Web Güvenliği Farkındalığı Anketi
OWASP-TR / Web Güvenliği Topluluğunun düzenlediği Ankara ve İzmir etkinliklerini sitemizden duyurmuştuk. O etkinliklerde yapılan "Web Güvenliği Farkındalığı" konulu anketin sonuçları açıklanmış. Ankette bir kaç soru sorulmuş; sorulara ve alınan cevaplara göre oluşan yüzdelik dağılımlara şuradan ulaşabilirsiniz.
Anketin bir sorusu insanların XSS, SQL Injection, Parameter Manipulation, CSRF, RFI konularından haberdar olup olmadıklarıydı. Tahmin edeceğiniz üzere haberdar olunma sıraları SQL Injection, RFI, XSS, Parameter Manipulation ve CSRF. "Parameter Manipulation"ının daha genel bir kavram olduğu üzere bir kenara bırakırsak, diğerleri arasındaki sıralama açığı keşfettikten sonra exploit etmek için uğraşı azlığı ya da pratik atak şansı büyüklüğü ile paralel olmuş diyebiliriz.. Zira SQL Injection'i keşfettikten sonrası, sisteme kullanıcı ekleyemiyorsak database'i extract etmeye; RFI'ı keşfettikten sonrası ise sisteme shell yüklememize bakmaktadır. Tabii ki XSS ve CSRF ile de yapılacak çokça şey mümkündür lakin bu kadar hızlı ve pratik şekilde gerçekleşmemektedir.
Aslında yine bu anket etkinlikte yapıldığı için verilerin toplandığı insanlar uzaktan ya da yakından bir şekilde bu işlerle ilgili insanlar. Yani bu sayılar ve yine bu açıkların pratik olarak exploit edilebilme olanakları göz önünde bulundurularak, web uygulamalarında görülen güvenlik açıkları oranı hakkında fikir sahibi olunabilir.
Hemen OWASP TOP 10'da da baz alınan MITRE Vulnerability Trends for 2006 verilerine bakarsak :
| XSS : | 18.5 % |
| SQL Injection : | 13.6 % |
| RFI (php-include) : | 13.1 % |
| CSRF : | 00.0 % |
Aslında daha güncel veriler kullanmak isterdim lakin şu an bulamadım; ayrıca CSRF'in oranının 0 çıkması, 2006 yılı itibariyle pek bilinmemesi sebebiyle olup muhtemelen bu ve önümüzdeki yıllarda çok daha popüler olacaktır.
Sayılar aşağı yukarı bizi destekliyor, ayrıca secunia verilerini de verip blog postumuza son noktayı koyalım :
SQL Injection "Manipulation of data" ve RFI 'da "System access" başlığı altında incelendiği için önermemizin doğruluğunu test etmede pek kullanamayacağız:)