Güvenli Kod İnceleme Teknikleri

Güvenli kod incelemesi, dağıtımdan önce kaynak koddaki güvenlik açıklarını belirler. İşlevsel kod incelemesinin aksine; doğruluğa veya biçime değil, güven sınırlarına, veri akışlarına, tehlikeli uygulama programlama arayüzlerine, eksik denetimlere ve güvenlik mantığı hatalarına odaklanır.

Otomatik SAST araçları (Semgrep, SonarQube, CodeQL) bilinen örüntüleri hızlıca yakalar; ancak iş mantığı kusurlarını, karmaşık ve birden fazla bileşeni kapsayan güvenlik açıklarını ve bağlama bağlı sorunları gözden kaçırır. Elle inceleme, otomasyonun gözden kaçırdıklarını yakalar. Her ikisi de gereklidir.

Güvenlik incelemesine tüm giriş noktalarını eşleyerek başlayın: HTTP uç noktaları, ileti kuyruğu işleyicileri, dosya yüklemeleri, zamanlanmış işler, web kancaları ve CLI bağımsız değişkenleri. Dış verileri kabul eden her giriş noktası, incelenmesi gereken olası bir enjeksiyon noktasıdır.

Kullanıcı tarafından denetlenen verileri giriş noktasından uygulama içindeki son kullanımına kadar izleyin. Veriler bir veritabanı sorgusuna mı ulaşıyor? Bir kabuk komutuna mı? Bir HTML şablonuna mı? Bir API çağrısına mı? Veri akışını takip edin ve her dönüşümle temizleme adımını denetleyin.

Güvenlik kararları, verilerin daha az güvenilen bir bağlamdan (HTTP isteği) daha güvenilen bir bağlama (veritabanı, OS) geçtiği güven sınırlarında alınır. Her güven sınırı geçişinde veriler doğrulanmalı, temizlenmeli veya yetkilendirilmelidir.

Şu kullanımları işaretleyin: eval(), exec(), system(), shell_exec(), deserialize(), innerHTML, dangerouslySetInnerHTML, deserialize(), pickle.loads(), Runtime.exec(), ProcessBuilder, varlık genişletmesi devre dışı bırakılmamış XML ayrıştırıcıları ve üst düzey uygulama programlama arayüzleri yerine doğrudan kullanılan kriptografik temel işlemler.

Şunları kontrol edin: Her hassas uç nokta kimlik doğrulamayla korunuyor mu? Her eylem için yetkilendirme sunucu tarafında denetleniyor mu? Bir kullanıcı, ID parametresini değiştirerek başka bir kullanıcının verilerine erişebiliyor mu (IDOR)? Hassas işlemler CSRF'ye karşı korunuyor mu?

İstisnaları sessizce yok sayan yakalama bloklarını arayın. Kullanıcılara gösterilen hata iletilerinin dahili yolları, yığın izlerini veya veritabanı yapısını açığa çıkarmadığını kontrol edin. Güvenlik istisnalarının (AuthenticationException) günlük kaydına alındığını ve sessizce yok sayılmadığını doğrulayın.

Şunları işaretleyin: Parola özetleme için MD5 veya SHA-1 kullanımı (bcrypt/Argon2 kullanın), sabit kodlanmış simetrik anahtarlar veya IV'ler, ECB kipinde şifreleme (GCM ya da HMAC ile CBC kullanın), özel kriptografik uygulamalar ve kriptografik açıdan güvenli olmayan rastgele sayı üreteçleri.

Güncelliğini yitirmiş bağımlılıkları package.json/pom.xml içinde inceleyin. Uygulama yapılandırmasında üretimde hata ayıklama kipinin etkin olup olmadığını, ayrıntılı hata sayfalarını, yapılandırma dosyalarındaki yönetici kimlik bilgilerini ve eksik güvenlik üstbilgilerini (HSTS, CSP, X-Frame-Options) kontrol edin.

Semgrep kuralları, anlamsal farkındalıkla sözdizimi örüntülerini eşleştirir. Kod tabanınıza özgü örüntüler için özel kurallar yazın. CodeQL, kodu veri olarak ele alır; kaynaklardan hedeflere giden veri akışlarını dosyalar ve işlev çağrıları boyunca bulmak için AST üzerinde sorgular yazabilirsiniz.

IDOR güvenlik açığı nedir ve bir kod incelemesinde bunu nerelerde ararsınız?

Etkili bir güvenli kod incelemesi; giriş noktalarının eşlenmesini, veri akışının izlenmesini, güven sınırı analizini, tehlikeli uygulama programlama arayüzlerinin belirlenmesini ve otomatik SAST araçlarını bir araya getirir. İşlevsel incelemenin gözden kaçırdığı güvenlik sorunlarını, özellikle iş mantığı kusurlarını ve ince yetkilendirme açıklarını yakalar.