OWASP ASVS nedir?
OWASP ASVS (Application Security Verification Standard), web uygulamaları ve servisler için güvenlik gereksinimlerini listeleyen, açık bir doğrulama standardıdır. Geliştiricilere ne uygulanması gerektiğini, test edenlere ise neyin doğrulanacağını söyler. Gereksinimler; kimlik doğrulama, oturum yönetimi, erişim kontrolü, girdi doğrulama, kriptografi ve günlükleme gibi başlıklara ayrılmıştır.
OWASP Top 10 en yaygın risklerin farkındalık listesidir; ASVS ise bunun ötesine geçerek ölçülebilir ve test edilebilir gereksinimler sunar. Güvenli yazılım geliştirme sürecinin ölçütü olarak kullanılabilir.
Nasıl çalışır?
ASVS, doğrulama düzeylerini tanımlar. Düzey 1 temel koruma sağlar ve çoğu uygulama için asgari başlangıç olarak görülür. Düzey 2, hassas veri işleyen uygulamalar için daha kapsamlı gereksinimler getirir. Düzey 3 ise kritik uygulamalar için en yüksek güvenceyi hedefler.
Her gereksinim numaralandırılmıştır, bu da test raporlarında ve görev takibinde kolay referans vermeyi sağlar. Kuruluşlar uygulamanın risk düzeyine göre uygun düzeyi seçer ve gereksinimleri tasarım, kod incelemesi ve test aşamalarına bağlar.
Sunucu ve hosting ortamında
Hosting ortamlarında çalışan web uygulamaları (WordPress eklentileri, özel yazılımlar, müşteri panelleri) için ASVS iyi bir kontrol listesi sunar. Sunucu tarafında sertleştirme tek başına yetmez; uygulama katmanındaki parola saklama, oturum yönetimi ve yetkilendirme hataları da ihlallerin başlıca nedenidir. Yazılım teslim eden ya da barındıran taraflar, güvenlik gereksinimlerini sözleşmelere ASVS düzeyiyle bağlayabilir.
Nasıl uygulanır?
- Uygulamanızın risk düzeyine göre hedef ASVS düzeyini belirleyin.
- Gereksinimleri geliştirme görevlerine ve kabul ölçütlerine dönüştürün.
- Kod incelemesi ve güvenlik testlerini ASVS maddelerine göre yapılandırın.
- Otomatik taramaları manuel incelemeyle tamamlayın; birçok gereksinim yalnızca insan gözüyle doğrulanır.
- Sonuçları kayıt altına alın ve sürümler arasında karşılaştırın.
Sık yapılan hatalar
- ASVS’yi son aşamada bir kez çalıştırılan kontrol listesi olarak kullanmak.
- Tüm uygulamalara gereksiz yere en yüksek düzeyi uygulamaya çalışmak.
- Yalnızca otomatik araçlarla doğrulama yapıp mantık hatalarını kaçırmak.
- Standardın güncel sürümünü takip etmemek.
Sık sorulan sorular
ASVS ile OWASP Top 10 arasındaki fark nedir?
Top 10 en kritik riskleri anlatan bir farkındalık belgesidir. ASVS ise uygulamanın güvenliğini test etmek ve gereksinim olarak tanımlamak için kullanılan ayrıntılı bir standarttır.
Hangi ASVS düzeyini seçmeliyim?
Hassas veri işlemeyen uygulamalarda Düzey 1 başlangıç olabilir. Kişisel veri, ödeme ya da iş açısından kritik veri işleyen uygulamalarda genellikle Düzey 2 değerlendirilir.
ASVS için sertifika var mı?
ASVS bir sertifikasyon programı değil, doğrulama ölçütüdür. Bağımsız testçiler raporlarında ASVS’ye göre değerlendirme yapabilir.
İlgili terimler
- OWASP Top 10Web uygulamalarındaki en kritik güvenlik risklerinin güncellenen listesi.
- PCI DSSÖdeme kartı verisini işleyen sistemler için güvenlik standardı.
- SBOM (Yazılım malzeme listesi)Bir yazılımın içerdiği tüm bileşenlerin ve sürümlerin envanteri.
- SOC 2SOC 2, hizmet kuruluşlarının güvenlik, erişilebilirlik ve gizlilik gibi kontrollerini bağımsız bir denetçinin raporlamasına dayanan bir güvence çerçevesidir.
- USOMTürkiye’nin Ulusal Siber Olaylara Müdahale Merkezi.
- VEX (Güvenlik Açığı İstismar Edilebilirlik Değişimi)VEX, bir ürünün belirli bir güvenlik açığından etkilenip etkilenmediğini makine tarafından okunabilir biçimde bildiren bir belgedir.