82 terim

Güvenlik ve Altyapı SözlüğüGüvenlik ve Altyapı Terimleri A–Z

Bir web sitesini ve arkasındaki uygulamayı güvenli, erişilebilir ve yasal olarak uyumlu tutan kavramlar: HTTPS ve TLS, güvenlik başlıkları, XSS ve CSRF gibi yaygın açıklar, kimlik doğrulama yöntemleri, DNS kayıtları, CDN, güvenlik duvarları ve KVKK ile GDPR kapsamında kişisel veriler.

Tanımlar savunma odaklıdır: bir açığın nasıl oluştuğunu ve nasıl önlendiğini anlatır, saldırı tarifi vermez. Altyapı terimleri ise bir sitenin alan adından sunucusuna kadar hangi katmanlardan geçtiğini sade bir dille açıklar.

A

B

C

Ç

D

E

G

H

İ

İçerik Güvenlik Politikası (CSP)İçerik Güvenlik Politikası (CSP, Content Security Policy), bir sayfanın hangi kaynaklardan betik, stil, görsel ve bağlantı yükleyebileceğini ve hangi sitelerin onu çerçeve içinde gösterebileceğini tarayıcıya bildiren bir HTTP yanıt başlığıdır. Tarayıcı politikaya uymayan kaynağı engeller. Özellikle XSS saldırılarında enjekte edilen betiğin çalışmasını zorlaştıran ek bir savunma katmanı olarak kullanılır.

J

JWT (JSON Web Token)JWT (JSON Web Token), iki taraf arasında iddiaları (claims) taşımak için kullanılan, kompakt ve URL içinde güvenle taşınabilen bir token biçimidir; RFC 7519 ile tanımlanır. Noktayla ayrılmış üç parçadan oluşur: header, payload ve signature. Yaygın kullanımında imzalıdır ama şifreli değildir; içeriği herkes okuyabilir, imza yalnızca içeriğin değiştirilmediğini ve kimin ürettiğini kanıtlar.

K

L

Loglama (Logging)Loglama (logging), bir uygulamanın veya sunucunun çalışırken gerçekleşen olayları zaman damgası, önem seviyesi ve bağlam bilgisiyle birlikte kayda geçirmesidir. Loglar hata ayıklamada, güvenlik olaylarının incelenmesinde ve denetim izi oluşturmada kullanılır. İyi bir log makinece ayrıştırılabilir (yapılandırılmış) olur; parola, token gibi gizli bilgileri ve gereğinden fazla kişisel veriyi içermez.

M

N

O

Ö

Ödeme Altyapısı (Payment Gateway)Ödeme altyapısı (payment gateway), bir web sitesi veya uygulamadaki kart ve benzeri ödemeleri güvenli biçimde alıp banka ve kart şebekelerine ileten, sonucu satıcıya bildiren hizmettir. Kart bilgisinin toplanması, şifreli iletimi, provizyon, iptal ve iade işlemleri bu katmanda yürür; doğru entegrasyon modeli, satıcının güvenlik yükünü ve PCI DSS kapsamını önemli ölçüde belirler.

P

R

Reverse Proxy (Ters Vekil Sunucu)Reverse proxy (ters vekil sunucu), istemcilerden gelen istekleri karşılayıp arkadaki bir veya birden fazla uygulama sunucusuna ileten ve onların yanıtını istemciye geri döndüren sunucudur. İstemci yalnızca proxy ile konuşur, arkadaki sunucuları görmez. TLS sonlandırma, yük dengeleme, önbellekleme, sıkıştırma ve güvenlik filtreleri genellikle bu katmanda yapılır; Nginx, HAProxy ve Caddy yaygın örneklerdir.

S

Ş

Şifreleme (Encryption)Şifreleme (encryption), okunabilir veriyi bir algoritma ve anahtar kullanarak yalnızca doğru anahtara sahip olanların geri çözebileceği anlamsız bir biçime dönüştürme işlemidir. Aynı anahtarın hem şifrelemede hem çözmede kullanıldığı yönteme simetrik, açık ve özel anahtar çiftiyle çalışan yönteme asimetrik şifreleme denir. Web'de verinin iletim sırasında ve depolandığı yerde korunmasının temelidir.

T

Ü

Üçüncü Taraf ÇerezÜçüncü taraf çerez, kullanıcının ziyaret ettiği sitenin değil, o sayfaya gömülü reklam, sosyal medya düğmesi, video oynatıcı veya sohbet aracı gibi başka bir alan adının koyduğu çerezdir. Aynı çerez pek çok sitede okunabildiği için kullanıcının siteler arasındaki gezinmesini birbirine bağlamaya, yani reklam hedefleme ve ölçüm için takibe imkân verir. Safari ve Firefox bu çerezleri varsayılan olarak engeller veya ayrıştırır; Chrome'da kullanıcı tercihine bırakılmıştır.

V

VPS (Sanal Özel Sunucu)VPS (Virtual Private Server, sanal özel sunucu), fiziksel bir sunucunun sanallaştırma yazılımıyla bölünmesiyle oluşturulan ve kiracısına kendi işletim sistemi, root yetkisi ve ayrılmış işlemci, bellek ve disk kaynakları sunan sanal makinedir. Paylaşımlı hostinge göre çok daha fazla kontrol sağlar; buna karşılık işletim sistemi güncellemeleri, güvenlik ve yedekleme gibi sorumluluklar da kiracıya geçer.

W

WAF (Web Uygulama Güvenlik Duvarı)WAF (Web Application Firewall), bir web uygulamasına gelen HTTP isteklerini içerikleriyle birlikte inceleyip kurallara göre izin veren, engelleyen veya doğrulamaya yönlendiren güvenlik katmanıdır. Ağ güvenlik duvarı IP adresi ve porta bakarken WAF; URL'yi, başlıkları, çerezleri ve istek gövdesini değerlendirir. SQL enjeksiyonu ve XSS gibi yaygın saldırıları filtrelemek, kötü botları sınırlamak ve açıklar kapatılana kadar geçici koruma sağlamak için kullanılır.

X

XSS (Siteler Arası Betik Çalıştırma)XSS (Cross-Site Scripting), bir web uygulamasının güvenilmeyen veriyi uygun kodlama yapmadan sayfaya yerleştirmesi sonucunda, saldırganın kontrol ettiği betiğin başka kullanıcıların tarayıcısında o sitenin yetkileriyle çalışabilmesidir. Kalıcı (stored), yansıtılan (reflected) ve DOM tabanlı olmak üzere üç ana türü vardır. Temel önlem bağlama uygun çıktı kodlamasıdır; CSP ve HttpOnly çerezler etkisini sınırlar.

Y

#

Diğer kategoriler

← Sözlüğe dön