İş mantığı zafiyetleri, uygulamanın iş kurallarının beklenmedik biçimde kötüye kullanılabilmesine dayanan bir açık sınıfıdır. Bu zafiyetler, teknik bir kodlama hatasından çok, uygulamanın iş akışının tasarımındaki eksikliklerden kaynaklanır. Uygulama teknik olarak doğru çalışsa bile, iş kuralları bir saldırganın avantajına kullanılabilecek boşluklar içerebilir. Örneğin bir indirim mekanizmasının ya da bir onay akışının beklenmedik biçimde kötüye kullanılması bu sınıfa girer. Bu nedenle zafiyet, kodun değil sürecin bir hatasıdır.

Bu zafiyet sınıfının en belirgin özelliği, uygulamaya ve iş alanına özgü olmasıdır. Her uygulamanın kendine özgü iş kuralları olduğu için, bu zafiyetler de genel bir kalıba indirgenemez. Bir uygulamada zafiyet olan bir davranış, başka bir uygulamada tamamen meşru olabilir. Bu özgünlük, zafiyetin tespitini ve savunmasını zorlaştırır. Genel güvenlik listeleri bu tür zafiyetleri çoğu zaman kapsamaz.

İş Mantığı Zafiyetleri Nedir?

İş mantığı zafiyetleri, uygulamanın iş kurallarının ve akışlarının beklenmedik biçimde kötüye kullanılabilmesinden doğan, uygulamaya özgü güvenlik açıklarıdır.

Bu zafiyetler, çoğu zaman uygulamanın olması gereken davranışıyla gerçek davranışı arasındaki farktan doğar. Tasarımcı, kullanıcıların belirli bir sırayla ve belirli sınırlar içinde hareket edeceğini varsayar. Saldırgan ise bu varsayımları ihlal ederek beklenmedik durumlar yaratır. Örneğin bir adımı atlamak, bir işlemi tekrarlamak ya da bir değeri sınırların dışına taşımak bu tür ihlallerdir. Uygulama bu durumları öngörmediğinde, zafiyet ortaya çıkar.

Neden Otomatik Araçlar Yakalayamaz?

Otomatik güvenlik araçları, bu zafiyetleri yakalamakta genellikle yetersiz kalır. Bu araçlar, bilinen teknik zafiyet desenlerini ararken iş kurallarını anlamazlar. Bir indirim mantığının kötüye kullanılabilir olması, teknik bir imzayla tespit edilemez. Bu nedenle bu zafiyetler, uygulamanın iş bağlamını anlayan insanlar tarafından bulunmalıdır. Otomatik araçların bu sınırı, manuel testin önemini artırır.

Bu durum, güvenlik testinin yalnızca araç taramasına indirgenmemesi gerektiğini gösterir. İş mantığı zafiyetleri, ancak uygulamanın nasıl çalışması gerektiğini anlayan bir test uzmanı tarafından keşfedilir. Web uygulama sızma testi bu tür manuel ve bağlam odaklı değerlendirmeyi içerir. Test uzmanı, iş akışlarını inceleyerek kötüye kullanım senaryoları üretir. Bu insan odaklı yaklaşım, otomatik araçların kaçırdığı zafiyetleri ortaya çıkarır.

Yaygın Örnekler

Bir yaygın örnek, iş akışındaki adımların atlanmasıdır. Saldırgan, bir işlemin ara adımlarını atlayarak doğrudan sonuç adımına ulaşabilir. Örneğin ödeme adımını atlayıp doğrudan onay adımına geçmek bu tür bir kötüye kullanımdır. Uygulama, her adımın öncekilerin tamamlandığını doğrulamadığında bu mümkün olur. Bu nedenle akış bütünlüğünün her adımda kontrol edilmesi gerekir.

Bir diğer örnek, miktar ve sınır manipülasyonudur. Saldırgan, bir değeri beklenmedik biçimde negatif ya da aşırı büyük girerek mantığı bozabilir. Örneğin negatif bir miktar, bir hesabı borçlandırmak yerine alacaklandırabilir. Uygulama, değerlerin makul sınırlar içinde olduğunu doğrulamadığında bu zafiyet doğar. Sınır kontrolleri, bu tür manipülasyonları engeller.

• İş akışındaki zorunlu adımların atlanması
• Miktar ve sınır değerlerinin manipüle edilmesi
• Bir işlemin beklenmedik biçimde tekrarlanması
• İndirim ve promosyon mantıklarının kötüye kullanımı
• Zamanlama ve sıralama varsayımlarının ihlali

Nasıl Önlenir?

En temel yaklaşım, iş kurallarının tasarım aşamasında güvenlik gözüyle değerlendirilmesidir. Her iş akışı için, kuralların nasıl kötüye kullanılabileceği önceden düşünülmelidir. Bu değerlendirme, tehdit modelleme çalışmalarının bir parçası olarak yapılabilir. Tehdit modelleme, iş mantığı risklerini erken aşamada ortaya çıkarır. Tasarımda öngörülen bir risk, kodda çok daha kolay önlenir.

İkinci yaklaşım, tüm iş kurallarının sunucu tarafında doğrulanmasıdır. İstemci tarafındaki akış kontrolleri kolayca atlatılabildiği için, kritik kurallar sunucuda uygulanmalıdır. Her işlem, iş kurallarına uygunluğu açısından sunucu tarafında kontrol edilmelidir. Bu kontrol, akış bütünlüğünü ve değer sınırlarını kapsamalıdır. Sunucu tarafı doğrulama, iş mantığı savunmasının temelidir.

Üçüncü yaklaşım, iş süreçlerinin izlenmesi ve anormalliklerin tespitidir. Beklenmedik biçimde ilerleyen işlemler, bir kötüye kullanım girişiminin belirtisi olabilir. Bu tür anormalliklerin izlenmesi, tasarımda kaçırılan zafiyetlerin çalışma zamanında yakalanmasını sağlar. Log yönetimi altyapısı bu izlemeyi destekler. Böylece önleme eksik kalsa bile, tespit katmanı devreye girer.

Diğer Örnekler ve Senaryolar

Bir başka yaygın senaryo, işlemlerin beklenmedik biçimde tekrarlanmasıdır. Saldırgan, yalnızca bir kez yapılması gereken bir işlemi birden çok kez tetikleyerek avantaj sağlayabilir. Örneğin bir puan kazanma ya da ödül talep etme işlevi, tekrarlanarak kötüye kullanılabilir. Uygulama, bir işlemin daha önce yapılıp yapılmadığını kontrol etmediğinde bu mümkün olur. Bu nedenle tek seferlik işlemler, tekrarı engelleyecek biçimde tasarlanmalıdır.

Zamanlama ve sıralama varsayımlarının ihlali de sık görülen bir senaryodur. Uygulama, kullanıcıların işlemleri belirli bir sırayla ve belirli zaman aralıklarında yapacağını varsayar. Saldırgan, bu varsayımları ihlal ederek beklenmedik durumlar yaratabilir. Örneğin bir işlemi çok erken ya da çok geç tetikleyerek mantığı bozabilir. Bu nedenle zamanlama ve sıralama kuralları da açıkça denetlenmelidir.

Fiyatlandırma ve indirim mantıkları, bu zafiyetlerin sık görüldüğü bir alandır. Birden çok indirimin beklenmedik biçimde birleştirilmesi ya da bir promosyonun sınırlarının aşılması, tipik kötüye kullanım biçimleridir. Bu senaryolar, doğrudan finansal kayba yol açtığı için özellikle önemlidir. Uygulama, indirim kurallarının nasıl birleşebileceğini açıkça tanımlamalıdır. Bu netlik, beklenmedik kombinasyonların önlenmesini sağlar.

Neden Kritik?

İş mantığı zafiyetleri, doğrudan işin kendisini hedef aldığı için özellikle kritiktir. Bu zafiyetler, teknik bir sistemi değil, kurumun gelir modelini ve iş akışlarını etkiler. Bu nedenle etkileri çoğu zaman doğrudan finansal ya da operasyonel kayıp biçiminde ortaya çıkar. Ayrıca bu zafiyetler, meşru işlevler kullanılarak sömürüldüğü için fark edilmesi zordur. Bu görünmezlik, uzun süre sömürülebilmelerine olanak tanır.

Bu zafiyetlerin bir diğer kritik yönü, güven ilişkilerini zedelemesidir. Bir iş kuralının kötüye kullanılması, hem müşterileri hem de iş ortaklarını etkileyebilir. Bu durum, teknik zararın ötesinde itibar kaybına da yol açabilir. Bu nedenle iş mantığı güvenliği, yalnızca teknik bir konu değil, aynı zamanda bir iş sürekliliği meselesidir. Kurumun genel risk yönetimiyle bütünleşik ele alınmalıdır.

Kurumsal Yaklaşım

İş mantığı zafiyetlerinin önlenmesi, güvenlik ve iş ekiplerinin birlikte çalışmasını gerektirir. İş kurallarını en iyi bilen iş ekipleri, kötüye kullanım senaryolarının belirlenmesine katkı sağlar. Güvenlik ekipleri ise bu senaryoları teknik risklere dönüştürerek değerlendirir. Bu iş birliği, tek başına hiçbir ekibin göremeyeceği zafiyetleri ortaya çıkarır. İki bakış açısının birleşimi, savunmayı bütünsel hâle getirir.

Bu iş birliği, düzenli ve sistematik bir sürece dönüştürülmelidir. Yeni özellikler geliştirilirken, iş kurallarının güvenlik açısından değerlendirilmesi standart bir adım olmalıdır. Bu değerlendirme, tehdit modelleme çalışmalarının bir parçası olarak yürütülebilir. Böylece iş mantığı riskleri, tasarım aşamasında sistematik biçimde ele alınır. Sürekli bir yaklaşım, bu zafiyetlerin uygulama büyüdükçe birikmesini önler.

Privia Security olarak iş akışlarının ve iş kurallarının güvenlik açısından değerlendirilmesini düzenli zafiyet tarama ve sızma testi kapsamında ele alıyoruz.