Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Siber Guvenlik Terimleri Sozlugu
Bozuk erişim kontrolü, kullanıcıların yetkileri dışındaki verilere ya da işlevlere erişebilmesine yol açan zafiyet sınıfıdır.
Bozuk erişim kontrolü, kullanıcıların yetkileri dışındaki verilere ya da işlevlere erişebilmesine yol açan geniş bir zafiyet sınıfıdır. Erişim kontrolü, her kullanıcının yalnızca yetkili olduğu kaynaklara ulaşmasını sağlayan mekanizmadır. Bu mekanizma eksik ya da tutarsız uygulandığında, kullanıcılar sınırlarının ötesine geçebilir. Bu aşım, başkalarının verilerine erişmekten yönetici işlevlerini kullanmaya kadar uzanabilir. Zafiyet, web uygulamalarının en yaygın ve en kritik sorunlarından biridir.
Bu zafiyet sınıfının önemi, doğrudan verinin ve işlevlerin gizliliğini ve bütünlüğünü tehdit etmesinden gelir. Bir erişim kontrolü hatası, hassas verilerin açığa çıkmasına ya da yetkisiz işlemlerin yapılmasına yol açabilir. Ayrıca bu zafiyetler, çoğu zaman karmaşık saldırılar gerektirmeden sömürülebilir. Basit bir istek manipülasyonu bile ciddi sonuçlar doğurabilir. Bu erişilebilirlik, zafiyetin en yüksek öncelikli risklerden biri olmasının nedenidir.
Bozuk erişim kontrolü, yetki kontrollerinin eksik ya da tutarsız uygulanması nedeniyle kullanıcıların yetkileri dışındaki kaynaklara erişebilmesine yol açan zafiyet sınıfıdır.
Zafiyet birçok farklı biçimde ortaya çıkabilir. Bir kullanıcının başkasının kaydına erişmesi, sıradan bir kullanıcının yönetici işlevini kullanması ya da yetki kontrolünün yalnızca arayüzde yapılması bu biçimlerden bazılarıdır. Tüm bu biçimler, aynı temel soruna, yani sunucu tarafında eksik yetki kontrolüne dayanır. Bu ortak kök, savunmanın da ortak bir ilkeye dayanmasını sağlar. Her erişim, sunucu tarafında yetki açısından doğrulanmalıdır.
En yaygın biçim, nesne düzeyinde yetki eksikliğidir. Kullanıcı, bir tanımlayıcıyı değiştirerek başkalarının kayıtlarına erişebilir. Güvensiz doğrudan nesne referansı bu biçmin en bilinen örneğidir. Bu biçim, uygulamanın her erişimde kayıt sahipliğini kontrol etmemesinden kaynaklanır. Her erişimde yapılan sahiplik kontrolü, bu biçimi önler.
İkinci yaygın biçim, işlev düzeyinde yetki eksikliğidir. Sıradan bir kullanıcı, yalnızca yöneticilere açık olması gereken bir işleve doğrudan erişebilir. Bu durum, işlev erişiminin yalnızca arayüzde gizlenip sunucuda kontrol edilmemesinden doğar. Arayüzde bir düğmeyi gizlemek, ilgili isteğin doğrudan gönderilmesini engellemez. Bu nedenle işlev erişimi de sunucu tarafında doğrulanmalıdır.
Üçüncü biçim, yetki yükseltmedir. Kullanıcı, kendi yetkisini değiştiren bir isteği manipüle ederek daha yüksek ayrıcalıklar elde edebilir. Yetki yükseltme bu biçimde uygulama düzeyinde gerçekleşir. Örneğin bir kullanıcı, kendi rolünü yönetici olarak değiştiren bir isteği gönderebilir. Bu istek sunucuda doğrulanmazsa, kullanıcı yetkisini yükseltmiş olur.
Sızma testinden olay müdahalesine, uçtan uca çözümlerle yanınızdayız.
Fiyat Teklifi AlEn temel ilke, yetki kontrolünün sunucu tarafında ve her erişimde yapılmasıdır. Arayüzdeki gizlemeler kullanıcı deneyimi içindir; güvenlik değildir. Her istek, isteği yapan kullanıcının yetkisi açısından bağımsız olarak doğrulanmalıdır. Bu doğrulama, hem veri hem işlev erişimini kapsamalıdır. Sunucu tarafında yapılan tutarlı kontrol, zafiyet sınıfının kökenini ortadan kaldırır.
İkinci ilke, erişim kontrolünün merkezî biçimde uygulanmasıdır. Yetki mantığının her işlevde ayrı yazılması, tutarsızlıklara ve unutulan noktalara yol açar. Merkezî bir yetki mekanizması, tüm erişimlerin aynı kurallardan geçmesini sağlar. Bu merkezîleşme, kontrolün eksiksiz ve tutarlı uygulanmasını kolaylaştırır. Tutarlı bir yaklaşım, insan hatasına bağlı boşlukları azaltır.
Üçüncü ilke, varsayılan olarak reddetme yaklaşımıdır. Erişim, açıkça izin verilmedikçe reddedilecek biçimde tasarlanmalıdır. Bu yaklaşım, unutulan bir kontrolün varsayılan olarak güvenli tarafta kalmasını sağlar. Aksi durumda, tanımlanmamış bir erişim yanlışlıkla açık kalabilir. Varsayılan reddetme, güvenli varsayılan ilkesinin erişim kontrolüne uygulanmış hâlidir.
Sağlam bir erişim kontrolü, iyi tanımlanmış bir yetki modeline dayanır. Kullanıcıların yetkileri, dağınık kurallar yerine yapısal bir model üzerinden tanımlanmalıdır. Rol tabanlı erişim kontrolü bu yapısal yaklaşımların en yaygınıdır. Bu modelde yetkiler rollere atanır ve kullanıcılar rollerle ilişkilendirilir. Bu netlik, hangi kullanıcının neye erişebileceğini açık ve yönetilebilir kılar.
Daha ayrıntılı gereksinimler için öznitelik temelli modeller de kullanılabilir. Bu modellerde erişim kararları, kullanıcı ve kaynak özniteliklerine göre daha esnek biçimde verilir. Öznitelik tabanlı erişim kontrolü karmaşık senaryolar için daha yüksek esneklik sunar. Modelin seçimi, uygulamanın karmaşıklığına ve gereksinimlerine göre yapılır. Doğru seçilmiş bir model, erişim kontrolünü hem güçlü hem yönetilebilir kılar.
Zafiyetin tespiti, çoğunlukla farklı yetki düzeylerindeki hesaplarla test yapmayı gerektirir. Test uzmanı, düşük yetkili bir hesapla yüksek yetkili işlevlere ve başkalarının verilerine erişmeyi dener. Web uygulama sızma testi bu yetki atlama senaryolarını sistematik biçimde değerlendirir. Her işlev, farklı yetki düzeylerinden erişim açısından sınanır. Böylece kontrolü eksik olan noktalar ortaya çıkarılır.
Bu zafiyet sınıfının bu kadar yaygın olmasının birkaç yapısal nedeni vardır. Erişim kontrolü, uygulamanın her noktasında tutarlı biçimde uygulanması gereken kesişen bir sorumluluktur. Bu yaygın gereksinim, tek bir noktanın bile atlanmasını olası kılar ve atlanan her nokta bir zafiyet oluşturur. Ayrıca yeni işlevler eklendikçe, yetki kontrolünün de eklenmesi gerekir ve bu kolayca unutulur. Bu yapısal zorluk, zafiyetin neden sürekli üst sıralarda yer aldığını açıklar.
Bir diğer neden, erişim kontrolü hatalarının işlevsel testlerde kolayca fark edilmemesidir. Yetkili bir kullanıcıyla yapılan testler, işlevin çalıştığını gösterir ama yetki eksikliğini ortaya çıkarmaz. Zafiyet, ancak farklı yetki düzeylerinden yapılan güvenlik testleriyle görünür olur. Bu nedenle standart kalite testleri bu sorunları çoğu zaman kaçırır. Güvenlik odaklı test, bu görünmezliği aşmak için gereklidir.
Erişim kontrolü zafiyetleri, çoğu zaman iş mantığı zafiyetleriyle iç içe geçer. Bir işlevin kime açık olması gerektiği, çoğu zaman iş kurallarına bağlıdır. Bu kuralların yanlış anlaşılması ya da eksik uygulanması, erişim kontrolü hatalarına yol açar. İş mantığı zafiyetleri bu bağlamda erişim kontrolüyle yakından ilişkilidir. İki alanın birlikte değerlendirilmesi, daha bütünsel bir savunma sağlar.
Bu ilişki, erişim kontrolü tasarımının iş gereksinimleriyle uyumlu olmasını gerektirir. Yetki modeli, gerçek iş kurallarını doğru yansıtacak biçimde tasarlanmalıdır. Aksi hâlde, teknik olarak doğru ama iş açısından yanlış erişim kararları oluşabilir. Bu nedenle erişim kontrolü, yalnızca teknik değil aynı zamanda iş odaklı bir tasarım gerektirir. İş ve güvenlik ekiplerinin birlikte çalışması, bu uyumu sağlar.
Erişim kontrolü, bir kez kurulup unutulacak bir yapı değildir; sürekli doğrulama gerektirir. Uygulamaya eklenen her yeni işlev, yetki kontrolü açısından yeniden değerlendirilmelidir. Bu sürekli doğrulama, zamanla ortaya çıkan boşlukların kapatılmasını sağlar. Düzenli güvenlik testleri ve kod incelemeleri, bu doğrulamanın araçlarıdır. Sürekli bir yaklaşım, savunmanın uygulama büyüdükçe zayıflamasını önler.
Privia Security olarak erişim kontrolü ve yetkilendirme zafiyetlerinin tespitini ve giderilmesini düzenli zafiyet tarama ve sızma testi kapsamında değerlendiriyoruz.
Bunlar İlginizi Çekebilir
