KURUMSAL EĞİTİM, SIFIRDAN ZİRVEYE OWAPS TOP 10

EĞİTİM SÜRESİ

• • 3 Gün
  • Ders Süresi: 50 dakika
  • Eğitim Saati: 10:00 - 17:00

Eğitimler 50 dakika + 10 dakika moladır. 12:00-13:00 saatleri arasında 1 saat yemek arasındaki verilir. Günde toplam 6 saat eğitim verilir. 3 günlük formatta 18 saat eğitim verilmektedir.

Eğitimler uzaktan eğitim formatında tasarlanmıştır. Her eğitim için Teams linkleri gönderilir. Katılımcılar bu linklere girerek eğitimlere katılırlar. Ayrıca farklı remote çalışma araçları da eğitmen tarafından tüm katılımlara sunulur. Katılımcılar bu araçları kullanarak eğitimlere katılırlar.

Eğitim içeriğinde GitHub ve Codespace kullanılır. Katılımcılar bu platformlar üzerinden örnek projeler oluşturur ve eğitmenle birlikte eğitimlerde sorulan sorulara ve taleplere uygun içeriğe cevap verir.

Eğitim yapay zeka destekli kendi kendine öğrenme formasyonu ile tasarlanmıştır. Katılımcılar eğitim boyunca kendi kendine öğrenme formasyonu ile eğitimlere katılırlar. Bu eğitim formatı sayesinde tüm katılımcılar gelecek tüm yaşamlarında kendilerini güncellemeye devam edebilecekler ve her türlü sorunun karşısında çözüm bulabilecekleri yeteneklere sahip olacaklardır.

EĞİTİM HEDEFİ

• OWASP Top 10 Güvenlik Açıklarını Tanımak: Katılımcılar, OWASP tarafından belirlenen en kritik 10 web uygulama güvenlik açığını (örneğin kimlik doğrulama hataları, veri sızıntıları, güvenlik yanlış yapılandırmaları) tanıyacak ve bu açıkların uygulamalarda nasıl ortaya çıktığını kavrayacaklardır.
• Güvenli Kodlama Prensiplerini Uygulamak: Eğitim süresince, OWASP Top 10 kapsamında yer alan her bir güvenlik zaafiyetinin kod düzeyinde nasıl önlenebileceği örneklerle anlatılacak, güvenli kodlama standartları geliştirilecektir.
• Gerçek Saldırı Senaryoları Üzerinden Farkındalık Kazanmak: Katılımcılar, SQL Injection, XSS, CSRF, SSRF gibi saldırı tiplerinin nasıl çalıştığını interaktif demo uygulamalarla deneyimleyerek, tehditleri uygulama seviyesinde analiz etmeyi öğreneceklerdir.
• Modern Uygulama Mimarilerinde Güvenlik Risklerini Anlamak: Mikroservis, RESTful API ve bulut tabanlı sistemlerde sık karşılaşılan OWASP kaynaklı tehditleri analiz ederek; güvenli yazılım mimarisi ilkeleri ile nasıl baş edileceğini öğreneceklerdir.
• Güvenlik Açığı Tespit Araçlarını Kullanmak: Eğitimde, ZAP, Burp Suite, SonarQube, Snyk gibi araçların temel kullanımı öğretilerek, katılımcıların uygulamalarda güvenlik açığı taramaları yapmaları sağlanacaktır.
• Güvenlik Testlerini Yazılım Geliştirme Sürecine Entegre Etmek: OWASP’a uygun güvenlik kontrollerinin CI/CD boru hattına entegre edilmesi, otomatik test senaryoları ve "Shift Left" prensipleri detaylı olarak ele alınacaktır.
• Geliştirici ve Güvenlik Takımları Arasında Etkin İş Birliği Kurmak: Yazılım geliştirme ve güvenlik ekiplerinin ortak dil kullanarak tehditleri nasıl birlikte çözümleyebileceği üzerine vaka analizleri yapılacaktır.
• Regülasyon ve Uyum Gerekliliklerine Uygunluk: Eğitim, KVKK, ISO 27001, PCI-DSS gibi regülasyonlarda geçen güvenlik kriterleriyle OWASP Top 10'un nasıl ilişkili olduğunu açıklayarak, kurumsal uyumluluk hedeflerini destekleyecektir.
• Saldırı ve Savunma Bakış Açılarını Kazanmak: Katılımcılar, hem bir saldırganın hem de bir yazılımcının bakış açısından OWASP açıklarını ele alacak, savunma stratejilerini geliştirerek güvenlik bilincini derinleştirecektir.
• Gerçek Projelerde Güvenlik Açıklarını Önleyici Yaklaşımlar Geliştirmek: Katılımcılar, OWASP ilkelerini kendi projelerinde nasıl uygulayacaklarını öğrenerek, işlevsel ve güvenli yazılım üretimini sürdürülebilir hale getireceklerdir.

Bu eğitim, yalnızca güvenlik açıklarını öğretmekle kalmayacak; yazılım geliştirme yaşam döngüsünün her aşamasında güvenliği nasıl konumlandıracaklarını da katılımcılara kazandırarak, uygulama güvenliği farkındalığını kurumsal düzeye taşıyacaktır.

EĞİTİM İÇERİĞİ

Modül 1: Güvenli Yazılıma Giriş, Prensipler ve OWASP Top 10 Genel Bakış

• Seviye: Başlangıç
• İçerik:
  • Güvenli kodlamanın yazılım yaşam döngüsündeki (SDLC) yeri ve önemi
  • .NET uygulamalarında yaygın güvenlik açıklarına genel bakış
  • Katmanlı Güvenlik (Defense in Depth) yaklaşımı ve yazılım mimarisi üzerindeki etkisi
  • OWASP Top 10 tanıtımı ve önceliklendirme gerekçeleri

Modül 2: Enjeksiyon Zafiyetleri (A03) ve .NET’te Korunma

• Seviye: Başlangıç
• İçerik:
  • SQL, Command ve LDAP Injection türleri
  • Parametreli sorgularla güvenli kodlama (ADO.NET, Entity Framework)
  • Girdi doğrulama ve temizleme teknikleri

Modül 3: XSS ve İstemci Taraflı Zafiyetler

• Seviye: Başlangıç
• İçerik:
  • Reflected, Stored ve DOM tabanlı XSS türleri
  • .NET/ASP.NET’te güvenli çıktı kodlama
  • Context-aware encoding ve input filtreleme

Modül 4: Kimlik Doğrulama ve Yetkilendirme

• Seviye: Başlangıç
• İçerik:
  • Güçlü parola politikaları ve MFA
  • .NET Identity ile kullanıcı yönetimi
  • RBAC, yatay ve dikey yetkilendirme zafiyetleri

Modül 5: Hassas Veri Güvenliği ve Yapılandırma

• Seviye: Başlangıç
• İçerik:
  • Hassas veri türleri, şifreleme, hashing ve salting
  • .NET Cryptography namespace kullanımı
  • Güvenli konfigürasyon ayarları ve minimum yetki prensibi

Modül 6: Hata Yönetimi, Loglama ve Zafiyetli Bileşenler

• Seviye: Orta
• İçerik:
  • Hata mesajı kontrolü ve güvenli loglama
  • NuGet bileşenlerinde zafiyet analizi
  • SCA araçları ve yama yönetimi

Modül 7: Orta Seviye Zafiyetler ve Test Temelleri

• Seviye: Orta
• İçerik:
  • CSRF ve SSRF zafiyetleri
  • Güvenli dosya yükleme senaryoları
  • Threat Modeling (STRIDE) ve SAST kavramları

Modül 8: Güvenli API ve İleri Kimlik & Yetkilendirme

• Seviye: Orta
• İçerik:
  • OAuth 2.0, OIDC, API Key ve Scope tabanlı kontrol
  • Rate Limiting ve input validation
  • Policy ve Resource Based Authorization

Modül 9: Güvenli Seri Hale Getirme, Container Güvenliği, DevSecOps

• Seviye: Orta / İleri
• İçerik:
  • BinaryFormatter riskleri ve güvenli alternatifler
  • Dockerfile güvenliği ve imaj taramaları
  • CI/CD süreçlerine güvenlik testlerinin entegrasyonu

Modül 10: İleri Düzey Mimari, Test ve Süreç Entegrasyonu

• Seviye: İleri
• İçerik:
  • Mikroservislerde güvenlik prensipleri
  • PASTA, DAST, Pentest metodolojileri
  • Secure SDLC süreci ve güvenlik politikalarının entegrasyonu

EĞİTİM YÖNETİMİ

• Teorik Bilgi: OWASP Top 10 güvenlik açıklarının tanımı, arka planı ve güvenlik standartları ile ilişkilendirilmiş detaylı anlatımlar sağlanacaktır.
• Uygulamalı Örnekler: Her güvenlik açığı için gerçek bankacılık ve finans sektörü uygulamalarına benzer örnek kodlar üzerinden güvenli ve güvensiz senaryolar ile karşılaştırmalı analizler yapılacaktır.
• Etkileşimli Tartışmalar: Katılımcılarla vaka çalışmaları, saldırı analizleri ve savunma stratejileri üzerine interaktif tartışmalar yürütülecek; risk değerlendirmesi ve çözüm üretme becerileri geliştirilecektir.
• Proje Tabanlı Öğrenme: Eğitimin son bölümünde katılımcılar, belirli bir OWASP açığını içeren örnek bir uygulama üzerinde analiz, tespit ve güvenli kod geliştirme çalışması gerçekleştireceklerdir.

HEDEF KİTLE

1. Yazılım Geliştiriciler: Web, mobil ve API geliştirme süreçlerinde güvenli kodlama tekniklerini öğrenmek isteyen geliştiriciler.
2. Uygulama Mimarı ve Teknik Liderler: Yazılım mimarisinde güvenliği önceliklendirmek isteyen teknik sorumlular.
3. Bilgi Güvenliği Uzmanları: Uygulama seviyesindeki zafiyetleri tanımak, test etmek ve güvenlik politikalarını belirlemek isteyen siber güvenlik profesyonelleri.
4. Kalite Güvence ve Test Mühendisleri: Güvenlik testi senaryolarını geliştirmek, uygulamaları zafiyetlere karşı test etmek isteyen QA ekipleri.
5. DevOps ve DevSecOps Mühendisleri: CI/CD süreçlerine güvenlik taramaları entegre etmek isteyen DevOps profesyonelleri.
6. CTO ve CISO’lar: Kurumsal güvenlik stratejilerinde yazılım güvenliğini merkeze almak isteyen teknik ve bilgi güvenliği yöneticileri.
7. Yeni Mezunlar ve Yazılım Alanında Kariyer Hedefleyenler: Güvenli yazılım geliştirme bilinciyle kariyerine başlamak isteyen bireyler.

KATILIMCILARDAN BEKLENTİLERİMİZ

• Katılımcıların temel seviyede yazılım geliştirme bilgisine (tercihen C#, Java veya Python) sahip olmaları beklenmektedir.
• HTTP, REST API, SQL ve temel web uygulama mantığı hakkında ön bilgi faydalı olacaktır.
• Katılımcıların aktif olarak tartışmalara katılmaları ve uygulamalı alıştırmalarda yer almaları önerilir.