Kaspersky Security Assessment uzmanları tarafından yapılan yeni bir araştırma, şirket içinde geliştirilen kurumsal web uygulamalarındaki en tehlikeli ve yaygın güvenlik açıklarını belirledi. 2021 ile 2023 ortasında incelenen uygulamaların birçoklarında erişim denetimi ve bilgi muhafazasıyla ilgili kusurlar bulundu. Bu kusurların toplam sayısı birkaç düzine olarak karşımıza çıkıyor. En yüksek risk düzeyindeki zafiyetler ortasında en çok SQL enjeksiyonlarına atıfta bulunuluyor.
Sosyal ağlar, e-posta ve çevrimiçi hizmetler üzere web uygulamaları, temelde kullanıcıların bir tarayıcı aracılığıyla bir web sunucusuyla etkileşime girdiği web siteleri. Kaspersky, son çalışmasında BT, devlet, sigorta, telekomünikasyon, kripto para, e-ticaret ve sıhhat kuruluşları tarafından kullanılan web uygulamalarındaki güvenlik açıklarını araştırarak kurumların başına gelebilecek en yaygın atak çeşitlerini belirledi.
Ağırlıklı güvenlik açığı çeşitleri, erişim denetimi kusurlarının berbat niyetli kullanım potansiyelini ve hassas bilgilerin korunmasındaki başarısızlıkları içeriyordu. 2021 ve 2023 yılları ortasında, bu çalışmada incelenen web uygulamalarının %70’i bu kategorilerde güvenlik açıkları sergiledi.
Bozuk erişim denetimi güvenlik açığı, saldırganlar kullanıcıları yetkili müsaadeleriyle sınırlayan web sitesi siyasetlerini atlamaya çalıştığında kullanılabiliyor. Bu durum yetkisiz erişime, bilgilerin değiştirilmesine yahut silinmesine ve daha fazlasına yol açabiliyor. İkinci yaygın kusur çeşidi ise şifreler, kredi kartı bilgileri, sıhhat kayıtları, şahsî datalar ve zımnî iş bilgileri üzere hassas bilgilerin açığa çıkmasını içeriyor ve bu durum güvenlik tedbirlerinin artırılması muhtaçlığını vurguluyor.
Kaspersky Security Assessment takımında güvenlik uzmanı Oxana Andreeva, “Derecelendirme, çeşitli şirketlerde kurum içinde geliştirilen web uygulamalarındaki en yaygın güvenlik açıkları ve bunların risk seviyeleri dikkate alınarak derlenmiştir. Örneğin, bir güvenlik açığı saldırganların kullanıcı kimlik doğrulama datalarını çalmasını sağlayabilirken, bir oburu sunucuda makûs maksatlı kod çalıştırılmasına yardımcı olabilir ve her biri iş sürekliliği ve esnekliği için farklı derecelerde sonuçlar doğurabilir. Sıralamalarımız, güvenlik tahlili projeleri yürütme konusundaki pratik tecrübelerimizden yola çıkarak bu değerlendirmeyi yansıtıyor” diyor.
Kaspersky uzmanları, üstte listelenen kümelerdeki güvenlik açıklarının ne kadar tehlikeli olduğunu da inceledi. Yüksek risk teşkil eden güvenlik açıklarının en büyük oranı SQL enjeksiyonları ile ilişkilendirildi. Bilhassa, tahlil edilen tüm SQL Injection güvenlik açıklarının %88’i yüksek riskli olarak kabul edildi. Yüksek riskli güvenlik açıklarının bir öteki değerli hissesinin zayıf kullanıcı şifreleriyle kontaklı olduğu tespit edildi. Bu kategoride, tahlil edilen tüm güvenlik açıklarının %78’i yüksek riskli olarak sınıflandırıldı.
Kaspersky Güvenlik Kıymetlendirme grubunun incelediği tüm web uygulamalarının sadece %22’sinin zayıf parolalara sahip olduğunu belirtmek kıymetli. Bunun olasının bir nedeni, çalışma örneğine dahil edilen uygulamaların gerçek canlı sistemler yerine test sürümleri olması.
Araştırmayı daha derinlemesine incelemek için Securelist web sitesini ziyaret edin. Araştırmada belirtilen güvenlik açığı kategorileri, OWASP Top Ten derecelendirmesinin kategorileri ve alt kategorileri ile uyumlu. Çalışmada açıklanan en yaygın web uygulaması güvenlik açıklarının giderilmesi, şirketlerin zımnî bilgileri muhafazasına ve web uygulamaları ile ilgili sistemlerin tehlikeye atılmasını önlemesine yardımcı oluyor.
Web uygulamalarının güvenliğini artırmak ve bunlara yönelik mümkün atakları vaktinde tespit etmek için Kaspersky Security Assessment takımı şunları öneriyor:
- Güvenli Yazılım Geliştirme Ömür Döngüsü (SSDLC) kullanmak;
- Düzenli uygulama güvenlik değerlendirmesi yapmak;
- Uygulamaların çalışmasını izlemek için günlük kaydı ve izleme sistemlerinin kullanılması.
Kaynak: (BYZHA) Beyaz Haber Ajansı
