Kurumsal Siber Güvenlik ve Savunma Stratejileri: 360 Derece Rehber
Mart 15, 2026
Ağ Güvenliği,Siber Güvenlik,Sızma Testi
Başlık Metninizi Buraya Ekleyin
Güvenli Olmayan Deserilizasyon Risklerini Yönetmek
Yazılım dünyasında verilerin bir formattan başka bir formata aktarılması günlük rutine bir işlemdir. Ancak bu verilerin tekrar kullanılabilir nesnelere dönüştürülmesi süreci, dikkat edilmediğinde kapıları ardına kadar açabilir. Güvenli olmayan deserilizasyon, dışarıdan gelen verinin sorgulanmadan işlenmesi sonucu oluşur ve saldırganlara sistemi ele geçirme fırsatı tanır.
Güvenli Olmayan Deserilizasyon Nedir?
Deserilizasyon, saklanmış veya iletilmiş verinin tekrar programın işleyebileceği canlı nesnelere çevrilmesidir. Sorun, bu verinin kaynağı güvenilmez olduğunda ve süreçte yeterli kontrol mekanizması yoksa başlar. Özellikle Java, .NET veya Python gibi nesne tabanlı dillerde, gelen veriyi “güvenli” varsaymak, saldırganın gönderdiği komutların sistem yetkileriyle çalışmasına neden olabilir.
Güvenlik Açıklarının Türleri
Uzaktan Kod Çalıştırma (RCE): Saldırganın, manipüle ettiği veri üzerinden sunucuda kendi komutlarını çalıştırmasıdır. Bu, saldırgana sistemde tam yetki sağlar.
Hizmet Reddi (DoS): Aşırı karmaşık veya iç içe geçmiş nesnelerin işlenmesi, sunucu kaynaklarını tüketerek sistemi yanıt veremez hale getirir.
Yetki Yükseltme: Nesne içindeki rol bilgilerinin değiştirilmesiyle normal kullanıcıların yönetici yetkisi kazanmasıdır.
Veri Bütünlüğünün Bozulması: Nesne parametrelerinin değiştirilmesi, uygulamanın hatalı kararlar almasına ve veri tutarsızlıklarına neden olur.
Etkili Bir Güvenlik İçin Gerekli Adımlar
Yerel formatlar yerine JSON gibi metin tabanlı yapılar tercih edilmelidir.
Veri imzalama yöntemleri ile bütünlük garantisi sağlanmalıdır.
Girdiler whitelist yöntemiyle sıkıca filtrelenmelidir.
Kod incelemeleri periyodik olarak tekrarlanmalıdır.
JWT (JSON Web Token) Güvenliği ile Kimlik Doğrulama
JWT, kimlik bilgilerini taraflar arasında taşıyan popüler bir standart haline geldi. Fakat tokenların doğru korunmaması, kapı anahtarının herkese açık bırakılması gibidir.
Yaygın Güvenlik Zafiyetleri
Algoritma Değişikliği (Alg None): Saldırganın imza kontrolünü “none” olarak değiştirerek imza doğrulamayı devre dışı bırakmasıdır.
Zayıf Gizli Anahtar (Weak Secret): İmzalama şifresinin basit olması, saldırganların deneme-yanılma (brute-force) ile anahtarı bulmasını kolaylaştırır.
Son Kullanma Tarihi Eksikliği: Tokenların süresiz olması, çalındığında sonsuz erişim riski doğurur.
Hassas Veri Saklama: JWT verileri gizlemez, sadece bütünlüğü korur. Gizli bilgiler (parola vb.) asla token içinde tutulmamalıdır.
GraphQL Enjeksiyonları ve API Güvenliği
GraphQL, kullanıcıya sadece ihtiyacı olan veriyi çekme özgürlüğü tanır. Ancak kontrolsüz bırakıldığında bu özgürlük, sistem kaynaklarını tüketen bir silaha dönüşebilir.
Saldırı Vektörlerinin Türleri
Introspection Saldırıları: Sistemin kendi şemasını ifşa etmesinin sağlanmasıdır; saldırgan veri haritasını çıkarır.
Derin Özyineleme (Deep Recursion): İç içe geçmiş sorgularla sunucu belleği doldurulur ve hizmet durdurulur (DoS).
Batching Saldırıları: Tek istekte yüzlerce sorgu çalıştırılarak güvenlik limitleri aşılır.
Aliasing Saldırıları: Aynı sorgu farklı isimlerle tekrar edilerek güvenlik duvarları atlatılır.
Konteyner ve Kubernetes Güvenliği Stratejileri
Konteynerler ve Kubernetes, modern altyapıların omurgasını oluşturuyor. Bu karmaşık yapıları korumak için katmanlı bir güvenlik anlayışı şarttır.
Güvenlik Katmanları
Image (Görüntü) Güvenliği: İmajların güvenilir kaynaklardan gelmesi ve zafiyet taramasından geçirilmesi sağlanır.
Runtime (Çalışma Zamanı) Güvenliği: Çalışan konteynerlerin davranışları izlenir ve anormal işlemler durdurulur.
Ağ Güvenliği: Konteynerler arası trafik ağ politikaları (network policies) ile kısıtlanır.
Erişim Kontrolü (RBAC/IAM): Yönetim paneline erişim rollerle sınırlandırılır ve ayrıcalık yükseltme önlenir.
Tehdit Avcılığı (Threat Hunting) Metodolojisi
Tehdit avcılığı, otomatik araçların kaçırabileceği sessiz tehlikeleri bulmak için yapılan aktif bir arayıştır.
Avcılık Metodolojilerinin Türleri
Hipotez Odaklı Avcılık: Analistlerin “Saldırgan şu yolu izlerse bu iz kalır” şeklindeki öngörüleriyle senaryolar test edilir.
IOC Odaklı Avcılık: Bilinen kötü IP veya dosya imzaları (Indicators of Compromise) sistem genelinde aranır.
TTP Odaklı Avcılık: Saldırganın Teknik, Taktik ve Prosedürleri (TTP) izlenerek gizli hareketler saptanır.
Veri Odaklı Avcılık: Loglardaki anormallikler istatistiksel yöntemler ve veri madenciliği ile keşfedilir.
Tags :
Share This :