Eğitimin Amacı ve Kapsamı
Uygulama katmanı zafiyetleri, sızma testi aşamasına bırakıldığında hem düzeltme maliyeti yükselir hem de sürüm takvimleri aksar. Bu eğitim; güvenli yazılım geliştirme yaşam döngüsünü (SSDLC), STRIDE ile threat modeling pratiğini, OWASP Top 10 ve ASVS standartlarını, güvenli kimlik/oturum yönetimini ve CI/CD pipeline'larında otomatik güvenlik taramalarını kapsar.
Katılımcılar kontrollü eğitim ortamında gerçekçi kod parçaları üzerindeki zafiyetleri analiz eder, kaynak kod düzeyinde yama (remediation) uygular ve ekiplerinde kullanabilecekleri bir kod inceleme ve AppSec kontrol listesi hazırlar.
Kimler Katılmalı?
- Backend, frontend ve full-stack yazılım geliştiriciler
- Uygulama güvenliği (AppSec) ve DevSecOps mühendisleri
- Yazılım mimarları ve teknik takım liderleri
- Ön koşul: en az bir programlama dilinde web uygulaması geliştirme deneyimi
Kazanımlar
- Tasarım aşamasında STRIDE yöntemiyle threat modeling yaparak mimari riskleri belirlemek
- Broken Access Control, Injection, SSRF ve güvensiz deserialization gibi OWASP Top 10 zafiyetlerini kodda düzeltmek
- Güvenli kimlik doğrulama, oturum yönetimi, girdi doğrulama ve çıktı kodlama standartlarını uygulamak
- CI/CD pipeline'ına SAST, DAST, SCA ve secret scanning kontrollerini entegre etmek
- OWASP ASVS kriterlerine dayalı kurumsal güvenli kod inceleme listesi oluşturmak
Konular
Secure SDLC ve Threat Modeling
- OWASP SAMM ve ASVS ile güvenli geliştirme yaşam döngüsü
- Veri akış diyagramları ve STRIDE ile mimari tehdit analizi
Erişim Kontrolü ve Kimlik Doğrulama Güvenliği
- IDOR/BOLA, yetki yükseltme ve güvenli oturum/token yönetimi
- Parola saklama (Argon2/bcrypt), MFA ve OAuth/OIDC uygulama hataları
Enjeksiyon, XSS ve İstemci/Sunucu Tarafı Zafiyetleri
- SQL/NoSQL/Command Injection, XSS, CSRF ve CORS yapılandırması
- SSRF, güvensiz deserialization ve dosya yükleme zafiyetlerinin giderilmesi
CI/CD'de Otomatik Güvenlik Testleri (DevSecOps)
- SAST, DAST, SCA ve pre-commit secret scanning araçlarının kullanımı
- False positive yönetimi, güvenlik kapıları (quality gates) ve zafiyet triyajı
Güvenli Kod İnceleme Uygulaması
- Örnek uygulama üzerinde zafiyet tespiti ve kod yamalama (patching)
- Pull request'ler için AppSec kontrol listesi hazırlanması
Bu Kategorideki Diğer Eğitimler
-
OWASP API Security Top 10, BOLA/BFLA, OAuth 2.1 ve JWT güvenliği, GraphQL/gRPC saldırı yüzeyi ve API gateway kontrolleri; yazılım ve güvenlik ekipleri kurumsal API'leri uçtan uca korur.
- Canlı Kurs
- 5 modül
-
Açık kaynak bağımlılık riskleri, SBOM (CycloneDX/SPDX), SLSA çerçevesi, Sigstore/Cosign ile imzalama ve CI/CD güvenliği; DevSecOps ve platform ekipleri yazılım tedarik zincirini güvenceye alır.
- Canlı Kurs
- 5 modül
-
MITRE ATT&CK tabanlı tehdit emülasyonu, tespit mühendisliği ve ortak Purple Team tatbikatları; saldırı ve savunma ekipleri kurumsal görünürlük boşluklarını birlikte kapatır.
- Canlı Kurs
- 5 modül
-
NIST SP 800-61 yaşam döngüsü, olay triyajı, dijital adli bilişim (DFIR) kanıt toplama, çevreleme ve kök neden analizi; güvenlik ve BT ekipleri siber olayları kontrollü biçimde yönetir.
- Canlı Kurs
- 5 modül
-
Log mimarisi, normalizasyon, korelasyon kuralları, MITRE ATT&CK tabanlı tespit, alarm triyajı ve threat hunting; SOC analistleri ve güvenlik mühendisleri gürültüyü azaltıp gerçek tehditleri yakalar.
- Canlı Kurs
- 5 modül
-
SOAR playbook'ları, LLM ve güvenlik agent'ları ile otomatik zenginleştirme, triyaj, vaka özeti ve insan onaylı müdahale; SOC ve güvenlik mühendisleri operasyon hızını ve doğruluğunu artırır.
- Canlı Kurs
- 5 modül
Bizimle iletişime geçin
