Tehdit profili
Erişim kontrolü zafiyeti
Uygulamanın kim olduğunuzu denetleyip neyi yapabileceğinizi denetlememesi; bir kullanıcının başkasının veri ve işlevlerine ulaşabilmesi.
Nasıl işler
Tipik örnek /fatura/1043 gibi bir adrestir: sunucu, oturumu açık başka bir kullanıcıya 1044 numaralı faturayı da veriyorsa denetim eksiktir. Kusur tarayıcıda değil, sunucunun kurallarındadır; bir düğmeyi gizlemek hiçbir şeyi korumaz.
Nelere bakılmalı
- Bir hesabın başkalarına ait kimlikleri başarıyla istemesi.
- Yönetici işlevlerine doğrudan adresle ulaşılabilmesi.
- Günlüklerde tek oturumun art arda gelen çok sayıda kimlik istemesi.
Riski ne azaltır
- Her izni sunucuda, her istek için uygulayın; varsayılan ret olsun.
- Yalnızca kaydın var olduğunu değil, oturumdaki kullanıcıya ait olduğunu da denetleyin.
- Her rol ve kullanıcılar arası erişim için otomatik testler ekleyin.
- Erişim retlerini günlüğe yazın ve kalıplar için uyarı üretin.
Kaynaklar
İlgili tehditler
Bu bölüm savunma ve öğrenme içindir. Sahibi olmadığınız ya da test etmek için yazılı izin almadığınız sistemleri denemeyin: bir bilişim sistemine hukuka aykırı olarak girmek suçtur (Türk Ceza Kanunu m. 243).