Bu yazımda sizlere OWASP Top 10 listesinin 5. sırasında bulunan “Broken Access Control“ saldırıları hakkında bilgi vermeye çalışacağım.
Broken Access Control Nedir?
Kimliği doğrulanmış kullanıcıların sistemde yapabileceği olaylar ve yapamayacağı olaylar genellikle gerektiği gibi doğru ayarlanmaz. Saldırganlar, diğer kullanıcıların hesaplarına erişmek, hassas dosyaları görüntülemek, diğer kullanıcıların verilerini değiştirmek, erişim haklarını değiştirmek vb. Gibi yetkisiz işlevlere veya verilere erişmek için bu kusurları kullanabilir.
Nasıl Önleyebiliriz?
- Web sunucusu dizin listesini devre dışı bırakın ve dosya meta verilerini ve yedekleme dosyalarının web köklerinde mevcut olmadığından emin olun.
- Erişim kontrolü hata log’larını kaydedin, uygun olduğunda yöneticileri uyarın.
- Otomatik saldırı araçlarından kaynaklanan zararı en aza indirmek için hız sınırı API ve denetleyici erişimi kullanın.
- JWT tokenleri, oturumu kapattıktan sonra sunucuda geçersiz kılınmalıdır.
Buraya kadar olan kısımda sizlere OWASP Top 10 listesinin 5. sırasında olan “Broken Access Control” hakkında bilgi vermeye çalıştım. Bir sonraki yazımda size OWASP Top 10 listesinin 6. sırası hakkında bilgi vermeye çalışacağım.
Bir sonraki yazımda görüşmek üzere…