Eğitimin Amacı ve Kapsamı
Mikroservis mimarileri, mobil uygulamalar ve iş ortağı entegrasyonları kurumsal veriyi doğrudan API'ler üzerinden dış dünyaya açar. Bu eğitim; OWASP API Security Top 10 risklerini (BOLA, BFLA, BOPLA, kısıtlanmamış kaynak tüketimi, SSRF ve envanter eksiklikleri), OAuth 2.1/OIDC ve JWT uygulama hatalarını, REST, GraphQL ve gRPC servislerinin güvenliğini uygulamalı olarak ele alır.
Katılımcılar yetkili laboratuvar ortamında API uç noktalarını test eder, OpenAPI şeması doğrulaması ve rate limiting politikaları kurgular, kurum içi API tasarım ve yayın öncesi güvenlik kontrol listesi oluşturur.
Kimler Katılmalı?
- Backend ve API geliştiricileri, mikroservis mimarları
- Uygulama güvenliği (AppSec) uzmanları ve sızma testi mühendisleri
- API gateway ve platform altyapısını yöneten DevOps/SRE ekipleri
- Ön koşul: REST API geliştirme veya yönetme deneyimi, temel HTTP bilgisi
Kazanımlar
- Nesne ve alan düzeyinde yetkilendirme hatalarını (BOLA, BFLA, BOPLA) tespit edip önlemek
- OAuth 2.1, OIDC, JWT ve mTLS kimlik doğrulama akışlarını güvenli biçimde yapılandırmak
- OpenAPI şema doğrulaması, rate limiting ve payload boyut sınırlarıyla suistimali engellemek
- GraphQL sorgu derinliği/introspection ve gRPC servislerinde özel güvenlik önlemleri almak
- Shadow ve zombie API'leri önleyen envanter ve sürüm yönetimi kontrol listesi hazırlamak
Konular
API Saldırı Yüzeyi ve OWASP API Security Top 10
- Geleneksel web güvenliği ile API güvenliği arasındaki farklar
- BOLA, BFLA ve BOPLA (Excessive Data Exposure / Mass Assignment) analizi
Kimlik Doğrulama, OAuth 2.1, OIDC ve JWT Güvenliği
- Authorization Code + PKCE, Client Credentials ve token yaşam döngüsü
- JWT imza doğrulama hataları, anahtar rotasyonu ve servisler arası mTLS
Şema Doğrulama, Rate Limiting ve İş Mantığı Koruması
- OpenAPI/JSON Schema ile pozitif güvenlik modeli ve girdi kısıtlama
- Rate limiting, throttling, kaynak kotası ve otomatik bot/scraping suistimali önleme
GraphQL, gRPC ve Üçüncü Parti API Entegrasyonları
- GraphQL introspection, batching saldırıları ve sorgu karmaşıklığı sınırları
- Güvensiz üçüncü parti API tüketimi, webhook imza doğrulaması ve SSRF koruması
API Gateway, Envanter Yönetimi ve Güvenlik Testleri
- API gateway katmanında merkezi güvenlik politikaları ve shadow/zombie API keşfi
- CI/CD içinde otomatik API güvenlik testi ve yayın öncesi kontrol listesi
Bu Kategorideki Diğer Eğitimler
-
Açık kaynak bağımlılık riskleri, SBOM (CycloneDX/SPDX), SLSA çerçevesi, Sigstore/Cosign ile imzalama ve CI/CD güvenliği; DevSecOps ve platform ekipleri yazılım tedarik zincirini güvenceye alır.
- Canlı Kurs
- 5 modül
-
MITRE ATT&CK tabanlı tehdit emülasyonu, tespit mühendisliği ve ortak Purple Team tatbikatları; saldırı ve savunma ekipleri kurumsal görünürlük boşluklarını birlikte kapatır.
- Canlı Kurs
- 5 modül
-
NIST SP 800-61 yaşam döngüsü, olay triyajı, dijital adli bilişim (DFIR) kanıt toplama, çevreleme ve kök neden analizi; güvenlik ve BT ekipleri siber olayları kontrollü biçimde yönetir.
- Canlı Kurs
- 5 modül
-
Log mimarisi, normalizasyon, korelasyon kuralları, MITRE ATT&CK tabanlı tespit, alarm triyajı ve threat hunting; SOC analistleri ve güvenlik mühendisleri gürültüyü azaltıp gerçek tehditleri yakalar.
- Canlı Kurs
- 5 modül
-
SOAR playbook'ları, LLM ve güvenlik agent'ları ile otomatik zenginleştirme, triyaj, vaka özeti ve insan onaylı müdahale; SOC ve güvenlik mühendisleri operasyon hızını ve doğruluğunu artırır.
- Canlı Kurs
- 5 modül
-
MITRE ATLAS çerçevesinde evasion, data poisoning, backdoor, model extraction ve membership inference saldırıları ile savunma teknikleri; veri bilimi ve güvenlik ekipleri ML modellerinin dayanıklılığını test eder.
- Canlı Kurs
- 5 modül
Bizimle iletişime geçin
