Yazılım Geliştirme Sürecinde OWASP Projeleri

Ebat: px

Şu sayfadan göstermeyi başlat:

Download "Yazılım Geliştirme Sürecinde OWASP Projeleri"

Asli Mustafa
8 yıl önce
İzleme sayısı:

1 Yazılım Geliştirme Sürecinde OWASP Projeleri Dr. Eminİslam Tatlı OWASP-Türkiye Web Güvenliği Günü 9 Haziran 2012

2 Hakkımda Senior Security Daimler TSS Bilgi Güvenliği Mimarı & Penetration-Tester Eğitmen => Secure Design and Coding, Secure SDLC by Daimler Board OWASP Almanya ve Türkiye Blog:

Design and Coding, Secure SDLC by Daimler Board Member @

3 Konu Başlıkları Uygulama Daimler Web Uygulama Güvenliği Kontrol Listesi Geçmiş, Bugün, Gelecek ESAPI ile Simetrik Şifreleme Password Patterns Mahremiyet İhlalleri

4 Uygulama Daimler Daimler & Daimler TSS

5 Uygulama Daimler OWASP Projeleri Güvenli Yazılım Geliştirme Süreci Yararlandığımız OWASP Projeleri Eğitimler => Top 10, Webgoat Tasarım & Geliştirme => ASVS, ESAPI Pen-Tests => Testing Guide, Web Uygulama Güvenliği Kontrol Listesi, Araçlar (DirBuster, WSFuzzer vs.) Kontroller => Prevention Cheat Sheets (örn. XSS, SQLi, CSRF)

ASVS, ESAPI Pen-Tests => Testing Guide, Web Uygulama Güvenliği Kontrol Listesi,

6 Uygulama Daimler ASVS (Application Security Verification Standard)

7 Uygulama Daimler Webgoat

8 Uygulama Daimler SQL Injection Prevention Cheat Sheet

9 Uygulama Daimler XSS Prevention Cheat Sheet

10 Web Uygulama Güvenliği Kontrol Listesi Geçmiş & Bugün Güvenli web uygulamalarında aktif olması gereken denetim adımlarını içeren bir dokümantasyon projesidir. Sürüm 1 => 2010 (42 kontrol maddesi, Türkçe, Word Belgesi) Sürüm 2 => 2012 (61 kontrol maddesi, Türkçe/İngilizce Excel/Word Belges Kategoriler, OWASP Testing Guide ın kategorilerini temel almaktadır. Her kontrol maddesi bir ASVS kategorisi ile eşlendi. Risk seviyesi ve sorumlular kısmı revize edildi. Excel ile güvenlik aktivitelerinin durumlarının takip edilebilmesi sağlanıyor. Durum girdisine göre farklı risk seviyesindeki ve de toplamdaki güvenlik durumu grafiksel olarak gösterilmektedir. Link:

kategorilerini temel almaktadır. Her kontrol maddesi bir ASVS kategorisi ile eşlendi. Risk seviyesi ve sorumlular kısmı revize edildi.

11 Web Uygulama Güvenliği Kontrol Listesi Geçmiş & Bugün Sürüm 2 Excel Belgesi

12 Web Uygulama Güvenliği Kontrol Listesi Geçmiş & Bugün Sürüm 2 Word Belgesi

13 Web Uygulama Güvenliği Kontrol Listesi Geçmiş & Bugün Sürüm 2 Grafikler

14 Web Uygulama Güvenliği Kontrol Listesi Geçmiş & Bugün Sürüm 3 Farklı rollere (geliştiriciler, IT-mimarları, güvenlik mimarları, güvenlik testçileri, sistem yöneticileri, denetmenler) göre özel kontrol listesi ve raporlamalar sunan bir uygulama geliştirilecek. Her kontrol maddesi farklı OWASP dökümanlarına referans veren alt maddeler içerecek ve bu alt maddelerin de değerlendirilmesi gerekecek. Geliştiriciler => Secure-Coding-Practices IT-Mimarları/Güvenlik Mimarları => ASVS Güvenlik Testçileri => Testing Guide Sistem Yöneticileri => Secure-Coding-Practices, ASVS Durum bilgisi daha geniş kapsamlı olacak şekilde (ör. bitirme yüzdesi) genişletilecek. İstekler/Yorumlar => webguvenligi.org

Her kontrol maddesi farklı OWASP dökümanlarına referans veren alt maddeler içerecek ve bu alt maddelerin de değerlendirilmesi gerekecek.

15 Web Uygulama Güvenliği Kontrol Listesi Geçmiş & Bugün Sürüm 3 Örnek Madde Kontrol Listesi Madde 16: Uygulama ile son kullanıcı arasında aktarılan kullanıcı adı, parola, kredi kartı no, adres gibi hassas veriler HTTPS protokolü üzerinden aktarılmalıdır. Geliştiriciler => Secure Coding Practices Checklist Communication Security Implement encryption for the transmission of all sensitive information. Verify that backend TLS connection failures are logged. IT/Güvenlik Mimarı => ASVS - Communication Security Verification Verify that all connections to external systems that involve sensitive information or functions are authenticated. Sistem Yöneticileri => ASVS - Communication Security Verification Verify that a path can be built from a trusted CA to each Transport Layer Security (TLS) server certificate, and that each server certificate is valid. Güvenlik Testçisi => Testing Guide OWASP-CM SSL/TLS Testing (SSL Version, Algorithms, Key length, Digital Cert. Validity) - SSL Weakness

Geliştiriciler => Secure Coding Practices Checklist Communication Security Implement encryption for the transmission of all sensitive information.

16 OWASP ESAPI Standard Simetrik Şifreleme Alıntı =>

17 OWASP ESAPI ESAPI ile Simetrik Şifreleme Simetrik şifreleme için Referans kod örneği: src\main\java\org\owasp\esapi\reference\crypto\javaencryptor.java Öne Çıkan Özellikler PlainText, CipherText sınıfları Merkezi güvenlik yapılandırma dosyası (ESAPI.properties) Öntanımlışifeleme ve hash algoritmaları, anahtar uzunluğu, izin verilen şifreleme modları, IV oluşturma yöntemi vs. MasterKey, MasterSalt, Fixed IV Assert durum kontrolleri Ekstra kontroller Şifreleme algoritması, anahtar uzunluğu, combined-mode, IV, düz metni silme

java Öne Çıkan Özellikler PlainText, CipherText sınıfları Merkezi güvenlik yapılandırma dosyası (ESAPI.

18 Password Patterns rockyou.com hacked

19 Password Patterns Parola Analizi Analiz Raporu:

20 Password Patterns Parola Analizi Top 20

21 Password Patterns Parola Karmaşıklığı z6ifk#rdlr vs. TØpsecret. Rasgele üretilmiş Çeşitli patternler içeriyor (ör. ilk harf büyük, nokta ile bitiyor, o->sıfır)

22 Password Patterns Pattern Analizi 2 li ve 3 lü [:alpha:], [:digit:] ve [:punct:] karakterlerin birleşimleri Karakter değişimi ( [:alpha:] => [:digit:], [:punct:]) Özel patternler Sembollerin sıklık istatistiği

23 Password Patterns İkili Birleşim

24 Password Patterns Üçlü Birleşim

25 Password Patterns Karakter Değişimi

26 Password Patterns Özel Patternler

27 Password Patterns Sembol Kullanım Sıklıkları

28 Mahremiyet İhlalleri

29 Mahremiyet İhlalleri

30 Mahremiyet İhlalleri

31 Referanslar OWASP Top 10: OWASP Testing Guide: OWASP ASVS: _Project OWASP ESAPI: OWASP Cheat Sheets: OWASP Webgoat: OWASP DirBuster: OWASP WSFuzzer: Web Uygulama Güvenliği Kontrol Listesi: Password Patterns:

32 Sorular?

Benzer belgeler

Web Güvenliği Topluluğu webguvenligi.org Web Uygulama Güvenliği Kontrol Listesi 2012

Web Güvenliği Topluluğu webguvenligi.org Web Uygulama Güvenliği Kontrol Listesi 2012 Web Uygulama Güvenliği Kontrol Listesi, web uygulamalarında bilgi güvenliği açısından gerçekleştirilmesi, aktif olması