreleme Teknikleri Şifrenin Kırılmasına Neden Olabilir Hassas Bilgi Güvensiz Kanal Üzerinden Şifresiz Gönderildi Hacker Yetkisiz Kaynaklara Ulaşabilir Saldırganlar Meşru kullanıcıları ve Kontrol Hesaplarını Taklit Ederler Saldırganlar Veritabınındaki Verilere Ulaşabilir,Değiştirebilir veya Çalabilir Sitenin Tüm Etkileşimleri Hacker Tarafından Değiştirilir Özel Dosyanın İçeriği Web Uygulamasına Döner Hacker Banka Hesabına Para Transferi İçin Kör İstek Yollar Kötü Niyetli Sistem Yazılımları Saldırı Tiplerinin Gelişimine Neden Olur Hacker Kurban Üzerinden Oturumu Zorlayabilir, Oturum Verileri Çalıntı Olabilir Gizli Bilgiler (TC No,Kredi Kartı Bilgileri)Kötü Niyetli Çözülebilir Hacker Kullanıcıyı Taklit Edebilmek için Şifresiz Kimlik Bilgilerini Kullanabilir Hacker Bir Sonraki Sayfaya Zorla Erişebilir ve İçeriğe Göz Atabilir 15

16 Injection Akışları Nedir? Kullanıcı Taraflı Bilgiler (veriler) Bir Komut Parçası,Sorgu Veya Data(veri) Şeklinde Yorumlayıcıya Yollanır. Ne Gibi Etkileri Vardır? SQL Injection Erişim/Modifiye/DB İçinde Veri Silme SSI Injection Server Üzerinde Yürütülen Komutlar ve Hassas Verilere Erişim LDAP Injection Kimlik Doğrulama XPath, MX (Mail), HTML Injection (Cross Site Script),HTTP Injection (HTTP Cevabını Ele Geçirme) 16

17 SQL Injection Kullanıcı Girişi Gömülü Olabileceği Gibi Önceden Tanımlı da Olabilir (SQL Cümleleri İle): query = "SELECT * from tusers where userid='" + iuserid + "' AND password='" + ipassword + "'"; jsmith demo1234 SELECT * from UserID tusers Username where userid= jsmith' 1824 AND demo1234 password= demo1234' John Smith Hacker Girdileri(Verileri) Orjinal Veriyi Değiştirir, Bir Örnekle: iuserid = ' or 1=1 -- SELECT * from UserID tusers Username where 1 userid=' admin Password Password Administrator ' AND password='bar' $#kaoefor56 Name Name 17

18 SQL Injection Algılama (Black Box) ****** SELECT * from tusers where userid= AND password= foobar 18

19 19 22-Sep-10

20 20 22-Sep-10

21 1. Cross Site Scripting (XSS) Nedir? Geri Dönen HTML İçinde Zararlı Program Yankılanır, Ve Güvenilir Modda Çalışır Ne Gibi Etkileri vardır? Çalınmış Oturum Verileri(Token) (Tarayıcı Güvenliği Atlatılabilir) Sayfa İçeriği Bütünüyle Taviz Verebilir Gelecek Sayfa Tarayıcıda Tehlikeye Atılabilir 21

22 Neden & Nerede XSS Kullanılır? Kullanıcı Verileri HTML İçine Gömülmüştür JS Gömülü Olan Sayfa Güvenilir Bir Site Sayfası Gibi Gözükmektedir 22

23 Cross Site Scripting Süreçleri Kullanmak Yankesici.com Script,Kullanıcının İzin veya Bilgisi Olmadan Oturum Bilgilerini Gönderir 1 banka.com Kullanıcıya yada HTTP Yoluyla Link Gönderir 5 Yankesici.com Kullanıcıyı Taklit Ederek Oturum Bilgilerini Kullanır 4 Kullanıcı 2 Kullanıcı Verileri Scripte Gömülü Olarak Gönderir Banka.com 23 Tarayıcı Tarafından Çalıştırılan Scriptler Geri Dönderilir 3

24 The IBM Rational AppScan Ürün Ailesi

25 Watchfire (AppScan) Genel Görünümü Watchfire Nedir? Uygulama Güvenliği Ve Uyumu İçin Yazılım Ve Servis Sağlayıcısıdır 800 den Fazla Şirket Watchfire e Güveniyor 1996 da Kuruldu, IBM Tarafından Temmuz 2007 de Satın Alındı Arkaplan (Tarihçe) : Merkezi Boston da Olmak Üzere 190 Çalışanıyla 1996 da Kuruldu İlk Uygulama Güvenlik Test Ürünü Oluşturuldu Uygulama Güvenliğinde inde 1 Numaralı Pazar Payına Sahip Gartner & IDC En İyi Güvenlik Şirketi 25

26 Şuan da 800 den Fazla Şirket Watchfire le Çalışmaktadır 9 of the Top 10 Largest U.S. Retail Banks 8 of the Top 10 Technology Brands 7 of the Top 10 Pharma / Clinical Companies Multiple Large Government Agencies Veteran s Affairs Army Navy Air Force Marines Büyük, Komplex Web Siteleri Kapsamlı Müşteri Verileri İyi Ayarlanmış Yapısı Yüksek Kullanım Hacmi Sep-10

27 Yazılım Geliştirme Sürecinde Güvenlik Testlerinin Etkinleştirilmesi AppScan Enterprise / Raporlama Konsolu AppScan Build Ed AppScan Tester Ed Güvenli kod geliştirme ve hata yönetimi AppScan Source Edt. (Kod Tarama) AppScan Ent. QuickScan (Web İstemcisi) (Tarama Makinası) (Tarama Makinası) (Kalite Kul.) AppScan Enterprise user (Web İstemcisi) AppScan Standard Ed (Masaüstü) Web Uyugulamalarını potansiyel ataklardan korumak Rational Application Developer Kodlama Rational Software Analyzer IDE* içine güvenlik testini derleme Rational ClearCase Rational Quality Manager Rational ClearQuest / Defect Management Derleme Rational BuildForge Güvenliği otomatize etme / Derleme sürecinde uyumluluk testi Kalite Güvencesi Güvenlik / İyileştirme sürecine uyumluluk testini dahil etme AppScan Express (Masaüstü) Güvenlik Security and Compliance Testing, oversight, control, policy, audits *YENİ* RATIONAL APPSCAN SOURCE EDT. ÜRÜNÜ İLE KAYNAK KODU TARAMA Web Servislere ve SOAlara güvenlik ve performans sağlamak Güvenli Web Uygulama Yönetimi 27

28 IBM Rational AppScan AppScan Teknolojisi Nasıl Çalışır? Güvenlik Gizlilik Standartlar 1 Tarama Tarama Kalite Uyum 2 An aliz Etme Analiz Etme 3 R aporlama Raporlama Detayları ıyla Bilgi leme Detaylar İş Detaylarıyla Bilgi İşleme İşleme 28

29 IBM Rational AppScan Standard Edition 29

30 Tarama Sihirbazı.. 30

31 Kolay Sorun Algılama-Sorunlar ve Öncelikleri 31

32 Problemi Belirleme(tanımlama) Gömülü Web Tabanlı (Videolu) Eğitim 32

33 Rational AppScan: Raporlama Evresi 33

34 IBM Rational AppScan Developer & Build Editions 34

35 AppScan Enterprise Metrik Değer Gösterge Panosu 35

36 RQM İçin AppScan Tester Edition Sep-10 Güvenlik Testleri Diğer Tip Testler Gibi Yönetilir

37 Copyright IBM Corporation All rights reserved. The information contained in these materials is provided for informational purposes only, and is provided AS IS without warranty of any kind, express or implied. IBM shall not be responsible for any damages arising out of the use of, or otherwise related to, these materials. Nothing contained in these materials is intended to, nor shall have the effect of, creating any warranties or representations from IBM or its suppliers or licensors, or altering the terms and conditions of the applicable license agreement governing the use of IBM software. References in these materials to IBM products, programs, or services do not imply that they will be available in all countries in which IBM operates. Product release dates and/or capabilities referenced in these materials may change at any time at IBM s sole discretion based on market opportunities or other factors, and are not intended to be a commitment to future product or feature availability in any way. IBM, the IBM logo, the on-demand business logo, Rational, the Rational logo, and other IBM products and services are trademarks of the International Business Machines Corporation, in the United States, other countries or both. Other company, product, or service names may be trademarks or service marks of others.