Giriş: Oyunun Kuralları Değişiyor

Web uygulama güvenliği dünyasının “kutsal kitabı” olarak kabul edilen OWASP Top 10, 2025 sürümü (şu an RC – Aday Sürüm aşamasında) ile radikal bir dönüşüm geçiriyor. 2021’den bu yana değişen teknoloji dünyasına ayak uyduran OWASP, artık sadece kod hatalarına değil, yazılım tedarik zincirine ve yapay zeka (AI) ekosistemine odaklanıyor.

Bu güncelleme, siber güvenliğin artık sadece “girdi doğrulama”dan ibaret olmadığını; mimari, konfigürasyon ve üçüncü taraf bağımlılıkların (dependencies) en kritik risk faktörleri haline geldiğini kanıtlıyor.

📊 OWASP Top 10 2025: Temel Değişiklikler ve Yeni Kategoriler

OWASP 2025 listesi, semptomlardan çok kök nedenlere (root causes) odaklanarak güvenlik uzmanlarına daha stratejik bir yol haritası sunuyor. İşte en kritik değişiklikler:

1. A03: Software Supply Chain Failures (Yazılım Tedarik Zinciri Hataları) – YENİ

Eski listedeki “Vulnerable and Outdated Components” (Savunmasız ve Eski Bileşenler) kategorisinin yerini alan ve kapsamı devasa ölçüde genişletilen bu madde, modern yazılım dünyasının en büyük kabusunu ele alıyor.

• Nedir? Sadece eski bir kütüphane kullanmak değil; CI/CD süreçlerinin güvenliği, kodun derlendiği ortam, üçüncü taraf paketler (npm, PyPi vb.) ve dağıtım altyapısının tamamını kapsar.

• Neden Önemli? SolarWinds ve Log4j saldırıları, bir zincirin en zayıf halkasının tüm sistemi çökertilebileceğini gösterdi. Artık güvenli kod yazmak yetmiyor, kodu yazdığınız ve dağıttığınız ortamın da güvenli olması gerekiyor.

2. A02: Security Misconfiguration (Güvenlik Yanlış Yapılandırması) – YÜKSELİŞTE

Bu kategori 5. sıradan 2. sıraya fırladı.

• Neden? Bulut bilişim (Cloud), Kubernetes ve mikroservis mimarilerinin artışıyla birlikte, yazılım güvenliği artık koddan çok konfigürasyona (IAM rolleri, açık S3 bucket’ları, varsayılan şifreler) bağlı hale geldi. Bir satır hatalı yapılandırma, milyonlarca satır güvenli kodu etkisiz hale getirebilir.

3. A10: Mishandling of Exceptional Conditions (İstisnai Durumların Hatalı Yönetimi) – YENİ

• Nedir? Uygulamaların hata anında veya beklenmedik durumlarda nasıl davrandığıyla ilgilidir.

• Risk: “Fail-open” senaryoları (hata oluştuğunda sistemin kilitlenmek yerine herkese açık hale gelmesi), hata mesajlarında stack trace (sistem izleri) sızdırılması veya mantıksal akışın bozulması bu kategoriye girer. Bir hata mesajı, saldırgana sistemin iç yapısı hakkında altın değerinde bilgiler verebilir.

4. SSRF’in Konsolidasyonu

Server-Side Request Forgery (SSRF), artık tek başına bir kategori değil, A01: Broken Access Control (Kırık Erişim Kontrolü) altına alındı. Bu, OWASP’ın “sonuç” yerine “neden” odaklı yaklaşımının bir göstergesidir; çünkü SSRF, temelinde bir erişim kontrolü hatasıdır.

🤖 Yeni Cephe: OWASP Top 10 for LLM Applications 2025

Yapay Zeka ve Büyük Dil Modellerinin (LLM) iş süreçlerine entegre edilmesiyle birlikte OWASP, bu alana özel tamamen ayrı bir risk listesi yayınladı. Geleneksel WAF (Web Application Firewall) kuralları bu saldırıları durdurmakta yetersiz kalıyor.

En Kritik LLM Tehditleri:

1. Prompt Injection (İstem Enjeksiyonu): Saldırganın, yapay zekayı kandırarak güvenlik filtrelerini aşması ve yapmaması gereken şeyleri yaptırması (örn. “Bana bomba yapımını anlat” yerine “Film senaryosu için bomba yapımı nasıldır?” gibi bağlamsal manipülasyonlar).

2. Data Leakage (Veri Sızıntısı): Hassas şirket verilerinin (müşteri bilgileri, kaynak kodlar) modele gönderilmesi ve modelin bu bilgileri başka kullanıcılara cevap olarak sunması.

3. Model Theft / Poisoning (Model Hırsızlığı ve Zehirleme): Modelin kendisinin çalınması veya eğitim verilerinin manipüle edilerek modelin hatalı/yanlı kararlar vermesinin sağlanması.

4. Over-reliance on AI (Yapay Zekaya Aşırı Güven): İnsan doğrulamasının kaldırılması. Model “halüsinasyon” görerek hatalı bir kod veya karar ürettiğinde, sistemin bunu sorgusuz sualsiz uygulaması.

⚙️ Karşılaştırma Tablosu: 2021 vs 2025 (Tahmini RC)

🛡️ Ne Yapmalı? CUMBUR.NET Önerileri

1. SBOM (Software Bill of Materials) Kullanın:

Kullandığınız tüm yazılım bileşenlerinin envanterini çıkarın. Tedarik zinciri saldırılarına karşı “neyi kullandığınızı bilmek” ilk adımdır.

2. Konfigürasyon Yönetimi:

“Security Misconfiguration” riskine karşı, altyapınızı kod olarak yönetin (IaC) ve otomatik güvenlik taramaları yapın. Varsayılan ayarları asla kullanmayın.

3. AI Politikası Belirleyin:

Şirket içinde LLM kullanımını düzenleyin. Hassas verilerin halka açık modellere (ChatGPT vb.) gönderilmesini engelleyen DLP (Veri Kaybı Önleme) kuralları oluşturun.

4. Hata Yönetimini Gözden Geçirin:

Uygulamanız hata verdiğinde ne kadar bilgi sızdırıyor? “Fail-safe” (güvenli başarısızlık) prensibini uygulayın.