Mobil Uygulama Güvenliğinin Temelleri: Statik ve Dinamik Analiz Dünyası Mobil uygulamalar hayatımızın merkezinde. Bankacılık işlemlerimizden sosyal medya hesaplarımıza, sağlık verilerimizden kişisel mesajlarımıza kadar her şey akıllı telefonlarımızdaki uygulamalarda barındırılıyor. Peki bu uygulamalar ne kadar güvenli? Web uygulamalarının aksine, mobil uygulamalarda kaynak kodun ve uygulama paketinin (Android için .apk, iOS için .ipa) kendisi doğrudan kullanıcının (ve…
11. XML External Entity (XXE) Injection Seri No: #11 | Türkçe Karşılığı: XML Dış Varlık Enjeksiyonu Giriş & Çalışma Sebebi XXE, web uygulamalarının kullanıcıdan veya dış sistemlerden aldığı XML verilerini işlerken (parse ederken) meydana gelen mimari bir zafiyettir. XML yapısı, veri taşırken dinamik olarak dış kaynakları (external entities) çağırmaya ve bir değişken gibi kullanmaya izin…
6. Server-Side Request Forgery (SSRF) Seri No: #6 | Türkçe Karşılığı: Sunucu Taraflı İstek Sahteciliği Giriş & Çalışma Sebebi SSRF, saldırganın hedef web sunucusunu bir “vekil” (proxy) gibi kullanarak, sunucunun erişebildiği iç (yerel) veya dış ağlara istek atmasını sağlamasıdır. Zafiyetin asıl sebebi, uygulamanın kullanıcıdan bir URL alıp (Örn: Profil resmi yüklemek için dışarıdan URL verme)…
1. IDOR (Insecure Direct Object Reference) Türkçe Karşılığı: Güvensiz Doğrudan Nesne Referansı Giriş & Çalışma Sebebi Uygulama geliştiricileri, kullanıcıların kendi verilerine erişmesi için genellikle URL veya istek parametrelerinde benzersiz numaralar (ID) kullanırlar. Zafiyetin asıl sebebi, sunucunun gelen isteği işlerken “Bu ID’ye sahip veri var mı?” diye kontrol etmesi ama “Bu ID’ye erişmeye çalışan kullanıcı, gerçekten…
Siber güvenlik haberlerinde, sızma testi (pentest) raporlarında veya sistem güncellemelerinde sıklıkla karşımıza çıkan iki kritik kavram vardır: CVE ve Zero-Day (Sıfırıncı Gün). Bilgi güvenliği dünyasında tehditlerin nasıl sınıflandırıldığını ve sistemlerin nasıl korunduğunu anlamak için bu iki kavramın ne anlama geldiğini ve aralarındaki amansız bağı çok iyi bilmek gerekir. Bu yazımızda, dijital dünyadaki zafiyet yönetiminin temel…
Günümüz dijital dönüşüm çağının en büyük devrimlerinden biri olan Yapay Zeka (Artificial Intelligence – AI); bilgisayarların, yazılımların veya robotik sistemlerin, normal şartlarda insan zekasına, muhakemesine ve algısına ihtiyaç duyan karmaşık görevleri yerine getirebilme yeteneğidir. Geleneksel bilgisayar programları sadece kendilerine yazılan katı kuralları (Eğer A ise B yap mantığını) çalıştırırken; yapay zeka sistemleri büyük veri yığınlarını…
Gün geçtikçe gelişen ve yaygınlaşan teknoloji dünyası, beraberinde ne yazık ki bir dizi karmaşık siber sorunu da getirmektedir. İnternet kullanımlarında IP adresi dağıtımının yetersizliğinden tutun, geleneksel güvenlik teknolojilerinin yetersiz kalmasına varıncaya kadar pek çok konunun dijital dönüşüm hızına yetişemediği gözlemlenmektedir. Kurumların siber güvenlik altyapılarını ve tedbirlerini sağlamlaştırabilmek adına bir dizi proaktif önlem alması gerekmektedir. Özellikle…
Siber güvenlik dünyasında ve sızma testlerinde (Pentest), hız ve pratiklik her şeydir. Web uygulamalarındaki zafiyetleri tespit etmek isteyen uzmanlar ve bilgisayar korsanları, her defasında devasa ve hantal yazılımları çalıştırmak yerine gündelik tarayıcılarını (Chrome, Firefox vb.) güçlü birer analiz aracına dönüştürürler. Tarayıcı eklentileri (extensions), hedef sistem hakkında hızlıca bilgi toplamak ve basit düzeyde saldırı senaryolarını test…
Tor Tarayıcısı (Tor Browser), internet kullanıcılarının dijital dünyada gizliliklerini korumalarını, anonim olarak gezinmelerini ve sansürlü web sitelerine erişmelerini sağlayan, açık kaynak kodlu ve tamamen ücretsiz bir web tarayıcısıdır. İsmini, arkasındaki şifreleme teknolojisi olan “The Onion Router” (Soğan Yönlendirici) kavramından alır. İlk olarak ABD Deniz Araştırma Laboratuvarı tarafından askeri istihbarat iletişimini korumak amacıyla geliştirilen bu teknoloji,…
Zararlı yazılım analizi (Malware Analysis), şüpheli bir dosyanın veya kod bloğunun ne amaçla yazıldığını, sisteme nasıl bulaştığını, hangi bileşenlerle iletişime geçtiğini ve ne tür zararlar verdiğini anlama sürecidir. Siber güvenlik dünyasının bu elit ve derin alanında uzmanlaşmak, sistem mimarilerinden tersine mühendisliğe kadar geniş bir bilgi birikimi gerektirir. Bu alanda kendinizi geliştirmek ve adım adım ilerleme…