Saldırganlar çoğu zaman özel olarak sizi hedeflemez; internetteki binlerce siteyi otomatik araçlarla tarar ve bilinen açıkları dener. Bu nedenle küçük bir kurumsal site de büyük bir uygulama kadar temel güvenlik önlemlerine ihtiyaç duyar. Aşağıdaki katmanlar, bir web uygulamasında olmazsa olmazlardır.
1. HTTPS ve güvenlik başlıkları
Tüm trafik şifreli olmalı. HSTS, X-Frame-Options, X-Content-Type-Options ve içerik güvenlik politikası (CSP) gibi başlıklar, tıklama hırsızlığı ve betik enjeksiyonu riskini azaltır.
2. Güvenli oturum yönetimi
Oturum çerezleri HttpOnly, Secure ve SameSite özellikleriyle işaretlenmeli; girişten sonra oturum kimliği yenilenmelidir.
3. CSRF koruması
Durumu değiştiren her işlem (kayıt, silme, ödeme) tek kullanımlık bir belirteçle doğrulanmalı. Aksi halde kullanıcı, başka bir sitedeki bağlantıya tıkladığında farkında olmadan işlem yapabilir.
4. Giriş denemesi sınırı
Şifre deneme saldırılarına karşı belirli sayıda hatalı girişten sonra IP bazlı bekleme süresi uygulanmalı.
5. Güvenli dosya yükleme
Yüklenen dosyanın yalnızca uzantısına değil içeriğine de bakılmalı; betik çalıştırabilen türler reddedilmeli, dosyalar web kökü dışında ve tahmin edilemeyen adlarla saklanmalı, yalnızca yetki kontrolü yapan bir indirme ucu üzerinden verilmelidir.
6. Yetkilendirme
Kullanıcı yalnızca kendi kaydına erişebilmeli. Adres çubuğundaki numarayı değiştirerek başkasının faturasını görmek (IDOR) en sık rastlanan açıklardandır.
7. Kayıt tutma (audit log)
Kim, ne zaman, hangi kaydı değiştirdi? Bu bilgiler hem güvenlik olaylarını incelemek hem de iç denetim için gereklidir.
8. Yedekleme ve güncelleme
Düzenli ve test edilmiş yedekler, en kötü senaryoda bile işinizi kurtarır. Kullandığınız yazılımı ve sunucu bileşenlerini güncel tutun.
Webbiu yazılımlarında
Webbiu yazılımlarında CSRF koruması, giriş denemesi sınırı, güvenli dosya yükleme, güvenlik başlıkları ve alan adına bağlı imzalı lisans standart olarak gelir. Kendi uygulamanız için güvenlik değerlendirmesi isterseniz özel yazılım ekibimizle görüşebilirsiniz.