BİLGİ BANKASI
Siber Saldırılara Karşı Kaynak Kod Düzeyinde Güvenli Web Sitesi Geliştirme Metodolojileri
İçindekiler — Türkçe
Güvenlik Bir Ürün Değil, Bir Süreçtir
Web sitesi güvenliğini bir ürün olarak düşünmek — bir firewall satın al, güvenlik sağlan — temel bir yanılgıdır. Güvenlik, yazılımın her aşamasına entegre edilmiş sürekli bir disiplindir. Bu anlayışın kurumsal ifadesi DevSecOps'tur.
OWASP Top 10: Bilinen Tehditlere Hazırlık
Open Web Application Security Project (OWASP), her yıl en yaygın web güvenlik açıklarını listeler. Bu listeye uyum, minimum güvenlik standardının sağlandığını gösterir.
DevSecOps: Güvenliği Pipeline'a Entegre Etmek
DevSecOps, güvenlik testlerini geliştirme döngüsünün sonuna değil; her commit ve deployment'a entegre eder. Bu yaklaşım 'shift left security' olarak da bilinir.
CI/CD Pipeline Güvenlik Kontrolleri
- SAST (Static Application Security Testing): Kod yazılırken güvenlik açığı taraması — Semgrep, SonarQube
- DAST (Dynamic Application Security Testing): Çalışan uygulamada güvenlik taraması — OWASP ZAP
- SCA (Software Composition Analysis): Bağımlılıklardaki CVE'lerin tespiti — Snyk, Dependabot
- Container scanning: Docker imajlarındaki güvenlik açıkları — Trivy, Clair
- Infrastructure scanning: Terraform/Kubernetes config audit — Checkov, tfsec
Secure Coding Practices
Input Validation ve Sanitization
Her kullanıcı girdisi, güvenilmez kaynak olarak değerlendirilmelidir. Whitelist validation (izin verilen formatları tanımla) blacklist'ten her zaman üstündür. Laravel'de built-in validation, Node.js'de Joi veya Zod bu amaca hizmet eder.
Secrets Management
API anahtarları, veritabanı şifreleri ve sertifikalar kaynak kodda asla yer almamalıdır. HashiCorp Vault, AWS Secrets Manager veya environment variable yönetim araçları bu bilgileri güvenle saklar.
Dependency Güvenliği
Her üçüncü taraf kütüphane potansiyel güvenlik riski taşır. npm audit, composer audit ve Snyk gibi araçlar bilinen CVE'leri otomatik tespit eder. Dependabot veya Renovate ile güvenlik yamaları otomatik PR üretir.
AI Perspective: 2026–2030
AI destekli SAST araçları, yalnızca bilinen imzaları değil; kod mantığındaki güvenlik anti-pattern'lerini de tespit etmeye başlamıştır. AI kod incelemesi, güvenlik uzmanı olmayan geliştiricilerin güvenli kod yazmasını demokratize edecektir.
SIKÇA SORULAN SORULAR
Temel Çıkarımlar
- Güvenlik, geliştirme döngüsünün son adımı değil; her adımına entegre edilmiş süreçtir.
- OWASP Top 10, minimum güvenlik standardının referans listesidir.
- DevSecOps, CI/CD pipeline'ına güvenlik taramalarını entegre ederek shift-left güvenliği sağlar.
- Secrets management, kaynak kodda kimlik bilgisi bulundurma riskini sıfırlar.
- Bağımsız penetration test, güvenlik kalitesinin nesnel doğrulanmasının tek yoludur.
