Siber Güvenlik Analizi

Kurum ve kuruluşların özel ihtiyaçlarına göre şekillendirilen kapsamlı siber güvenlik testleri ile saldırganların kullandığı standart yöntemlerin ötesinde güvenlik analizleri.

Bilgi Toplama

Kurumunuz/kuruluşunuz bünyesinde çalışan uygulamalar hakkında bilgi toplayarak kullanılan teknolojiler, kullanıcı rolleri, uygulama giriş noktaları ve client-side kod’ların tespiti yapılmaktadır.

İhtiyaçlara Göre Şekillendirilen Analizler

Kurumunuz/kuruluşunuz için özel geliştirilmiş uygulamaların güvenlik analizlerinde mekanik penetrasyon test’leri yetersiz kalabileceği için uygulamanın yapısına ve iş akışına göre özel olarak tasarlanan güvenlik analizleri ve test’ler yapılarak uygulamanızın dışarıdan gelebilecek standart dışı saldırılara karşı da korunması sağlanır.

Neden Argate Security?

Araştırma & Geliştirme odaklı analiz ve test yürüten ekibimiz gerçekleşebilecek güvenlik ihlallerini önleme ve incident response konularında 7 yılı aşkın süredir faaliyetlerini sürdürmektedir. Ekibimiz, entegre güvenlik teknolojileri ve istihbarat kaynaklarını kullanarak siber tehdit durumlarını anlık olarak tespit edip ve değerlendirip kurum ve kuruluşları bilgilendirmektedir.

Uygulamalarınız gerçek hayat koşullarına hazır mı?

2013 senesinde gerçekleşen 91 milyon saldırının %2’si Türkiye’de yer alan kurum ve kuruluşları hedef almıştır. Gerçekleşen saldırıların %37’si kurum ve kuruluşların uygulamalarında yer alan açıkları hedef almıştır.

Gerçekleşen saldırıların dağılımı:

  • %23 devlet kurumları
  • %22 büyük sanayi kuruluşları
  • %20 bireysel saldırılar
  • %14 finans sektörü kuruluşları
  • %8 diğer kurumlar
  • %7 basın yayın organları
  • %6 eğitim kuruluşları

Saldırı & İzinsiz Erişim

Toplanan bilgiler değerlendirilerek OWASP Top Ten Project tarafından belirlenmiş standart testler mekanik ve manuel olarak gerçekleştirilir. Bu testler arasında;
SQL Injection
Uygulamada yer alan açıklar kullanılarak uygulama parametrelerine kod enjekte etmek suretiyle gerçekleştirilen ve veritabanı üzerinde SQL sorgulalarının çalıştırılarak veritabanı üzerinde bilgi toplanması.
OS Command Injection
Uygulama parametrelerine enjekte edilen sistem komutlarının uygulama tarafından çalıştırılarak sisteme erişim sağlanması.
Broken Authentication
Hedef uygulamalarda kullanıcı adı ve şifre tahminlerinde bulunulması ve/veya cookie parametrelerinin manipüle edilerek sisteme giriş yapılması.
Cross-Site Scripting
URL tabanlı ve/veya kaydedilen parametreler aracılığıyla web uygulamalarına yerleştirilen ve son kullanıcıların tarayıcılarında çalıştırılaran kodlar.
Unvalidated Redirects and Forwards
Web uygulamaları kullanıcıları kontrolünüz dışındaki diğer sayfa ve sitelere yönlendirebilir. Bu siteleri ele geçiren kötü niyetli kişiler session hijacking yöntemlerinden faydalanabilir ya da kullanıcıları phishing ya da zararlı yazılım sitelerine yönlendirebilirler.
Security Misconfiguration
Güvenli bir web uygulaması, güvenli sunucu ayarlarına bağlıdır. Test edilmesi gereken sadece uygulama değil, uygulamanın üzerinde çalıştığı platform, uygulama sunucusu ve bulunduğu ortamıdır.
Sensitive Data Exposure
Kimlik Numarası, kredi kartı, kullanıcı bilgileri gibi hassas bilgiler çoğu web uygulamasında iyi korunmamıştır. Bu bilgiler kimlik hırsızlığı, kredi kartı sahteciliği ve benzer suçlarda kullanılabilir. Hassas bilgilerin her zaman güvenli bir şifre ile taşındığından, saklandığından emin olunmalıdır.
Cross-Site Request Forgery
Kullanıcının giriş yaptığı web sayfasına ait cookieleri ya da kimlik doğrulaması için kullanılan diğer bilgileri kullanıcının tarayıcısından çalmak için sahte HTTP istekleri kullanma yöntemidir. Uygulamada buna karşı ilgili güvenlik sağlanmalıdır.
Using Components with Known Vulnerabilities
Kütüphane, Framework ya da diğer uygulama modüllerinden bilinen açıkları bulunan bir teknoloji kullanmak sunucunuzun ele geçirilmesi için davetiye çıkarmaktır. Bu durum veri hırsızlığına ve/veya sunucunuza izinsiz erişilerek ele geçirilmesi durumlarını doğurabilir.
Insecure Direct Object References
Yönetim ve/veya konfigürasyon amacıyla kullanılan gizli sayfaların, kullanımdan kaldırılan uygulama adreslerinin ve hassasiyet taşıyan URL’lerin tespit edilmesi.