OWASP Ankara tarafından düzenlenen ve OWASP tarafından yayınlanan kaynak kod metodolojisi dokümanını el aldığımız webinarın sunumudur.

1. Kaynak Kod Analizi
Metodolojisi
Alper Başaran
alper.basaran@owasp.org
Ocak 2017

2. OWASP Nedir?
• ...kar amacı gütmeyen bir kuruluş
• ...yazılım güvenliği odaklı kar amacı gütmeyen
bir kuruluş
• Marka bağımsız yazılım güvenliği odaklı kar
amacı gütmeyen bir kuruluş

3. OWASP Ankara

4. Kaynak Kod Analizi

5. Kaynak Kod Analizi
• GelişMrme sürecinde uygulama güvenliğine en
çok etkisi olan çalışma
• Sızma testleri sırasında ortaya çıkan açıkları
kapatmak daha zor/maliyetli/imkansız olabilir
• Uygulamayı “güvenlik bakış açısıyla” ve
“içeriden” değerlendirme imkanı verir

6. Kaynak Koddaki Zafiyetler
• MITRE 800 civarında uygulama zafiyeM
kategorisi belirlemişMr
• Yazılım gelişMrenlerin çok azı bu zafiyetler
konusunda bilgi sahibidir
• Proje içerisinde güvenliğe gerekMği kadar
zaman ayırılmayabilir
• Çalışan yazılımlarda “iyi kod” ile “kötü kod”
ayrımı yapmak mümkün olmayabilir

7. Kaynak Kod Analizi Neden Yapılır?
• Uygulama tasarım ve yazımından kaynaklı
güvenlik açıklarını kök nedenleriyle birlikte
ortaya çıkar^r

8. Kaynak Kod Analizinin Faydaları

9. Kaynak Kod Analizinin Faydaları

10. Kaynak Kod Analizi Metodolojisi
• Süreç oluşturulurkn dikkat edilmesi gerkenler;
– Risk
– Amaç ve Kapsam
– Kod sa^rları
– Programlama dili
– Kaynak ve biMş tarihi

11. Kaynak Kod Analizi Ne Zaman
Yapılmalı?
• Commit öncesi
• Kaynak kodda değişiklik yapıldığında

12. Risk Değerlendirmesi

13. Kod Modülünde Risk Seviyesinin
Belirlenmesi

14. Kaynak Kod Analizi Çözümlerinin
Faydaları

15. Kaynak Kod Analizi Çözümlerinin
Dezavantajları

17. Uygulama Tehdit Modelleme
• Dış bağlan^lar
• Giriş noktaları (Adack Vector)
– Girdiler
– Veri Akışı
– İşlemler

18. Inputs
• Browser input
• Cookies
• Property files
• External processes
• Data feeds
• Command line parameters
• Environment variables

19. Data Flow Analysis
• Değişknler nasıl belirleniyor?
• Nasıl kullanılıyor?
• İşlem analizi
– Kimlik doğrulama
– Yetkilendirme
– Şifreleme (at rest & transit)
– Hataların ele alınması
– Loglama

20. STRIDE tehdit modelleme