SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- Kimlik ile Merkezi politika arasındaki ilişkiyi açıklamak.
- “403 gövdesinde hassas veri varsa ret başarılı mıdır?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
Savunma testinde aynı işlemin bütün giriş noktalarını envanterleyin: API, web arayüzü, dosya indirme ve yönetim uçları. Kontrolü yalnızca URL metnine veya ters vekil kuralına bırakmayın; uygulamada da kimlik, nesne ve işlem yetkisi denetlenmelidir. Yetkisiz yanıtın gövdesinde veri bulunmaması gerekir; yalnızca durum kodunu değiştirmek yeterli değildir.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
Yetki matrisi:
İşlem: rapor okuma
Kimlik: oturumsuz / okuyucu / yönetici
Beklenen: ret / yalnızca kendi raporu / tanımlı yönetim hakkıBeklenen sonuç ve yorumu
Matris her arayüz için aynı iş kuralını test etmeye yardım eder.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| 403 ama gövde dolu | Başarısız ret | Veri aktarılmıştır |
| Web reddediyor API açıyor | Merkezi politikayı düzelt | Alternatif yol kalmıştır |
| Menü yok | Sunucu testini sürdür | Gizleme erişim kontrolü değildir |
Uygulama görevi
Aynı rapora web ve API yolundan erişim için olumlu ve olumsuz testler yazın.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
Arayüzde gizlenmiş düğmeyi erişim kontrolü sanmayın.
Kendinizi sınayın
403 gövdesinde hassas veri varsa ret başarılı mıdır?
Açıklamalı yanıt: Hayır. Veri yanıtla aktarılmıştır; durum kodu tek başına erişim engeli değildir.
İlgili derslerle ilerleyin
- API güvenliği: Nesne, işlem ve alan yetkisi
- Broken Access Control: İzin kararını sunucuda kurma
- Bulut güvenliği: Paylaşılan sorumluluk ve kimlik
- Command injection: Veriyi komut sözdiziminden ayırma
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
