White Box Testinin Black Box'tan Farkı
Sızma testi; test ekibine verilen erişim düzeyi ve bilgi miktarına göre üç ana kategoriye ayrılmaktadır. Kara kutu (Black Box) testlerde ekip, gerçek bir dış saldırgan gibi önceden hiçbir bilgiye sahip değilken; beyaz kutu (White Box) testlerde kaynak kod, mimari belgeler ve sistem konfigürasyonlarına tam erişim sağlanmaktadır. Gri kutu (Gray Box) ise bu iki yaklaşımın orta noktasını temsil etmektedir.
White Box testi, bir saldırgan bakış açısının yanı sıra geliştiricinin ve sistem tasarımcısının bakış açısını da bütünleştirir. Bu yaklaşım; kara kutu testin gözden kaçırabileceği derin mantık hatalarını, gizli donanım yönlendirmelerini ve iş akışı güvenlik açıklarını ortaya çıkarma kapasitesini önemli ölçüde artırmaktadır.
Düzenleyici gereklilikler (özellikle tıbbi cihaz, bankacılık ve kritik altyapı sektörlerinde) giderek daha sık kaynak kod analizini zorunlu kılmaktadır. White Box testi bu gerekliliği karşılamanın en etkin yoludur.
Kaynak Kod Analizi Kapsamı
TUGAY'ın white box testleri, statik kod analizi ile dinamik test tekniklerini bir arada kullanarak hem otomatize hem de manüel derinlemesine inceleme yürütmektedir:
- Güvenlik açığı içeren kod desenleri — injection, XSS, CSRF, SSRF
- Kimlik doğrulama ve yetkilendirme mantığı açıkları
- Şifreleme uygulamalarının doğruluğu ve anahtar yönetimi
- Hassas veri işleme ve loglama güvenliği
- Üçüncü taraf kütüphane ve bağımlılık güvenliği (SCA)
- Gizli kimlik bilgileri ve hardcoded secret tespiti
- İş mantığı açıkları ve güvenli olmayan tasarım örüntüleri
Test Metodolojisi
- Mimari Gözden Geçirme: Sistem mimarisi, veri akış diyagramları ve tehdit modeli incelenerek yüksek riskli bileşenler belirlenir.
- Otomatize SAST Taraması: Endüstri standardı statik analiz araçlarıyla hızlı bir güvenlik taraması gerçekleştirilir; yanlış pozitifler elenir.
- Manüel Kod İncelemesi: Kritik iş mantığı, kimlik doğrulama akışları ve veri işleme süreçleri uzman gözüyle incelenir.
- Dinamik Doğrulama: Statik analizde tespit edilen bulgular dinamik testlerle doğrulanır; gerçek tehdit potansiyeli belirlenir.
- Bağımlılık Analizi: Kullanılan kütüphaneler ve üçüncü taraf bileşenler bilinen CVE'ler açısından taranır.
Raporlama ve Geliştirici Desteği
White Box test raporları, güvenlik açığının bulunduğu kod satırına kadar inen hassasiyette hazırlanmaktadır. Bu detay düzeyi, geliştirici ekipler için düzeltme sürecini önemli ölçüde hızlandırmaktadır.
- Dosya, sınıf ve satır numarası referanslı güvenlik açığı katalog
- Güvenli kod örneği önerileri (her bulgu için)
- CI/CD pipeline'a entegrasyon önerileri
- Geliştirici ekip için teknik brifing oturumu