güvenlik ilkeleri

Yazılım bileşen envanteri, bir uygulamanın hangi açık kaynak paketleri, kütüphaneleri, işletim sistemi bileşenleri ve sürümlerinden oluştuğunu gösteren listedir. Güvenlik açısından temel amacı, kullanılan bir bileşende açık bulunduğunda bu açığın sizin sitenizi veya sunucunuzu etkileyip...

Hata mesajlarında hangi bilgiler açıklanmamalıdır? Kullanıcıya gösterilen hata mesajlarında sunucunun dosya yolları, yazılım sürümleri, veritabanı sorguları, stack trace ayrıntıları, dahili IP ve host adları, oturum veya hesap bilgileri, erişim belirteçleri ve yapılandırma sırları...

Kötüye kullanım senaryoları, normal kullanıcı akışının saldırgan tarafından hangi amaçla, hangi önkoşullarla ve hangi güvenlik açığı kullanılarak kötüye çevrilebileceğini sistematik biçimde yazmaktır. Uygulanabilir bir model için önce kritik varlıkları ve aktörleri belirleyin; ardından veri...

HTML çıktı kodlaması, verinin sayfada kullanılacağı bağlama göre yapılmalıdır. HTML metin düğümüne yazılan değer HTML bağlamına, etiket niteliğine yazılan değer nitelik bağlamına, JavaScript içine aktarılan değer JavaScript bağlamına göre kodlanır. Her yerde aynı kaçış yöntemini kullanmak...

Bir güvenlik açığı bildirimini doğrulamak için önce iddianın hangi bileşen ve sürümü etkilediğini netleştirin, ardından güvenli ve izole bir ortamda aynı sonucu yeniden üretmeye çalışın. Açık doğrulanırsa önceliği yalnızca teknik puana göre değil; etkilenme kapsamı, saldırının uygulanma...

CDN üzerinden yüklenen betikler hangi güven ilişkisini oluşturur? CDN üzerinden yüklenen bir JavaScript betiğine yalnızca dosya sağlayıcısı olarak değil, sayfanızın çalışma anındaki bir bileşeni olarak güvenmiş olursunuz. Betik tarayıcıda kendi ayrı kutusunda çalışmaz; sayfanızın origin’i...

Broken access control, bir kullanıcının veya istemcinin yetkisi olmayan bir kaynağa ya da işleve erişebilmesidir. Uygulama giriş yapılmış olmayı yeterli sayıyor, kullanıcının o kaynağa gerçekten yetkili olup olmadığını sunucu tarafında denetlemiyorsa bu zafiyet oluşur. Sonuç; başka...

Bağımlılık güvenlik açığı bildirimi nasıl değerlendirilir? Bir bağımlılık için güvenlik açığı bildirimi aldığınızda önce bildirimin gerçekten kullandığınız paket ve sürümü etkileyip etkilemediğini doğrulayın; ardından açığın uygulamanızda çalıştırılabilir olup olmadığını, maruziyetin kapsamını...