Kaspersky Security Assessment uzmanları tarafından yapılan yeni bir araştırma, şirket içinde geliştirilen kurumsal web uygulamalarındaki en tehlikeli ve yaygın güvenlik açıklarını belirledi. 2021 ile 2023 ortasında incelenen uygulamaların birçoklarında …
Kaspersky Security Assessment uzmanları tarafından yapılan yeni bir araştırma, şirket içinde geliştirilen kurumsal web uygulamalarındaki en tehlikeli ve yaygın güvenlik açıklarını belirledi. 2021 ile 2023 ortasında incelenen uygulamaların birçoklarında erişim denetimi ve bilgi müdafaasıyla ilgili kusurlar bulundu. Bu kusurların toplam sayısı birkaç düzine olarak karşımıza çıkıyor. En yüksek risk düzeyindeki zafiyetler ortasında en çok SQL enjeksiyonlarına atıfta bulunuluyor.
Sosyal ağlar, e-posta ve çevrimiçi hizmetler üzere web uygulamaları, temelde kullanıcıların bir tarayıcı aracılığıyla bir web sunucusuyla etkileşime girdiği web siteleri. Kaspersky, son çalışmasında BT, devlet, sigorta, telekomünikasyon, kripto para, e-ticaret ve sıhhat kuruluşları tarafından kullanılan web uygulamalarındaki güvenlik açıklarını araştırarak kurumların başına gelebilecek en yaygın hücum çeşitlerini belirledi.
Ağırlıklı güvenlik açığı cinsleri, erişim denetimi kusurlarının makus niyetli kullanım potansiyelini ve hassas bilgilerin korunmasındaki başarısızlıkları içeriyordu. 2021 ve 2023 yılları ortasında, bu çalışmada incelenen web uygulamalarının %70’i bu kategorilerde güvenlik açıkları sergiledi.
Bozuk erişim denetimi güvenlik açığı, saldırganlar kullanıcıları yetkili müsaadeleriyle sınırlayan web sitesi siyasetlerini atlamaya çalıştığında kullanılabiliyor. Bu durum yetkisiz erişime, bilgilerin değiştirilmesine yahut silinmesine ve daha fazlasına yol açabiliyor. İkinci yaygın kusur çeşidi ise şifreler, kredi kartı bilgileri, sıhhat kayıtları, ferdî bilgiler ve zımnî iş bilgileri üzere hassas bilgilerin açığa çıkmasını içeriyor ve bu durum güvenlik tedbirlerinin artırılması muhtaçlığını vurguluyor.
Kaspersky Security Assessment grubunda güvenlik uzmanı Oxana Andreeva, “Derecelendirme, çeşitli şirketlerde kurum içinde geliştirilen web uygulamalarındaki en yaygın güvenlik açıkları ve bunların risk seviyeleri dikkate alınarak derlenmiştir. Örneğin, bir güvenlik açığı saldırganların kullanıcı kimlik doğrulama bilgilerini çalmasını sağlayabilirken, bir oburu sunucuda makus emelli kod çalıştırılmasına yardımcı olabilir ve her biri iş sürekliliği ve esnekliği için farklı derecelerde sonuçlar doğurabilir. Sıralamalarımız, güvenlik tahlili projeleri yürütme konusundaki pratik tecrübelerimizden yola çıkarak bu değerlendirmeyi yansıtıyor” diyor.
Kaspersky uzmanları, üstte listelenen kümelerdeki güvenlik açıklarının ne kadar tehlikeli olduğunu da inceledi. Yüksek risk teşkil eden güvenlik açıklarının en büyük oranı SQL enjeksiyonları ile ilişkilendirildi. Bilhassa, tahlil edilen tüm SQL Injection güvenlik açıklarının %88’i yüksek riskli olarak kabul edildi. Yüksek riskli güvenlik açıklarının bir öbür kıymetli hissesinin zayıf kullanıcı şifreleriyle irtibatlı olduğu tespit edildi. Bu kategoride, tahlil edilen tüm güvenlik açıklarının %78’i yüksek riskli olarak sınıflandırıldı.
Kaspersky Güvenlik Kıymetlendirme grubunun incelediği tüm web uygulamalarının sırf %22’sinin zayıf parolalara sahip olduğunu belirtmek değerli. Bunun olasının bir nedeni, çalışma örneğine dahil edilen uygulamaların gerçek canlı sistemler yerine test sürümleri olması.
Araştırmayı daha derinlemesine incelemek için Securelist web sitesini ziyaret edin. Araştırmada belirtilen güvenlik açığı kategorileri, OWASP Top Ten derecelendirmesinin kategorileri ve alt kategorileri ile uyumlu. Çalışmada açıklanan en yaygın web uygulaması güvenlik açıklarının giderilmesi, şirketlerin zımnî bilgileri müdafaasına ve web uygulamaları ile ilgili sistemlerin tehlikeye atılmasını önlemesine yardımcı oluyor.
Web uygulamalarının güvenliğini artırmak ve bunlara yönelik muhtemel akınları vaktinde tespit etmek için Kaspersky Security Assessment grubu şunları öneriyor:
Kaynak: (BYZHA) Beyaz Haber Ajansı
