OWASP Top 10 Nedir?
OWASP (Open Web Application Security Project), web uygulama güvenliği konusunda dünya çapında tanınan kar amacı gütmeyen bir organizasyondur. 2003'ten beri her 3-4 yılda bir "Top 10" listesi yayınlar — bu liste, sektördeki en kritik 10 güvenlik açığını sıralar. PCI-DSS, HIPAA, ISO 27001 gibi tüm modern standartlar OWASP Top 10'u referans olarak kabul eder.
OWASP Top 10 (2021 Versiyonu)
A01: Broken Access Control
Yetkilendirme hatası — bir kullanıcının yetkili olmadığı verilere erişebilmesi. En yaygın güvenlik açığı (%94 web sitesi etkilenmiş). EMIXHAS önlemi: Role-Based Access Control (RBAC) + Attribute-Based Access Control (ABAC) + middleware bazlı yetki kontrolü.
A02: Cryptographic Failures
Şifreleme hataları — düz metin parola saklama, zayıf algoritma kullanımı (MD5, SHA1). EMIXHAS önlemi: bcrypt/Argon2 parola hashleme, AES-256-GCM şifreleme, TLS 1.3.
A03: Injection (SQL, NoSQL, Command)
Kullanıcı girişinin doğrudan sorguya geçirilmesi. EMIXHAS önlemi: Parametreli sorgular (Prepared Statements), ORM kullanımı (Eloquent, Doctrine), input validation katmanı.
A04: Insecure Design
Güvenlik baştan düşünülmemiş mimari. EMIXHAS önlemi: Threat modeling, secure design patterns, security review her sprint sonu.
A05: Security Misconfiguration
Default şifre, açık debug modu, gereksiz açık portlar. EMIXHAS önlemi: Production-ready config, automated security audit, principle of least privilege.
A06: Vulnerable Components
Eski/güvenliksiz framework/library kullanımı. EMIXHAS önlemi: Composer/npm audit haftalık, Dependabot otomasyon, Snyk taraması.
A07: Identification & Authentication Failures
Zayıf giriş sistemleri, brute force koruması yok. EMIXHAS önlemi: 2FA (Google Authenticator + SMS), rate limiting, account lockout, OAuth 2.0.
A08: Software & Data Integrity
Yazılım güncellemelerinin güvensiz dağıtımı. EMIXHAS önlemi: Code signing, CI/CD security gates, immutable infrastructure.
A09: Security Logging & Monitoring
Saldırı tespit edilemiyor. EMIXHAS önlemi: Centralized logging (ELK Stack), real-time alerting, SIEM entegrasyonu.
A10: Server-Side Request Forgery (SSRF)
Sunucudan keyfi URL'lere istek atma. EMIXHAS önlemi: Whitelist tabanlı domain kontrolü, network segmentation.
EMIXHAS Güvenlik Süreçleri
- Her sprint sonu otomatik security scan
- Production öncesi manuel pentest
- Yıllık 2 kez 3. taraf bağımsız audit
- Bug bounty programı (kritik açıklar için 5.000 TL+ ödül)
- Tüm geliştiricilere OWASP eğitimi verilir