Türkiye'de En Çok Ziyaret Edilen Web Sitelerinin Altyapı ve Güvenlik Açısından Değerlendirilmesi

Öz

Dünya Çapında Ağ (www) üzerindeki uygulamalar yere ve zamana bağlı olmadan hızlı erişimi ile günlük hayatımızı kolaylaştırdı ve vazgeçilmez oldu. Bu da web uygulamalarını kötü niyetli kullanıcılar için hedef haline getirdi ve web güvenliği riskini yükseltti. Bu çalışmada web güvenliği ve tehdit riskine karşı kaçınılmaz olan sızma testleri incelenmiştir. Türkiye’de, beş farklı kategorideki 60 en çok ziyaret edilen site belirlenmiş ve güvenlik açısından değerlendirmek amacı ile sıradan bir kullanıcı olarak incelenmiştir. İnceleme için ciddi güvenlik altyapısı olduğu düşünülen haber, e-ticaret, devlet, üniversite ve diğer kategorilerde büyük siteler seçilmiştir. Bu çalışmada sızma testi kullanan sıradan bir kullanıcı tarafından elde edilebilen sitelerde kullanılan teknolojiler ve sitelerin güvenlik açığı olarak kabul edilen altyapı gibi bilgiler incelenmiştir. Çalışmanın sonucu olarak incelenen sitelerin %62’sinde kullanılan işletim sistemi ve %87’sinde kullanılan web sunucu bilgileri belirlenmiştir. İncelenen tüm sitelerde orta ve düşük seviye zafiyet tespit edilmiştir. Zafiyet tarama testi ile zafiyet haritası oluşturulmuş ve en çok karşılaşılan zafiyetlerle ilgili bilgi verilmiştir.

Anahtar Kelimeler

• Sızma testi,Zafiyet analizleri,Web güvenliği

EVALUATION OF MOST VISITED WEB SITES IN TURKEY IN ASPECTS OF STRUCTURE AND SECURITY

Abstract

Applications on World Wide Web have made our daily lives easier with their basic and fast access, neglecting time and place, they have become indispensable. It made Web applications a popular target for malevolent users and increased web security risk. In this study web penetration test which is indispensable for web security and threating risks for web security are mentioned. In Turkey, 60 of the most visited sites were identified in five different categories scanned as an ordinary user to consider a safety assessment of the general situation of the websites. For the review, large sites in news sites, e-commerce, government, universities and other categories have been selected that are thought to have strong security infrastructure. The knowledge about these sites such as used technologies and infrastructure which considers as vulnerability of sites and can be obtained by the ordinal person who uses penetration tests has been investigated in this study. As a result of the research, operating system information and web server information from 62% and 87% of the reviewed sites were identified respectively. Medium and low degree vulnerabilities were found in all scanned websites. With the vulnerability screening tests, weakness map revealed and information about the most identified weaknesses was given.

Keywords

• Penetration tests,Weakness analysis,Web security

Kaynakça

1. Anonymous, 2016, https://www.symantec.com/content/dam/ symantec /docs/reports/istr-21-2016-en.pdf, 2016.
2. Anonymous, 2017, https://www.owasp.org/index.php/Top_ 10_2017-Top_10,
3. Arsoy, S., 2014, “e-Devlet Web Sitelerinin Kullanılabilirlik Yönünden Standartlara ve Rehberlere Göre Değerlendirilmesi,” M.S. thesis, Fen Bilimleri Enstitüsü, Yıldız Teknik Üniversitesi, İstanbul
4. Barbara, S., 2014, Advanced Automated Web Application Vulnerability Analysis, Ph.D. Dissertation, University of California.
5. Boşal, S., 2017, Kamuda Bilgi Güvenliği ve Iller Bankasi A.Ş. Örneği, Uzmanlık Tezi, İller Bankasi Anonim Şirketi Ankara.
6. Canbek, G., Sağıroğlu Ş., 2006, “Bilgi, Bilgi Güvenliği ve Süreçleri Üzerine Bir İnceleme,” Politeknik Dergisi, Vol 9(3), pp. 165-174.
7. Çetinkaya, M., 2008, Bilgi Güvenliği Yönetim Sistemi Altyapisinin Değerlendirilmesi Için Bir Test Araci Geliştirilmesi, M.S. Thesis, İstanbul Kültür Üniversitesi, İstanbul.
8. Doğan, S., 2013, Web Application Testing: A Systematic Literature Review, M.S. Thesis, The Middle East Technical University, Ankara.

9. Engebretson, P., 2013, The Basics of Hacking and Penetration Testing, Second Edition, Elsevier Inc Syngress, Waltham,
10. Fung, P.H.A., 2014, Mitigations of Web Application Security Risks, Ph.D. Dissertation, Information Engineering The Chinese University, Hong Kong
11. Haque, S., 2016, Web Server Vulnerability Analysis in the Context of Transport Layer Security (TLS)”, IJCSI International Journal of Computer Science Issues, Vol.13(5), pp.11-19.
12. Hassan, M., 2013, Toward Automated Dıscovery of Web Application Security Vulnerabilities, M.S. Thesis, California State University, California.
13. Huang, C., Liu, J.Y, Fang, Y., Zuo, Z., 2016, “A Study on Web Security Incidents in China by Analyzing Vulnerability Disclosure Platforms, Computers & Security, Vol.58 (May), pp. 47-62.
14. Jnena, R., 2013, Modern Approach for WEB Applications Vulnerability Analysis, M.S. Thesis, The Islamic University of Gaza, Gaza.
15. Khochare, N., Chalurkar, S., Meshram, B.B., 2013, “Web Application Vulnerabilities Detection Techniques Survey,” IJCSNS International Journal of Computer Science and Network Security, Vol.13(6)6, pp. 71-77.
16. Muharremoğlu, G., 2013, Kurumsal Bilgi Güvenliğinde Zafiyet, Saldırı ve Savunma Öğelerinin İncelenmesi, M.S. Thesis, Fen Bilimleri Enstitüsü İstanbul Üniversitesi, İstanbul.
17. Muniz, J., Lakhani, A., 2015, Web Penetration Testing with Kali Linux, Packt Publishing Ltd. First Edition, Birmingham.
18. Polat, Ç., 2016, Penetration Tests and Security Solutions For Corporate Networks, M.S. Thesis Dokuz Eylül University, İzmir.
19. Ruse, M.E., 2013, Model Checking Techniques For Vulnerability Analysis of Web Applications, Ph.D. Dissertation, Iowa State University, Iowa.
20. Vural, Y., 2007, Kurumsal Bilgi Güvenliği ve Sızma (Penetrasyon) Testleri, M.S. Thesis, Fen Bilimler Enstitüsü Gazi Üniversitesi, Ankara.
21. Yalçınkaya, S., 2012, Assessıng Standard Compliance Of Public Institution Web Sites of Turkey, M.S. Thesis, The Middle East Technical University, Ankara.
22. Yaşar, H., 2014., Kurumsal Siber Güvenliğe Yönelik Tehditler ve Mücadele Yöntemleri: Eylem Planı Örneği, M.S. Thesis, Bilişim Enstitüsü Gazi Üniversitesi, Ankara,