Lale Çorumlu

Modern uygulama geliştirme stratejileri, daha hızlı yayın döngüleri ve bir ortamdan diğerine taşınması kolay uygulamalar gibi bir dizi avantaj sağlar.

Ancak modern uygulamalar, özellikle güvenlik alanında olmak üzere, bazı büyük zorluklar da ortaya koymaktadır. Modern geliştirme ortamında başarılı olmak için geliştiriciler ve AppSec profesyonelleri, güvenlik becerilerinin, siber saldırıların sıklık ve kapsam açısından istikrarlı bir şekilde büyüdüğü günümüzde, ekiplerin karşı karşıya olduğu çeşitli tehditleri ele alabileceğinden emin olmalıdır.

Modern uygulama geliştirmeye dahil olan herkesin sahip olması gereken dört temel güvenlik becerisinin bir listesi.

IAC Güvenliği

Kod olarak altyapı (veya IaC) araçları, birçok modern uygulama geliştirme iş akışının önemli bir parçası haline geldi. Ekipler, IaC'yi kullanarak, ölçeklenebilirliği en üst düzeye çıkaran ve insan hatasından kaynaklanan yapılandırma hataları riskini en aza indiren büyük ölçekli yazılım ortamlarını otomatik olarak sağlayabilir.

Ancak IaC'nin dezavantajı, IaC şablonları kullanılarak uygulanan yapılandırmaların güvenlik sorunları içermesi durumunda, bu sorunların tüm ortamınızda yaygınlaşmasıdır. Ve çoğu durumda, IaC araçlarının kendisi sizi olası güvenlik sorunlarına karşı uyarmak için hiçbir şey yapmaz.

Bu nedenle geliştiriciler ve AppSec ekipleri, aşağıdakiler gibi IaC şablonlarını yapılandırırken en iyi güvenlik uygulamalarını izlemeyi öğrenmelidir:

• Sırlarınızı koruyun: Parolaları veya diğer sırları IaC şablonlarına sabit kodlamayın. Bunları bunun yerine harici bir gizli dizi yöneticisinde saklayın.
• Modülerlik : IaC şablonlarını kısa ve modüler tutun. Tek bir şablona çok fazla yapılandırma sığdırmaya çalışmak, hata yapma riskini artırır.
• Varsayılan ayarları dikkatli kullanın : Varsayılan IAC ayarlarına körü körüne güvenmeyin. Şablonları ortamınıza göre ayarladığınızdan emin olun.

Aynı derecede önemli olan, ekipler uygulamadan önce IaC yapılandırmalarını doğrulamak için IaC tarama araçlarını kullanmalıdır. IaC tarayıcıları, güvenlik sorunları oluşturabilecek yanlış yapılandırmalar için IaC şablonlarını otomatik olarak kontrol eder.

Açık Kaynak Güvenlik Riskleri

Modern geliştirme ekiplerinin üçüncü taraf açık kaynak kodundan yararlanmalarının birçok mükemmel nedeni vardır. Açık kaynak, zamandan tasarruf etmenizi sağlar çünkü bir başkasının yazdığı kodu sıfırdan kendiniz yazmak zorunda kalmadan yeniden kullanmanıza olanak tanır. Ayrıca özelleştirmek genellikle kolaydır. Ve genellikle ücretsizdir, bu asla kötü bir şey değildir.

Yine de açık kaynak, onu uygulamalarınıza dahil ettiğinizde bazı önemli güvenlik riskleri de doğurur. Üçüncü taraf açık kaynak geliştiricilerin, kodlarını yazarken sizin uyguladığınız güvenlik standartlarına uyduklarını garanti edemezsiniz.

Bu nedenle, uygulamanızın neresine açık kaynak kodu eklediğinizi bilmek ve ayrıca bu kodu, içindeki bilinen güvenlik açıklarını belirlemek için taramak çok önemlidir.

Container Güvenliği

Modern uygulamalar genellikle kapsayıcılar kullanılarak dağıtılır. Kapsayıcılar ve bunları yönetmek için kullanılan düzenleme platformları (Kubernetes gibi) yazılım yığınınıza başka bir altyapı ve karmaşıklık katmanı eklediğinden, uygulamaları doğrudan bir ana bilgisayara dağıtıyor olsaydınız ortaya çıkmayacak çeşitli potansiyel güvenlik riskleri yaratırlar. İşletim sistemi, denklemde bir kapsayıcı çalışma zamanı ve düzenleyicisi olmadan.

Modern geliştiricilerin ve AppSec ekiplerinin bu risklerin ne olduğunu bilmesi ve bunları ele almak için adımlar atması gerekir. Kapsayıcı güvenliğinin tam bir tartışması bu makalenin kapsamı dışındadır, ancak temel kavramlar şunları içerir:

• Görüntü güvenliği : Bağımlı oldukları tüm harici bileşenlerin güvenli olmasını sağlayarak ve güvenlik açıklarını kontrol etmek için bir kapsayıcı görüntü tarayıcısı kullanarak kapsayıcı görüntülerini güvence altına almak.
• Yapılandırma güvenliği : Kapsayıcıları dağıtmak ve düzenlemek için kullanılan yapılandırma dosyalarını tarama. IaC şablonları gibi, bu dosyalar da güvenlik ihlallerini mümkün kılan yapılandırma hataları içerebilir.
• Çalışma zamanı güvenliği izleme : Karmaşık kapsayıcılı ortamlardan (çeşitli kapsayıcılardan, kapsayıcılarınızı barındıran sunucu kümesi içinde çalışan tüm işletim sistemlerinden ve düzenleme platformundan veri toplamak anlamına gelir) verileri toplayabilen ve analiz edebilen izleme araçlarını kullanma çalışma zamanında ihlal belirtilerini tespit etmek için.

Mikro Hizmetler Güvenlik Riskleri

Mikro hizmetler, diğer faydalarının yanı sıra tek bir hata noktasından yoksun, çevik, ölçeklenebilir uygulamalar oluşturmayı kolaylaştırdıkları için büyük ölçüde popüler hale geldi.

Ancak mikro hizmetler, uygulama mimarilerinin karmaşıklığını da önemli ölçüde artırır ve bu da güvenlik sorunlarının risklerini artırır. Mikro hizmetler birbirleriyle iletişim kurmak için ağa bağlı olduğundan, hassas verilere maruz kalma riski daha yüksektir. Mikro hizmetler arasındaki güvenli olmayan kimlik doğrulama ve yetkilendirme kontrolleri, bir ihlalin bir mikro hizmetten tüm uygulamaya yayılmasını sağlayabilir. Mikro hizmetleri (hizmet ağları gibi) yönetmeye yardımcı olmak için kullanılan araçlarla ilgili güvenlik sorunları, yönetilmesi gereken başka bir dizi güvenlik riski oluşturur.

Kapsayıcı güvenliğinde olduğu gibi (bu arada, mikro hizmetler genellikle kapsayıcılar kullanılarak dağıtıldığından yakından ilgili bir konudur), mikro hizmet güvenliği hakkında bu makaleye sığdırabileceğimizden daha fazla söylenecek şey var. Ancak geliştiricilerin ve AppSec ekiplerinin izlemesi gereken bazı temel mikro hizmet güvenliği en iyi uygulamaları şunları içerir:

• Mikro hizmet yalıtımı : Mikro hizmet mimarinizi tasarlarken, her bir mikro hizmeti mümkün olduğunca izole etmeye çalışın. Hizmetler arasındaki etkileşimlere yalnızca kesinlikle gerekli olduğunda izin verin.
• Kimlik doğrulama ve yetkilendirme : Mikro hizmetlerin birbirleriyle iletişim kurması için her zaman kimlik doğrulama ve yetkilendirme gerektirir.
• Ağ yalıtımı : Mikro hizmetlerin genel İnternet'ten kullandığı dahili ağları yalıtın ve gerekmedikçe bir mikro hizmeti asla doğrudan İnternet'e maruz bırakmayın.

Sonuç: Modern Uygulama Geliştirme Modern Uygulama Güvenliği Gerektirir

Yukarıda tartışılan güvenlik sorunlarının çoğu on yıl önce yoktu. O zamanlar, hiç kimse IaC şablonlarını kullanarak yüzlerce sunucu tedarik etmiyor veya mikro hizmetler ve kapsayıcılara dayalı son derece karmaşık mimarilere sahip uygulamaları dağıtmıyordu.

Ancak bu uygulamalar, modern uygulama geliştirme için normdur. Geliştiriciler ve AppSec ekipleri, modern uygulama geliştirme ile el ele giden modern güvenlik risklerini karşılamak için gerekli araçlardan ve becerilerden yararlanabilmelerini sağlayarak yanıt vermelidir.

Kaynak: https://checkmarx.com/blog/4-essential-security-skills-for-modern-application-development/