OWASP ASVS: Uygulama Güvenliği Doğrulama Standardı

Uygulama Güvenliği Doğrulama Standardı (ASVS), web uygulamaları için bir güvenlik gereksinimleri çerçevesidir. Üç doğrulama düzeyi (L1, L2, L3) ve uygulama güvenliğinin tüm yönlerini kapsayan bölümlerde düzenlenmiş 200'den fazla ayrıntılı güvenlik denetimi sunar.

L1 tüm uygulamalar için geçerlidir ve temel güvenlik denetimlerini kapsar. L2, hassas verileri işleyen ve gereksinimlerin çoğunu karşılaması gereken uygulamalar içindir. L3, en titiz doğrulamayı gerektiren yüksek güvence düzeyli uygulamalar (finans ve sağlık uygulamaları) içindir. Ekiplerin çoğu L2'yi hedefler.

ASVS V1; belgelenmiş bir güvenlik mimarisi, tehdit modeli, belgelenmiş güven sınırları ve bileşenlerin hassasiyetlerine göre ayrılmasını gerektirir. Mimari incelemeleri, sistemik kusurları yaygın uygulama sorunlarına dönüşmeden önce yakalar.

V2; parola gereksinimlerini (en az uzunluk, sızdırılmış parola denetimi ve güvenli özetleme), oturum yönetimini, çok faktörlü kimlik doğrulama gereksinimlerini, kimlik bilgilerinin kurtarılması güvenliğini ve kaba kuvvet saldırılarına karşı korumayı kapsar.

Oturumlar yeterli uzunlukta kriptografik olarak rastgele belirteçler kullanmalı, oturum kapatıldığında ve zaman aşımında geçersiz kılınmalı, oturum sabitlemesine karşı korunmalı ve çerezler uygun olduğu yerlerde Secure, HttpOnly ve SameSite=Strict özniteliklerini kullanmalıdır.

Her kaynak erişimi sunucu tarafında yetkilendirilmelidir. ASVS V4; varsayılan olarak reddetmeyi, dizin geçişinin önlenmesini, dikey ve yatay yetki yükseltmenin önlenmesini ve erişim denetimi kararlarının günlük kaydına alınmasını gerektirir.

V5, tüm enjeksiyon türlerinin önlenmesini kapsar: SQL için parametreli sorgular, komut enjeksiyonunun önlenmesi, güvenli XML ayrıştırma (XXE'nin önlenmesi), HTTP üstbilgisi enjeksiyonu ve XSS'yi önlemek için bağlama duyarlı çıktı kodlaması.

Uygulamalar yığın izlerini veya dahili yolları kullanıcılara göstermemelidir. Güvenlik olayları (kimlik doğrulama başarısızlıkları, erişim denetimi ihlalleri ve girdi doğrulama başarısızlıkları), hassas veriler günlük kaydına alınmadan olay incelemesi için yeterli ayrıntıyla kaydedilmelidir.

Hassas veriler belirlenmeli ve sınıflandırılmalıdır. Gizli bilgiler ve PII, depolama sırasında ve aktarım sırasında şifrelenmelidir. Önbellekler ve geçici dosyalar hassas veri depolamamalıdır. Veriler artık gerekli olmadığında, saklama politikalarına uyularak kalıcı biçimde temizlenmelidir.

ASVS'yi geliştirme sırasında bir gereksinim kontrol listesi, güvenlik sınaması sırasında bir sınama planı ve uyumluluk incelemeleri sırasında bir denetim çerçevesi olarak kullanın. ASVS denetimlerini ekiplere atayın, tamamlanma durumunu proje yönetimi aracınızda izleyin ve uyumluluk kanıtlarını belgeleyin.

ASVS, NIST 800-53, ISO 27001 ve PCI-DSS ile eşlenir. ASVS'yi uygulama güvenliği temel çizgisi olarak kullanmak, denetimler birden fazla çerçevedeki gereksinimleri aynı anda karşıladığı için uyumluluğu kolaylaştırır ve yinelenen değerlendirme çabasını azaltır.

Hassas kullanıcı verilerini işleyen uygulamaların çoğu için hangi OWASP ASVS düzeyi uygundur?

OWASP ASVS; kimlik doğrulama, oturum yönetimi, erişim denetimi, enjeksiyonun önlenmesi, veri koruma ve daha birçok alanı kapsayan kapsamlı ve yapılandırılmış bir güvenlik gereksinimleri çerçevesi sunar. Güvenlik gereksinimlerini, uygulama kılavuzunu ve uyumluluk kanıtlarını tek bir standartta birleştirir.