Phenquestions
İçindekiler
- Veritabanı Enjeksiyonu
- Bozuk Kimlik Doğrulama
- Hassas Verilere Maruz Kalma
- XML Dış Varlıkları (XEE)
- Bozuk Erişim Kontrolü
- Güvenlik Yanlış Yapılandırması
- Siteler Arası Komut Dosyası Çalıştırma (XSS)
- Güvensiz Seriyi Kaldırma
- Bilinen Güvenlik Açıklarına Sahip Bileşenleri Kullanma
- Yetersiz Kayıt ve İzleme
Veritabanı Enjeksiyonu:
Kullanıcı girdisi alan herhangi bir alan üzerinden komutun bir parçası olarak yorumlayıcıya güvenilmeyen veri parçalarının gönderilmesi durumunda i.e form girişi veya başka herhangi bir veri gönderme alanı, enjeksiyon kusurları oluşur. Saldırganın kötü niyetli sorguları, yorumlayıcıyı kandırarak, kullanıcının bakma yetkisinin olmadığı gizli verileri gösterebilen komutları çalıştırabilir. Örneğin, bir SQL enjeksiyon saldırısında, form girişi uygun şekilde sterilize edilmediğinde, saldırgan, yalnızca düz metin bekleyen bir forma kötü amaçlı SQL veritabanı kodu girerek SQL veritabanına girebilir ve içeriğine yetkisiz olarak erişebilir. Kullanıcının girdisini alan herhangi bir alan türü enjekte edilebilir i.e parametreleri, ortam değişkenleri, tüm web servisleri vb.
Uygulama, kullanıcı tarafından sağlanan veriler temizlenmediğinde ve doğrulanmadığında, bağlama duyarlı kaçış olmaksızın dinamik sorguların kullanılması ve doğrudan düşmanca verilerin kullanılması yoluyla enjeksiyon saldırısına karşı savunmasızdır. Enjeksiyon kusurları, kodun incelenmesi ve tarayıcılar ve fuzzerlar gibi otomatik araçların kullanılmasıyla kolayca keşfedilebilir. Enjeksiyon saldırılarını önlemek için, verileri komutlardan ve sorgulardan ayırmak, parametreli bir arayüz sağlayan güvenli bir API kullanmak, Snort gibi araçlar aracılığıyla “beyaz liste” sunucu tarafı giriş doğrulaması kullanmak gibi alınabilecek bazı önlemler vardır. belirli kaçış sözdizimi vb. kullanarak özel karakterlerden kaçma.
Bir enjeksiyon saldırısı, büyük bir veri kaybına, gizli bilgilerin ifşa edilmesine, erişimin reddedilmesine ve hatta uygulamanın tamamen ele geçirilmesine neden olabilir. LIMIT gibi bazı SQL kontrolleri, bir saldırı durumunda büyük miktarda veri kaybını kontrol etmek için kullanılabilir. Bazı enjeksiyon saldırıları türleri SQL, OS, NoSQL, LDAP enjeksiyon saldırılarıdır.
Bozuk kimlik doğrulama:
Saldırganlar, kullanıcı hesaplarına erişebilir ve hatta kimlik doğrulama sistemlerindeki güvenlik açıklarını kullanarak yönetici hesapları aracılığıyla tüm ana bilgisayar sistemini tehlikeye atabilir. Kimlik doğrulama kusurları, saldırganın parolaları, oturum belirteçlerini, kimlik doğrulama anahtarlarını tehlikeye atmasına izin verir ve diğer herhangi bir kullanıcı hesabına veya oturumuna geçici ve bazı durumlarda kalıcı olarak yetkisiz erişime yol açabilecek başka saldırılarla zincirlenebilir. Diyelim ki bir kullanıcının bir ihlal sırasında elde ettiği milyonlarca geçerli kullanıcı adı ve paroladan oluşan bir kelime listesi veya sözlüğü var. Herhangi birinin çalışıp çalışmadığını görmek için oturum açma sistemindeki otomatik araçları ve komut dosyalarını kullanarak bunları çok daha kısa sürede tek tek kullanabilir. Kimlik yönetimi ve erişim kontrollerinin yetersiz uygulanması, bozuk kimlik doğrulama gibi güvenlik açıklarına yol açar.
Uygulama, farklı kullanıcı adlarının ve şifrelerin denenmesine izin verdiğinde, herhangi bir savunma stratejisi olmaksızın sözlük saldırılarına veya kaba kuvvet saldırılarına izin verdiğinde, herhangi bir ihlalde sızdırılan kolay, varsayılan şifreleri veya şifreleri kullandığında, URL'de oturum kimliklerini açığa çıkardığında, kimlik doğrulama saldırısına açıktır. zayıf şifre kurtarma şeması, bir çerez kalıbı kullanır. İyi bir sözlükle kaba kuvvet ve sözlük saldırıları için basit araçlar kullanılarak bozuk kimlik doğrulamadan kolayca yararlanılabilir. Bu tür saldırılar, çok faktörlü kimlik doğrulama sistemleri kullanılarak, kötü parolalar veritabanı üzerinden bir parola çalıştırılarak, varsayılan kimlik bilgileri kullanılmayarak, parola karmaşıklık politikasını hizalayarak, iyi sunucu tarafı kullanımıyla zayıf parola kontrolleri uygulanarak önlenebilir. oturum açtıktan sonra yeni bir rastgele oturum kimliği oluşturan oturum yöneticisi, vb.
Bozuk kimlik doğrulama güvenlik açığı, birkaç kullanıcı hesabının ve bir yönetici hesabının tehlikeye atılmasına neden olabilir; bu, bir saldırganın bir sistemin güvenliğini aşması için gereken tek şeydir. Bu tür saldırılar kimlik hırsızlığına, sosyal güvenlik sahtekarlığına, kara para aklamaya ve çok gizli bilgilerin ifşa edilmesine yol açar. Saldırılar, sözlük saldırıları, kaba zorlama, oturum ele geçirme ve oturum yönetimi saldırılarını içerir.
Hassas verilere maruz kalma:
Bazen web uygulamaları, parolalar, veritabanı kimlik bilgileri vb. gibi hassas verileri ve bilgileri korumaz. Saldırgan, zayıf şekilde korunan bu kimlik bilgilerini kolayca çalabilir veya değiştirebilir ve bunları meşru olmayan amaçlar için kullanabilir. Hassas veriler, hareketsizken veya aktarım sırasında şifrelenmeli ve ekstra bir güvenlik katmanına sahip olmalıdır, aksi takdirde saldırganlar bunları çalabilir. Saldırganlar, açıkta kalan hassas verileri ele geçirebilir ve sunucudan veya bir web tarayıcısından karma veya açık metin kullanıcıları ve veritabanı kimlik bilgilerini çalabilir. Örneğin, bir parola veritabanı, parolaları depolamak için tuzsuz veya basit karmalar kullanıyorsa, bir dosya yükleme kusuru, bir saldırganın parola veritabanını almasına izin verebilir ve bu da, önceden hesaplanmış karmalardan oluşan bir gökkuşağı tablosuyla tüm parolaların açığa çıkmasına neden olur.
Ana kusur, yalnızca verilerin şifrelenmiş olsa bile şifrelenmemiş olması değil, aynı zamanda zayıf anahtar oluşturma, zayıf karma algoritmalar, zayıf şifre kullanımı da bu tür en yaygın saldırılardan birine neden olabilir. Bu tür saldırıları önlemek için öncelikle gizlilik yasalarına göre hangi tür verilerin hassas olarak değerlendirilebileceğini sınıflandırın ve sınıflandırmaya göre kontroller uygulayın. İhtiyacınız olmayan sınıflandırılmış verileri saklamamaya çalışın, kullanır kullanmaz yıkayın. Aktarılan veriler için güvenli protokollerle şifreleyin i.e TLS, PFS şifreleri vb.
Bu tür güvenlik açıkları, kredi kartı kimlik bilgileri, sağlık kayıtları, şifreler ve kimlik hırsızlığına ve banka sahtekarlığına yol açabilecek diğer kişisel veriler gibi son derece hassas bilgilerin açığa çıkmasına neden olabilir.
XML Dış Varlıkları (XEE):
Kötü yapılandırılmış XML işlemcileri, XML belgelerinin içindeki harici varlık referanslarını işler. Bu harici varlıklar, aşağıdakiler gibi dahili dosyaların verilerini almak için kullanılabilir: /etc/passwd dosya veya diğer kötü amaçlı görevleri gerçekleştirmek için. Bir saldırgan bir XML belgesi yükleyebilir veya XML vb. içerebilirse, güvenlik açığı bulunan XML işlemcilerinden kolayca yararlanılabilir. Bu savunmasız XML varlıkları, SAST ve DAST araçları kullanılarak veya bağımlılıkları ve yapılandırmaları inceleyerek manuel olarak keşfedilebilir.
Bir web uygulaması, uygulamanın güvenilmeyen kaynaklardan doğrudan XML girdisi kabul etmesi, uygulamada Belge Türü Tanımlarının (DTD'ler) etkinleştirilmesi, SAML'nin kimlik için XML kullanması gibi kimlik işleme için SAML kullanması gibi birçok nedenden dolayı XEE saldırısına karşı savunmasızdır. eklemeler, vb. XEE saldırıları, daha az karmaşık veri biçimleri kullanılarak hassas verilerin serileştirilmesinden kaçınılarak azaltılabilir.e JSON, uygulamanın şu anda kullandığı XML işlemcileri ve hatta kitaplıkları yamalama, tüm XML ayrıştırıcılarında DTD'leri devre dışı bırakma, XSD doğrulaması kullanarak XML dosya yükleme işlevselliğinin doğrulanması, vb.
Bu tür saldırılara karşı savunmasız olan uygulama, DOS saldırısına, Billion Laughs' saldırısına, dahili sistemlerin taranmasına, dahili bağlantı noktası taramasına, tüm uygulama verilerini etkileyen bir uzaktan komut yürütülmesine neden olabilir.
Bozuk Erişim Kontrolü:
Erişim Kontrolü, kullanıcılara belirli görevleri yapma ayrıcalıkları veriyor. Kullanıcılar gerçekleştirebilecekleri görevlerde uygun şekilde kısıtlanmadığında, bozuk erişim denetimi güvenlik açığı meydana gelir. Saldırganlar, yetkisiz işlevlere veya bilgilere erişimle sonuçlanabilecek bu güvenlik açığından yararlanabilir. Diyelim ki bir web uygulaması, kullanıcının oturum açtığı hesabı, başka bir doğrulama yapmadan URL'yi başka bir kullanıcının hesabına değiştirerek değiştirmesine izin veriyor. Erişim denetimi güvenlik açığından yararlanmak, herhangi bir saldırganın başvurduğu bir saldırıdır, bu güvenlik açığı manuel olarak veya SAFT ve DAFT araçları kullanılarak bulunabilir. Bu güvenlik açıkları, web uygulamalarının test edilmemesi ve otomatik olarak algılanmaması nedeniyle mevcuttur, ancak bunları bulmanın en iyi yolu bunu manuel olarak yapmaktır.
Güvenlik açıkları ayrıcalık yükseltme içerir i.e olmadığınız bir kullanıcı gibi davranmak veya kullanıcıyken yönetici olarak hareket etmek, yalnızca URL'yi değiştirerek veya uygulamanın durumunu değiştirerek erişim kontrol kontrollerini atlamak, meta veri işleme, birincil anahtarın başka bir kullanıcının birincil anahtarı olarak değiştirilmesine izin vermek, vb. Bu tür saldırıları önlemek için, saldırganların erişim kontrollerini değiştiremeyeceği sunucu tarafı kodunda erişim kontrol mekanizmaları uygulanmalıdır. Etki alanı modellerine göre benzersiz uygulama iş sınırlarının uygulanması, sunucu dizinlerinin listelenmesinin devre dışı bırakılması, tekrarlanan başarısız giriş denemelerinde yöneticinin uyarılması, çıkıştan sonra JWT belirteçlerinin geçersiz kılınması bu tür saldırıları azaltmak için sağlanmalıdır.
Saldırganlar, kayıt oluşturma, silme ve değiştirme gibi kötü amaçlı görevleri gerçekleştirmek için bu güvenlik açığını kullanarak başka bir kullanıcı veya yönetici gibi davranabilir. Bir ihlalden sonra bile veriler güvence altına alınmazsa büyük veri kaybı meydana gelebilir.
Güvenlik yanlış yapılandırması:
En yaygın güvenlik açığı, güvenliğin yanlış yapılandırılmasıdır. Güvenlik açığının ana nedeni, varsayılan yapılandırmanın, eksik yapılandırmanın, Adhoc yapılandırmaların, kötü yapılandırılmış HTTP üstbilgilerinin ve kullanıcının gerçekten bilmesi gerekenden daha fazla bilgi içeren ayrıntılı hata mesajlarının kullanılmasıdır. Bir web uygulamasının herhangi bir düzeyinde, güvenlikle ilgili yanlış yapılandırmalar meydana gelebilir.e veritabanı, web sunucusu, uygulama sunucusu, ağ hizmetleri vb. Saldırganlar, sistemi yetkisiz olarak tutmak için yama uygulanmamış sistemlerden yararlanabilir veya korumasız dosya ve dizinlere erişebilir. Örneğin, bir uygulama, saldırganın uygulama sistemindeki güvenlik açıklarını ve çalışma şeklini bilmesine yardımcı olan aşırı ayrıntılı hata mesajları. Bu tür güvenlik açıklarını tespit etmek için otomatik araçlar ve tarayıcılar kullanılabilir.
Bir web uygulaması, uygulamanın herhangi bir bölümünde güvenlik güçlendirme önlemlerinin eksik olması, gereksiz bağlantı noktalarının açık olması veya gereksiz özellikleri etkinleştirmesi, varsayılan parolaların kullanılması, hata işlemenin saldırgana bilgilendirici hatalar üzerinden ifşa edilmesi, bu tür güvenlik açığını içerir yama uygulanmamış veya güncel olmayan güvenlik yazılımı vb. Kodun gereksiz özellikleri kaldırılarak önlenebilir, i.yama yönetimi süreçlerinin bir parçası olarak güvenlik açıklarını güncelleme ve yama yapma görevi sağlayan gereksiz özellikler, belgeler vb. içermeyen minimal bir platform, alınan güvenlik önlemlerinin etkinliğini doğrulamak için bir sürecin kullanılması, tekrarlanabilir sertleştirme sürecinin kullanılması düzgün bir şekilde kilitlenmiş başka bir ortamı dağıtmak kolaydır.
Bu tür güvenlik açıkları veya kusurlar, saldırganın sistem verilerine yetkisiz erişim elde etmesine ve bu da sistemin tamamen tehlikeye girmesine yol açmasına olanak tanır.
Siteler Arası Komut Dosyası Çalıştırma (XSS):
XSS güvenlik açıkları, bir web uygulamasının güvenilir olmayan verileri yeni bir web sitesi sayfasına yasal onay veya kaçış olmaksızın dahil ettiği veya HTML veya JavaScript oluşturabilen bir tarayıcı API'sini kullanarak istemci tarafından sağlanan verilerle mevcut site sayfasını yenilediği noktada meydana gelir. Web sitesinin bir kullanıcının diğer kullanıcılar tarafından görülebilen bir URL yoluna özel kod eklemesine izin vermesi durumunda XSS kusurları oluşur. Bu kusurlar, hedefin tarayıcısında kötü amaçlı JavaScript kodu çalıştırmak için kullanılır. Diyelim ki, bir saldırgan kurbana herhangi bir şirketin web sitesine bir bağlantı içeren bir bağlantı gönderebilir. Bu bağlantının içine gömülü bazı kötü amaçlı JavaScript kodları olabilir, Bankanın web sayfasının XSS saldırılarına karşı uygun şekilde korunmaması durumunda, bağlantıya tıklandığında kötü amaçlı kod kurbanın tarayıcısında çalıştırılacaktır.
Siteler Arası Komut Dosyası Çalıştırma, web uygulamalarının neredeyse ⅔'inde bulunan bir güvenlik açığıdır. Bir uygulama, JavaScript yapıları, tek sayfalı uygulamalar ve saldırgan tarafından denetlenebilir bilgileri bir sayfaya güçlü bir şekilde dahil eden API'ler kullanılarak başka bir kullanıcı tarafından görülebilen temizlenmemiş bir kullanıcı girdisini depolarsa, bir uygulama XSS'ye karşı savunmasızdır. XSS saldırıları, React JS vb. gibi doğası gereği XSS girdisinden kaçan ve sterilize eden çerçeveler kullanılarak, çerçevelerin sınırlamalarını öğrenerek ve kişinin kendi durumlarını kullanarak bunları kapsayarak, her yerde gereksiz ve güvenilmeyen HTML verilerinden kaçarak hafifletilebilir.e HTML özniteliklerinde, URI, Javascript, vb., istemci tarafında belgenin değiştirilmesi durumunda bağlama duyarlı kodlamanın kullanılması vb.
XSS tabanlı saldırılar üç tiptir i.e Yansıyan XSS, DOM XSS ve Depolanan XSS. Bu saldırıların tüm türlerinin önemli miktarda etkisi vardır ancak Stored XSS durumunda etki daha da büyüktür.e kimlik bilgilerinin çalınması, kurbana kötü amaçlı yazılım gönderilmesi vb.
Güvensiz seri kaldırma:
Verilerin serileştirilmesi, nesnelerin alınması ve bu verilerin daha sonra başka amaçlar için kullanılabilmesi için herhangi bir formata dönüştürülmesi anlamına gelirken, verilerin seri hale getirilmesi bunun tersi anlamına gelir. Seri durumdan çıkarma, uygulamaların kullanımı için bu serileştirilmiş verilerin paketini açıyor. Güvenli olmayan seri durumdan çıkarma, paketten çıkarılmak veya seri durumdan çıkarılmak üzere olandan hemen önce seri hale getirilmiş verilerin sertleştirilmesi anlamına gelir. Güvenli olmayan seri durumdan çıkarma, uzaktan kod yürütülmesine yol açar ve ayrıcalık yükseltme, enjeksiyon saldırıları, tekrar saldırıları vb. gibi kötü amaçlı amaçlar için diğer görevleri gerçekleştirmek için kullanılır. Bu tür kusurları keşfetmek için bazı araçlar mevcuttur, ancak sorunu doğrulamak için sıklıkla insan yardımına ihtiyaç vardır. Bazı manuel değişiklikler olmadan istismarlar çalışmadığından, seri durumdan çıkarmayı kullanmak biraz zordur.
Uygulama, saldıran varlık tarafından sağlanan kötü amaçlı nesneleri seri durumdan çıkardığında. Bu, iki tür saldırıya yol açabilir.Veri yapısı ve saldırganın uygulama mantığını değiştirdiği veya uzaktan kod yürüttüğü veya mevcut veri yapılarının değiştirilmiş içerikle kullanıldığı tipik veri kurcalama saldırıları, örneğin erişim kontrolü ile ilgili saldırılar ile ilgili saldırılar. Serileştirme, uzaktan işlem iletişiminde (RPC) veya işlemler arası iletişimde (IPC), verilerin önbelleğe alınmasında, web hizmetlerinde, veritabanları önbellek sunucusunda, dosya sistemlerinde, API kimlik doğrulama belirteçlerinde, HTML çerezlerinde, HTML form parametrelerinde vb. kullanılabilir. Seri durumdan çıkarma saldırıları, güvenilmeyen kaynaklardan seri hale getirilmiş nesneler kullanmamak, bütünlük kontrolleri uygulamak, düşük ayrıcalıklı bir ortamda çalışan kodu yalıtmak, sık sık seri durumdan çıkan sunuculardan gelen ve giden ağ bağlantılarını izlemek suretiyle hafifletilebilir.
Bilinen güvenlik açıklarına sahip bileşenleri kullanma:
Web uygulamasındaki geliştiricilerin çoğu tarafından kütüphaneler, çerçeveler ve yazılım modülleri gibi farklı bileşenler kullanılır. Bu kitaplıklar, geliştiricinin gereksiz çalışmalardan kaçınmasına ve gereken işlevselliği sağlamasına yardımcı olur. Saldırganlar, bir saldırıyı koordine etmek için bu bileşenlerdeki kusurları ve güvenlik açıklarını arar. Bir bileşende bir güvenlik açığı bulunması durumunda, aynı bileşeni kullanan tüm siteleri savunmasız hale getirebilir. Bu güvenlik açıklarından yararlanmalar zaten mevcuttur, ancak sıfırdan özel bir istismar yazmak çok çaba gerektirir. Bu çok yaygın ve yaygın bir sorundur, bir web uygulaması geliştirirken çok miktarda bileşenin kullanılması, kullanılan tüm bileşenlerin bilinmemesine ve anlaşılmamasına bile yol açabilir, tüm bileşenleri yamalamak ve güncellemek uzun bir iştir.
Geliştirici, kullanılan bir bileşenin sürümünü bilmiyorsa, bir uygulama savunmasızdır, yazılım eskidir.e işletim sistemi, DBMS, çalışan yazılımlar, çalışma zamanı ortamları ve kütüphaneler, güvenlik açığı taraması düzenli olarak yapılmaz, yamalı yazılımların uyumluluğu geliştiriciler tarafından test edilmez. Kullanılmayan bağımlılıkları, dosyaları, belgeleri ve kitaplıkları kaldırarak, istemci ve sunucu tarafı bileşenlerinin sürümünü düzenli olarak kontrol ederek, resmi ve güvenilir güvenli kaynaklardan bileşen ve kitaplıklar edinerek, yama uygulanmamış kitaplıkları ve bileşenleri izleyerek, bir plan sağlayarak önlenebilir. savunmasız bileşenleri düzenli olarak güncellemek ve yamalamak için.
Bu güvenlik açıkları küçük etkilere yol açar ancak aynı zamanda sunucu ve sistemden ödün verilmesine de yol açabilir. Birçok büyük ihlal, bileşenlerin bilinen güvenlik açıklarına dayanıyordu. Güvenlik açığı bulunan bileşenlerin kullanımı, uygulama savunmasını zayıflatır ve büyük bir saldırı için bir başlangıç noktası olabilir.
Yetersiz günlük kaydı ve izleme:
Çoğu sistem, veri ihlallerini tespit etmek için yeterli önlem ve adım atmaz. Bir olayın ortalama yanıt süresi, gerçekleştikten sonra 200 gündür, bu, saldıran bir varlık için tüm kötü şeyleri yapmak için çok fazla zaman. Yetersiz günlük kaydı ve izleme, saldırganın sisteme daha fazla saldırmasına, sistem üzerindeki tutuşunu sürdürmesine, kurcalamasına, bekletmesine ve ihtiyaca göre verileri çıkarmasına izin verir. Saldırganlar, web uygulamasına saldırmak için izleme ve yanıt eksikliğini kendi lehlerine kullanır.
Yetersiz günlük kaydı ve izleme herhangi bir zamanda gerçekleşir i.Olağandışı etkinlikler için izlenmeyen uygulama günlükleri, başarısız oturum açma girişimleri ve yüksek işlem değerleri gibi denetlenebilir olaylar düzgün bir şekilde günlüğe kaydedilmiyor, uyarılar ve hatalar net olmayan hata mesajları üretiyor, otomatik DAST araçları kullanılarak yapılan pentest durumunda tetikleyici uyarısı yok, algılanamıyor veya aktif saldırıları hızlı bir şekilde uyarın, vb. Tüm oturum açma, erişim denetimi hataları ve sunucu tarafı giriş doğrulamasının kötü niyetli kullanıcı hesabını tanımlamak için günlüğe kaydedilmesi ve oluşturulan günlüklerin bir biçimde olduğundan emin olarak gecikmiş adli soruşturma için yeterli bir süre boyunca tutulması sağlanarak bunlar azaltılabilir. yüksek değerli işlemlerde bütünlük kontrolleri sağlayarak, şüpheli faaliyetlerin zamanında uyarıları için bir sistem kurarak, vb. merkezi günlük yönetimi çözümleriyle uyumludur.
Başarılı saldırıların çoğu, bir sistemdeki güvenlik açıklarını kontrol etmek ve araştırmakla başlar, bu güvenlik açığı araştırmasına izin vermek, tüm sistemin tehlikeye atılmasına neden olabilir.
Sonuç:
Bir web uygulamasındaki güvenlik açıkları, o uygulamayla ilgili tüm varlıkları etkiler. Kullanıcılar için güvenli ve güvenli bir ortam sağlamak için bu güvenlik açıklarına dikkat edilmelidir. Saldırganlar bu güvenlik açıklarını bir sistemi tehlikeye atmak, ele geçirmek ve ayrıcalıkları yükseltmek için kullanabilir. Güvenliği ihlal edilmiş bir web uygulamasının etkisi, çalınan kredi kartı kimlik bilgileri ve kimlik hırsızlığından çok gizli bilgilerin sızdırılmasına vb. kadar görselleştirilebilir. kötü niyetli varlıkların ihtiyaçlarına ve saldırı vektörlerine bağlı olarak.
