Eğitimin Amacı ve Kapsamı
Modern yazılımların büyük bölümü açık kaynak paketlerden, container imajlarından ve üçüncü parti CI/CD bileşenlerinden oluşur; tek bir zararlı paket veya ele geçirilmiş derleme adımı tüm kurumu etkileyebilir. Bu eğitim; dependency confusion, typosquatting, zararlı açık kaynak sürümleri, CI/CD pipeline suistimali, SBOM üretimi (CycloneDX/SPDX), SLSA seviyeleri ve kriptografik imzalama/provenance doğrulamasını kapsar.
Katılımcılar örnek bir derleme hattında otomatik SCA ve SBOM üretimi kurar, container imajlarını Cosign ile imzalayıp doğrular ve kurum içi yazılım tedarik zinciri güvenlik kontrol listesi oluşturur.
Kimler Katılmalı?
- DevSecOps, DevOps ve platform mühendisleri
- Uygulama güvenliği (AppSec) uzmanları ve yazılım mimarları
- Üçüncü parti yazılım ve açık kaynak yönetişiminden sorumlu teknik liderler
- Ön koşul: Git, paket yöneticileri, container teknolojileri ve CI/CD süreçlerine aşinalık
Kazanımlar
- Dependency confusion, typosquatting ve ele geçirilmiş paket saldırılarını önleyen depo politikaları kurmak
- Derleme sürecinde CycloneDX veya SPDX formatında otomatik SBOM ve VEX çıktısı üretmek
- GitHub Actions/GitLab CI gibi derleme ortamlarını SLSA ilkelerine göre sıkılaştırmak
- Sigstore/Cosign ile container imajlarını ve derleme çıktılarını imzalayıp dağıtım öncesi doğrulamak
- Üçüncü parti yazılım ve açık kaynak bileşen kabulü için kurumsal kontrol listesi hazırlamak
Konular
Yazılım Tedarik Zinciri Tehditleri ve Gerçek Vakalar
- Kaynak koddan üretime tedarik zinciri saldırı noktaları
- Dependency confusion, typosquatting, protestware ve derleme sunucusu ihlalleri
Bağımlılık Yönetimi, SCA ve Güvenli Paket Depoları
- Lockfile disiplini, geçişli (transitive) bağımlılık analizi ve erişilebilirlik (reachability) değerlendirmesi
- Özel artifact proxy kullanımı, paket karantinası ve lisans/zafiyet politikaları
SBOM Üretimi ve VEX ile Zafiyet Yönetimi
- CycloneDX ve SPDX standartlarıyla otomatik SBOM oluşturma
- Yeni çıkan sıfırıncı gün (zero-day) zafiyetlerinde SBOM envanteriyle hızlı etki analizi ve VEX kullanımı
CI/CD Pipeline Sıkılaştırma ve SLSA Çerçevesi
- Üçüncü parti pipeline eklentilerini sabitleme (pinning), kısa ömürlü OIDC kimlikleri ve en az ayrıcalık
- SLSA (Supply-chain Levels for Software Artifacts) seviyeleri ve izole derleme ortamları
Kriptografik İmzalama, Provenance ve Dağıtım Doğrulaması
- Sigstore, Cosign ve in-toto attestation ile imaj ve paket imzalama
- Kubernetes admission controller (Kyverno/OPA Gatekeeper) ile imzasız imajların engellenmesi
Bu Kategorideki Diğer Eğitimler
-
MITRE ATT&CK tabanlı tehdit emülasyonu, tespit mühendisliği ve ortak Purple Team tatbikatları; saldırı ve savunma ekipleri kurumsal görünürlük boşluklarını birlikte kapatır.
- Canlı Kurs
- 5 modül
-
NIST SP 800-61 yaşam döngüsü, olay triyajı, dijital adli bilişim (DFIR) kanıt toplama, çevreleme ve kök neden analizi; güvenlik ve BT ekipleri siber olayları kontrollü biçimde yönetir.
- Canlı Kurs
- 5 modül
-
Log mimarisi, normalizasyon, korelasyon kuralları, MITRE ATT&CK tabanlı tespit, alarm triyajı ve threat hunting; SOC analistleri ve güvenlik mühendisleri gürültüyü azaltıp gerçek tehditleri yakalar.
- Canlı Kurs
- 5 modül
-
SOAR playbook'ları, LLM ve güvenlik agent'ları ile otomatik zenginleştirme, triyaj, vaka özeti ve insan onaylı müdahale; SOC ve güvenlik mühendisleri operasyon hızını ve doğruluğunu artırır.
- Canlı Kurs
- 5 modül
-
MITRE ATLAS çerçevesinde evasion, data poisoning, backdoor, model extraction ve membership inference saldırıları ile savunma teknikleri; veri bilimi ve güvenlik ekipleri ML modellerinin dayanıklılığını test eder.
- Canlı Kurs
- 5 modül
-
OWASP Top 10 for LLM & Agentic Applications, direct/indirect prompt injection, RAG veri sızıntısı, MCP/tool calling yetkilendirmesi ve guardrail mimarisi; mühendisler güvenli AI sistemleri kurar.
- Canlı Kurs
- 5 modül
Bizimle iletişime geçin
