Web Güvenlik Testleri Neden Otomatikleştirilmeye İhtiyaç Duyar?

Günümüzde, oyunu kuralına göre oynamayan işletmeler başarısız olmaktadır. Bu kural, otomasyon yani süreçlerin otomatikleştirilmesidir. İmalat ve envanter yönetimi gibi genel alanların yanı sıra web uygulaması güvenliği gibi IT alanını ilgilendiren daha teknik kısımlarda da geçerli olan bir kuraldır. Çünkü otomatikleştirilmemiş iş süreçleri daha fazla zaman, çaba ve para anlamına gelir.

Özellikle web uygulaması güvenliği ve pentest alanındaki vasıflı personel olmak üzere insanların geneli iş süreçlerine dahil olduklarında herkesin sırtına belli bir yük biner. Web zafiyet testleri yaparken şu işlemler sırasında bir hayli kaynak ve beceri ihtiyacı ortaya çıkar:

• Proje kapsamlandırma
• Bilgi toplama
• Web zafiyetlerini tarama
• Zafiyet tespit etme ve doğrulama
• Raporlama
• Önleme ve riskleri hafifletme

Bu faktörler, neredeyse tüm kurumlarda geçerli olmak üzere bazı insanların sürece dahil edilmesi manasına gelir. Söz konusu insanlar geliştiriciler, QA analistleri, proje yöneticileri, ağ yöneticileri, web uygulama geliştiricileri, bilgi güvenliği yönetimi, denetçiler ve yöneticilerdir. Hatta üçüncü parti yazılım sağlayıcıları dahi web güvenlik projelerinde yerlerini alırlar. Yüksek maliyetlere sebep olan böyle bir ekiple ortak bir hedef için çalışan her işletme, karışıklıktan ve maliyetin artmasından kaçınmak için mümkün olduğunca otomatikleştirilmiş süreçlere başvurmak zorundadır.

“Neden?” diye sorabilirsiniz. Neden otomasyon bu kadar önemli? Her durum farklı olsa da bazı ortak noktalar bulunabilir. Öncelikle, gereksiz testler yapıldığında bu testler, fazladan çaba sarf etme riskini de beraberinde getirir. Günümüzdeki çevrim içi işletmelerin çoğunun kullandığı sayısız kompleks web uygulamalarına sahip olmanız kayda değer miktarda gereksiz efora sebep olabilir. Bir diğer sorun ise yönetimin, tüm web uygulamalarının mütemadiyen manuel olarak web zafiyeti taramasından geçirilmesi için yeterli bilginin olup olmadığını tam olarak anlayamamasıdır. Şayet web uygulaması güvenliği testleri, kısa sürede sorunu tarayabildiği kanıtlanmış bir web güvenlik tarayıcısı ile otomatize edilmemişse, hepsi olmasa bile bazı ciddi güvenlik problemleri gözden kaçabilir. Görünürde sıradan IT projeleri olan web güvenlik testleri, ciddi bir iş yüküne dönüşür.

Örneğin, web tabanlı bir kurumsal kaynak planlama (Enterprise Resource Planning) sistemi düşünelim. Bu gibi sistemler, binlerce olmasa da yüzlerce girdi noktasına, saldırı yüzeyine kısacası SQL Injection ve Cross Site Scripting gibi zafiyetlerin bulunabildiği kontrol edilmesi gereken birçok hassas noktaya sahiptir.

Gerçek hayattan örnek verecek olursak, 100 farklı çeşitte web uygulama zafiyeti için kontrol edilmesi gereken 200 girdi noktasına sahip bir ERP düşünelim. Bu sayılar, bir pentester’ın en az 20,000 test yapması gerektiği manasını taşır. Her test 5 dakika sürmüş olsa, ERP sistemi için yapılan söz konusu web uygulaması güvenliği denetimi, web güvenlik uzmanının 208 gününü alacaktır.

Netsparker gibi bir web uygulaması güvenliği tarayıcısı daha büyük ERP sistemlerini örnektekinden daha fazla web uygulama zafiyeti çeşitliliğiyle saatler içinde tarayabilir. Otomatikleştirilmiş bir tarayıcı, insanların aksine taranması gereken herhangi bir girdi parametresini unutmayacak veya belli bir saldırı sırasında farklı varyasyonları denemekten sıkılmayacaktır.

Manuel bir web uygulaması güvenliği testi yapılırken aynı zamanda, sızma testinde denenecek olan zafiyet çeşitliliğini pentester’ın bilgisiyle kısıtlamış olursunuz. Diğer taraftan Netsparker gibi otomatize edilmiş bir web zafiyet tarayıcısı kullanırken bütün parametrelerin tüm web uygulama zafiyeti çeşitleriyle denendiğinden emin olursunuz. Ayrıca Netsparker’ı kullanırken hiçbir false positive’in raporlanmadığını görebilirsiniz. Böylelikle tespit edilen açıkları doğrulamanıza gerek kalmaz.

Zafiyet testinin otomatikleştirilmesinin önemi, yapılan birçok bilgi güvenliği çalışmasıyla kanıtlanmıştır. Yıllar geçtikçe bu araştırmaların; kısıtlı kaynak, görünürlük eksikliği ve bilgilendirilmemiş yönetim kadrosu gibi bazı enformasyon risklerini de ortaya çıkardığı görülmüştür. Otomatize edilmiş güvenlik testi süreçleri bu tür meselelerin üzerine başarıyla eğilmektedir.

Web güvenlik açıklarını test edecek kusursuz bir yöntem bulunmamakla beraber şu kesindir ki işlemleri manuel olarak yürütmek ve personelin uzmanlığına güvenmek, yüksek maliyet ve web güvenlik açıklarının tespit edilememesi gibi sorunlar olarak geri döneceğinden, faydasız bir davranış olacaktır. İşletmeniz için en iyisi neyse onu yapın ve otomasyon kavramını web zafiyet testi süreçlerine ve web uygulaması yazılım geliştirme yaşam döngüsüne (software development lifecycle) entegre edin. Otomatikleştirilmiş bir web uygulaması güvenlik tarayıcısı kullanırsanız daha kolay bir şekilde daha çok web güvenlik açığını keşfetmeniz olağan bir durum halini alacaktır.

Elbette otomatik taramanın yararlı olmadığı ve manuel taramaya ihtiyaç duyulduğu sorunlarla da karşılaşabilirsiniz. Fakat güvenlik ekibinizden, bir inputta 100 farklı muhtemel sorunu tek zamanda tek HTTP isteğiyle veya bir fuzzer’ın çıktısını analiz etmeyi deneyerek kontrol etmelerini istemezsiniz. Ekip üyelerinizin zamanını boşa harcamayın. Böylelikle uzmanlıkları çerçevesinde, başarı gösterebildikleri görevler üzerinde çaba sarf etmeleri mümkün olacaktır.