Kaynak Kod Güvenlik Analizi

Bazı açıklar, dışarıdan yapılan testlerde görünmez kalabilir: gömülü parolalar, zayıf kriptografi kullanımı, nadiren çalışan kod yolları gibi. Kod düzeyinde inceleme bu sorunları kök nedeniyle birlikte gösterir.

Hataları geliştirme aşamasında yakalamak, canlı ortamda düzeltmekten genellikle daha hızlı ve daha az maliyetlidir.

• Girdi doğrulama ve enjeksiyon açıkları (SQL, komut, şablon enjeksiyonu vb.).
• Kimlik doğrulama, oturum ve yetkilendirme mantığı.
• Kriptografi kullanımı ve gizli bilgilerin (parola, API anahtarı) kodda bırakılması.
• Hata yönetimi ve loglama: Hassas verinin kayıtlara düşmesi.
• Üçüncü taraf kütüphaneler: Bilinen açık içeren bağımlılıklar (yazılım bileşen analizi).
• Güvenli olmayan yapılandırma ve hata ayıklama kodları.

Bulguları OWASP Top 10:2025 ve CWE (Common Weakness Enumeration) sınıflandırmasıyla eşleştiririz. Gerektiğinde OWASP ASVS gereksinimlerini kontrol listesi olarak kullanırız.

1. Kapsam: Diller, çatılar (framework), modüller ve kritik iş akışları belirlenir.
2. Otomatik analiz: Statik analiz (SAST) ve bağımlılık taraması yapılır.
3. Manuel inceleme: Kritik akışlar uzman tarafından satır satır incelenir, araç bulguları doğrulanır.
4. Raporlama: Dosya ve satır referansı, risk derecesi ve örnek düzeltme önerisiyle raporlanır.
5. Doğrulama: Düzeltilen kod yeniden incelenir.

Kendi yazılımını geliştiren kurumlar, yazılım satın alırken güvenlik doğrulaması isteyenler ve kart verisi ya da kişisel veri işleyen uygulamaların sahipleri için uygundur. Sızma testiyle birlikte yapıldığında (beyaz kutu) en kapsamlı sonucu verir.

• Yönetici özeti ve risk dağılımı.
• Doğrulanmış bulgular: Dosya/satır referansı, CWE eşleşmesi ve önem derecesi.
• Geliştiriciye yönelik örnek düzeltme kodu veya yaklaşımı.
• Açık içeren bağımlılıkların listesi ve güncelleme önerileri.
• Düzeltme sonrası doğrulama raporu.