Bilgi Güvenliği Testi

Sistem yazılımlarının güvenlik test ve denetimleri yapılacaktır. Yapılacak testler, sadece sunucular üzerinde çalışan servislerin araştırılmasından oluşmayacak, kullanılan veri tabanı ve geliştirilecek UYGULAMA’ya has güvenlik açıkları da araştırılacaktır. Test ve denetlemeleri yapacak kişi, en az Certified Ethical Hacker (CEH) sertifikasına sahip bilgi güvenliği uzmanı olmalıdır. Belirtilen güvenlik test ve denetimleri garanti süresince 6 aylık dönemler itibariyle 4(dört) defa yaparak sonuçları sunacaktır. Bu kapsamda yapılacak denetlemeler aşağıda detaylı olarak açıklanmıştır. • Veri Denetimi o Girdi denetimi o Çıktı denetimi o Değiştirilen içeriğin tespiti o HTML etiketlerinin filtrelenmesi o SQL enjeksiyonu o Sunucu taraflı girdi denetimi o URL yönlendirmeler o Diğer enjeksiyonlar o XSS enjeksiyonu (XSS Injection) o HTTP yanıt bölme (HTTP response splitting) • Oturum Yönetimi o Giriş sonrası oturum bilgisi yenileme, oturum sabitleme o Çerezlerin içeriği o Oturum sonlandırma o Oturum bilgisinin URL içinde taşınması o Oturum çalma (Session riding) o Siteler arası istek sahteciliği (Cross-Site Request Forgery, CSRF) • Kimlik Doğrulama ve Yetkilendirme o Yetki artırımı o Yetki dışı işlem o Şifre politikaları o Bilenen hesap/şifre bileşenlerinin denenmesi o Basit kimlik doğrulama kullanımı o Kimlik doğrulamanın atlatılması o Çıkış (Logout) işlevi o Tersine yol (Path traversal) o Yetki atlatma (Bypass authorization) o Yetki artırımı (Privilege escalation) o Uygulama mantığı kontrolleri ( Application logic flaw, business logic flaw) • Web Servis Testleri o Web servislerin tespiti o Web servisi detay tarama o REST üzerinden web servisi o SOAP eklenti testi o Ajax testi • Bilgi Sızdırma ve Ayar Yönetimi o Minimum bilgi prensibi o Yardım sayfalar o SSL kullanımı o HTML yorumları o Sunucu bilgisinin kısıtlanması o Hata sayfalarının gösterimi o Dosya uzantılarının test edilmesi o Yedeklenmiş ya da unutulmuş dosyalar o Yönetici arayüzü erişim testi o Desteklenen HTTP metotları ve XST açıklığı o Sitenin SSL sertifikasının geçerlilik testi • Hizmet Dışı Bırakma o Güvenlik resmi (Captcha) kullanımı o Apache hizmet dışı bırakma saldırısı – Endless connection o İstemci talebine uyarınca bellekte nesne oluşturmak (User specified object allocation) o Fazla veri döndüren işlemler