Web Uygulama Güvenliği: Temel Tehditler ve Koruma Yöntemleri
Web uygulama güvenliği, web tabanlı yazılımların SQL injection, XSS, CSRF gibi siber saldırılara karşı korunmasını sağlayan disiplindir. Günümüzde kurumsal sistemlerin %80'inden fazlası web arayüzü üzerinden hizmet verdiğinden, bu alan kritik önem taşır.
Türkiye'de 2025 yılında bildirilen siber olayların %47'si web uygulamalarına yönelikti (USOM). 2026'da bu oran artış trendinde; düzenli güvenlik testleri ve WAF kullanımı zorunluluk haline geldi.
📑 Bu Rehberde Neler Var?
Web Uygulama Güvenliği Nedir?
Klasik güvenlik duvarları ve antivirüs çözümleri ağ trafiğini filtrelerken, web uygulama güvenliği HTTP istek/yanıt döngüsünün içeriğini analiz eder. Örneğin bir SQL injection saldırısı, ağ seviyesinde normal HTTPS trafiği gibi görünür; ancak uygulama katmanında veri tabanını tamamen ele geçirebilir. Deneyimlerimizde en büyük yanılgı "SSL sertifikası yeterli" algısıdır — şifreleme veri aktarımını korur ama kod seviyesindeki açıkları kapatmaz.
Web uygulamaları sürekli geliştirildiği, yeni özellikler eklendiği için saldırı yüzeyi de dinamiktir. Müşterilerimizde sık karşılaştığımız durum: eski bir modül yıllar sonra keşfedilen bir zafiyet sebebiyle tüm sistemi risk altına alır. Bu nedenle zafiyet yönetimi sürekli, otomatik bir süreç olmalıdır.
OWASP Top 10: En Yaygın Güvenlik Açıkları
OWASP (Open Web Application Security Project), her birkaç yılda bir web uygulamalarında en sık görülen 10 kritik zafiyet listesini günceller. 2026 itibariyle şu tehditler öne çıkıyor:
| Tehdit | Açıklama | Sahada Gözlem |
|---|---|---|
| Broken Access Control | Yetkisiz erişim, kullanıcı ID manipülasyonu | %34 oranla 1 numara (OWASP 2021-2025) |
| Cryptographic Failures | Şifresiz veri, zayıf hash algoritması | Eski sistemlerde MD5 hâlâ görülüyor |
| Injection (SQL, NoSQL, LDAP) | Kullanıcı girdisinin sorguya gömülmesi | Parametreli sorgular %90 çözüm sağlıyor |
| Insecure Design | Tasarım aşamasında güvenlik eksikliği | Threat modeling yapılmayan projeler riskli |
| Security Misconfiguration | Varsayılan şifre, açık debug modu | Prodüksiyon sunucularında sıkça rastlanıyor |
Yukarıdaki beş kategori, müşterilerimizde tespit ettiğimiz açıkların yaklaşık %70'ini oluşturuyor. Injection saldırıları özellikle legacy kodlarda yaygın; modern frameworkler ORM/parametre bağlama ile büyük ölçüde engelliyor. Ancak NoSQL injection ve LDAP injection henüz yeterince bilinmiyor. Güvenlik testleri sırasında bu beş başlığı öncelikli kontrol ediyoruz.
Web Application Firewall (WAF) ve Rolü
WAF, uygulama katmanında (OSI Layer 7) çalışan bir güvenlik çözümüdür. Gelen HTTP/HTTPS isteklerini imza tabanlı, davranış tabanlı veya makine öğrenmesi kurallarıyla analiz eder ve şüpheli trafiği engeller. Bir WAF SQL injection, XSS, bot trafiği ve DDoS gibi saldırıları gerçek zamanlı önleyebilir.
💡 Bulut WAF mı Yoksa On-Premise mi?
Bulut WAF (Cloudflare, AWS WAF) kurulum gerektirmez, DDoS koruması güçlü ve esnek; küçük-orta ölçek için ideal. On-premise WAF (ModSecurity, F5) yerel veri denetimi sağlar, özel kurallar yazılabilir; regülasyon gereksinimleri olan büyük kurumlar tercih ediyor.
Deneyimlerimizde bir WAF çözümü %60-70 oranında bilinen saldırıları otomatik engelliyor. Ancak WAF tek başına yeterli değil; uygulama kodu seviyesindeki mantıksal açıkları kapatamaz. Örneğin "kullanıcı A başka kullanıcı B'nin siparişini görebiliyor" gibi yetkilendirme hataları WAF'ın göremeyeceği alanlardır. Bu nedenle sızma testleri ve kod incelemesi paralel yürütülmelidir.
Güvenli Kod Geliştirme İlkeleri
Sahada en sık duyduğumuz söz: "Test ortamında çalışıyordu, canlıya alınca sorun çıktı." Güvenli kod geliştirme, tasarımdan üretime kadar her aşamada güvenlik kontrolünü içerir:
- Input Validation — Her kullanıcı girdisini sunucu tarafında doğrula (whitelist yaklaşımı).
- Output Encoding — Ekrana/tarayıcıya dönen verileri HTML/URL/JS encoding ile temizle (XSS önlemi).
- Parametreli Sorgular — Asla string concatenation ile SQL sorgusu oluşturma; ORM/prepare statement kullan.
- Least Privilege — Uygulama servisi minimum yetki ile çalışsın; veritabanı kullanıcısı sadece gerekli tablolara erişsin.
- Hata Mesajları — Üretim ortamında stack trace, dahili yol bilgisi gösterme; generic mesajlar döndür.
Microsoft SDL (Security Development Lifecycle) ve OWASP SAMM (Software Assurance Maturity Model) bu süreci yapılandırmak için iyi çerçeveler sunar. Müşterilerimizle birlikte genellikle code review + statik analiz kombinasyonu uyguluyoruz; Visual Studio, SonarQube gibi araçlar kod içinde güvenlik anti-patternlerini otomatik tespit ediyor.
API Güvenliği: Modern Uygulamaların Zayıf Halkası
Mikroservis mimarisinin yaygınlaşmasıyla REST/GraphQL API'leri saldırganların ana hedefi haline geldi. Bir API endpoint'i authentication, rate limiting, input validation olmadan yayınlandığında, botlar dakikalar içinde binlerce sorgu atarak veri tabanını tarayabiliyor.
⚠️ API Key ≠ Yeterli Güvenlik
Basit bir API key, ağ trafiğinde kolayca yakalanır ve yeniden kullanılır (replay attack). Mutlaka OAuth 2.0, JWT token + HTTPS + short-lived token kombinasyonu kullanın. Hassas endpoint'lerde mTLS (mutual TLS) düşünülebilir.
Sahada sık rastladığımız bir hata: API versiyonlaması yapılmamış, eski endpoint'ler unutulmuş. Saldırgan eski bir /api/v1/users adresini keşfedip, yeni sürümde kapatılmış bir açığı tekrar kullanabiliyor. API'leri zafiyet yönetimi sürecine dahil etmek ve düzenli envanterini çıkarmak kritik. Ayrıca rate limiting (örn. IP başına 100 istek/dakika) ve IP whitelist gibi basit önlemler büyük fark yaratıyor.
Sürekli İzleme ve Log Analizi
Güvenlik bir "kurdum, bitti" işi değil; 7/24 izleme gerektirir. Web uygulama logları (access, error, security), SIEM (Security Information and Event Management) sistemine aktarılıp anomali tespiti yapılmalı. Örneğin aynı IP'den kısa sürede 500 başarısız login denemesi gözlemlenirse, otomatik bloke devreye girebilir.
Müşterilerimizde ELK Stack (Elasticsearch, Logstash, Kibana) veya Splunk yaygın; küçük ölçekte Graylog veya cloud SIEM (Azure Sentinel, AWS GuardDuty) tercih ediliyor. Önemli olan logları merkezi toplamak, ilişkilendirmek ve playbook ile otomasyona bağlamak. Örneğin "üst üste 5 farklı IP'den aynı kullanıcı adına deneme" tetiklendiğinde SOC ekibine ticket açılsın veya WAF kuralı güncellensin.
Yönetişim, Uyumluluk ve Eğitim
KVKK, ISO 27001, PCI-DSS gibi standartlar web uygulama güvenliğini düzenli denetleme zorunluluğu getiriyor. Uyumluluk sadece "rapor almak" değil; süreç olgunlaştırma, risk azaltma ve iş sürekliliği sağlar. Bir PCI-DSS denetiminde WAF loglarının 90 gün saklanması, penetrasyon testlerinin yıllık yapılması gibi gereksinimler zorunludur.
Teknik önlemler yanında personel farkındalığı kritik. Geliştirici ekiplerini OWASP Top 10, güvenli API tasarımı konularında eğitmek, güvenlik açıklarının %40'ını kaynağında önlüyor (deneyimlerimize göre). Siber güvenlik danışmanlığı kapsamında düzenli workshop, tabletop exercise ve phishing simülasyonları uyguluyoruz. Ayrıca secure SDLC (Software Development Lifecycle) çerçevesi kurmak, DevSecOps entegrasyonu ile her commit'te otomatik güvenlik taraması yapmak, modern yaklaşımların merkezinde.
Sıkça Sorulan Sorular (SSS)
Ağ güvenliği IP, port, protokol seviyesinde trafiği filtrelerken, web uygulama güvenliği HTTP içeriğini, kullanıcı girdilerini ve uygulama mantığını inceler. Örneğin SQL injection ağ güvenlik duvarından geçebilir ama WAF tarafından yakalanır.
WAF bilinen saldırıları engeller ancak iş mantığı hataları, yetkilendirme açıkları gibi zafiyetleri göremez. Sızma testi uygulama kodunu ve senaryoları manuel inceler; ikisi tamamlayıcıdır.
OWASP genellikle 3-4 yılda bir listeyi günceller. Son sürüm 2021'de yayınlandı; 2024-2025 için yeni sürüm bekleniyor. Ancak temel tehditler (injection, XSS, broken access) sürekli ilk sıralarda yer alıyor.
Bulut WAF (Cloudflare ücretsiz planı), SSL sertifikası, parametreli SQL sorguları, sunucu tarafı input validation ve düzenli yedek alın. WordPress kullanıyorsanız eklenti/tema güncellemeleri kritik.
1) OAuth 2.0/JWT ile kimlik doğrulama, 2) Rate limiting ve IP whitelist, 3) Input validation ve HTTPS zorunluluğu. Bu üçü %80 koruma sağlar.
Sonuç: Proaktif Güvenlik, Reaktif Maliyetten Daha Ucuz
Web uygulama güvenliği, dijital dönüşümün en kritik ayağıdır. Müşterilerimizde gördüğümüz en büyük kazanç, güvenlik açıklarını canlıya almadan önce tespit etmek; bir veri sızıntısı sonrası marka itibarı kaybı ve cezalar, proaktif yatırımdan kat kat pahalıya mal oluyor. OWASP Top 10'u referans alın, WAF ve SIEM ile katmanlar oluşturun, sürekli test edin ve ekibinizi eğitin. İnvekor olarak tüm hizmetlerimizle — sızma testlerinden zafiyet yönetimine, danışmanlıktan SOC operasyonuna — bu yolda yanınızdayız. Güvenli kod, güvenli iş demektir; bugün adım atın.
Sisteminizin Güvenliğini Şansa Bırakmayın
Detaylı bir analiz ve özel teklif için uzmanlarımızla iletişime geçin. 24 saat içinde size dönüş yapalım.
Bu Rehber Hakkında: Bu içerik İnvekor Bilgi Teknolojileri uzmanları tarafından hazırlanmıştır. Ekibimiz uluslararası metodolojilere uygun kurumsal IT ve siber güvenlik hizmetleri sunar. İçerik en son 6 Haziran 2026 tarihinde güncellenmiştir.