KURUMSAL EĞİTİM, YAZILIMCILAR İÇİN SİBER GÜVENLİK EĞİTİMİ

EĞİTİM SÜRESİ

• • 10 Gün
  • Ders Süresi: 50 dakika
  • Eğitim Saati: 10:00 - 17:00

Eğitim formatında eğitimler 50 dakika + 10 dakika moladır. 12:00-13:00 saatleri arasında 1 saat yemek arası verilir. Günde toplam 6 saat eğitim verilir. 10 günlük formatta 60 saat eğitim verilmektedir.

Eğitimler uzaktan eğitim formatında tasarlanmıştır. Her eğitim için Teams linkleri gönderilir. Katılımcılar bu linklere girerek eğitimlere katılırlar. Ayrıca farklı remote çalışma araçları da eğitmen tarafından tüm katılımlara sunulur. Katılımcılar bu araçları kullanarak eğitimlere katılırlar.

Eğitim yapay zeka destekli kendi kendine öğrenme formasyonu ile tasarlanmıştır. Katılımcılar eğitim boyunca kendi kendine öğrenme formasyonu ile eğitimlere katılırlar. Bu eğitim formatı sayesinde tüm katılımcılar gelecek tüm yaşamlarında kendilerini güncellemeye devam edebilecekler ve her türlü sorunun karşısında çözüm bulabilecekleri yeteneklere sahip olacaklardır.

YAZILIMCILAR İÇİN SİBER GÜVENLİK EĞİTİMİ

Bu kapsamlı eğitim sonunda .NET C# Geliştirme Uzmanları, modern yazılım geliştirme süreçlerinde karşılaşılan siber tehditleri tanıma, önleme ve güvenli kod geliştirme konusunda kritik beceriler kazanacaklardır. Eğitim, güvenli yazılım geliştirme yaşam döngüsü (SSDLC), OWASP Top 10 zafiyetleri, kimlik doğrulama ve yetkilendirme mekanizmaları, veri sızdırmazlığı, input validation & output encoding, Zero Trust yaklaşımı, güvenli API geliştirme, statik/dinamik kod analizi ve CI/CD süreçlerinde güvenlik otomasyonu gibi konuları kapsamaktadır. Katılımcılar, gerçek dünya senaryoları ve uygulamalı çalışmalarla, yazılım projelerinde güvenlik açıklarını tespit etme ve önleme yetkinliği kazanacaklardır.

Eğitim süresince bolca uygulamalı çalışma ve .NET projelerine özgü örnekler sayesinde, katılımcılar teorik bilgiyi pratiğe dökme fırsatı bulacaklardır. OWASP Top 10'un dil bazlı örnekleri (C#, Python, Java Spring), modern kimlik doğrulama protokolleri (OAuth2, OpenID Connect, JWT), rate limiting, tehdit modelleme, hassas veri yönetimi, bulut ve container güvenliği, ileri düzey saldırı türleri ve DevSecOps kültürü gibi modüllerle, katılımcıların günlük iş akışlarına doğrudan etki edecek pratik çözümler sunulacaktır.

NEDEN SİBER GÜVENLİK EĞİTİMİ?

Siber güvenlik eğitimi, yazılım geliştiricilere güvenli kodlama, güncel tehditlere karşı koruma ve uygulama güvenliği konusunda temel yetkinlikler kazandırır. Güvenli yazılım geliştirme süreçleriyle projelerinizde riskleri en aza indirir, projenizin daha sıkı çalışmasını sağlar.

• Güvenli Kod Geliştirme: Yazılım geliştirmenin her aşamasında güvenlik pratiklerinin entegrasyonu, güvenli kodlama prensipleri ve SSDLC uygulamaları.
• OWASP Top 10: Web uygulamalarındaki en kritik 10 güvenlik açığının detaylı analizi ve .NET C# özelinde korunma yolları.
• Kimlik Doğrulama ve Yetkilendirme: Modern kimlik doğrulama protokolleri (OAuth2, OpenID Connect, JWT), parola güvenliği, oturum yönetimi ve RBAC/ABAC modelleri.
• Veri Sızdırmazlığı ve Hassas Veri Yönetimi: Hassas verilerin korunması, şifreleme, anahtar yönetimi ve sır saklama çözümleri (Azure Key Vault, AWS Secrets Manager).
• Input Validation & Output Encoding: XSS, SQL Injection gibi saldırılara karşı koruma için giriş doğrulama ve çıkış kodlama teknikleri.
• Zero Trust Yaklaşımı: "Asla güvenme, her zaman doğrula" prensibinin yazılım mimarisi ve kodlama üzerindeki etkileri.
• Güvenli API Geliştirme ve Rate Limiting: RESTful API güvenliği, rate limiting, API anahtar yönetimi ve veri maruziyetini engelleme.
• Kod Analizi ve CI/CD Otomasyonu: Statik/dinamik kod analizi araçları, CI/CD süreçlerinde güvenlik testlerinin otomasyonu ve DevSecOps entegrasyonu.
• Tehdit Modelleme ve Saldırı Türleri: STRIDE ile tehdit modelleme, SSRF, XXE, deserialization, business logic flaws gibi ileri düzey saldırıların analizi ve korunma yöntemleri.
• Bulut ve Container Güvenliği: Cloud ortamlarında ve Kubernetes üzerinde güvenli yazılım geliştirme ve dağıtım pratikleri.
• Güvenlik Kültürü ve Şampiyonları: Güvenliğin tüm ekibe yayılması, güvenlik şampiyonları yetiştirme ve sürdürülebilir güvenlik yaklaşımı.

EĞİTİM İÇERİĞİ

1. Güvenli Yazılım Geliştirme Yaşam Döngüsü (SSDLC) ve Temel Prensipler

• SSDLC Yaklaşımları:
  • Yazılım geliştirme sürecinin her aşamasında güvenlik pratiklerinin entegrasyonu.
  • Planlama, gereksinim analizi, tasarım, kodlama, test, dağıtım ve bakımda güvenlik kontrolleri.
  • Erken aşamada güvenlik açıklarının tespiti ve maliyet etkinliği.
• Temel Güvenli Kodlama Prensipleri:
  • En az ayrıcalık prensibi.
  • Savunma derinliği ve katmanlı güvenlik.
  • Güvenli varsayılanlar ve hata durumlarında bilgi sızdırma önleme.

2. OWASP Top 10 – Temel Kavramlar ve İlk 5 Madde

• OWASP Top 10'a Giriş:
  • En kritik web uygulama güvenlik riskleri.
  • Geliştiriciler için rehber niteliği.
• A01: Kırık Erişim Kontrolü:
  • Yetkilendirme hataları ve .NET C# örnekleri.
• A02: Kriptografik Hatalar:
  • Hassas verilerin yetersiz korunması, güçlü algoritmalar ve anahtar yönetimi.
• A03: Enjeksiyon:
  • SQL Injection, Command Injection ve güvenli sorgu oluşturma.
• A04: Güvenli Olmayan Tasarım:
  • Eksik mimari tasarım ve risk modellemesi.
• A05: Güvenlik Yanlış Yapılandırması:
  • Varsayılan şifreler, gereksiz servisler, HTTP güvenlik başlıkları.
• Giriş Doğrulama ve Çıkış Kodlama:
  • Input validation, output encoding, XSS ve .NET Core validasyon örnekleri.

3. Kimlik Doğrulama, Yetkilendirme ve Bağımlılık Güvenliği

• Kimlik Doğrulama Mekanizmaları:
  • Parola güvenliği, oturum yönetimi, MFA.
  • ASP.NET Core Identity ile uygulama örnekleri.
• Hata Yönetimi ve Loglama Güvenliği:
  • Güvenli hata mesajları, loglama ve veri maskeleme.
• Bağımlılık Güvenliği:
  • NuGet paketlerinin güvenlik taraması, CVE analizi.
• Güvenlik Başlıkları ve CORS:
  • HSTS, CSP, X-Frame-Options, CORS policy uygulamaları.

4. OWASP Top 10 – Kalan Maddeler ve Detaylı Analiz

• A06: Savunmasız ve Güncel Olmayan Bileşenler:
  • Bağımlılıkların güncel tutulması, otomatik tarama.
• A07: Kimlik Doğrulama ve Kimliklendirme Hataları:
  • Oturum yönetimi zafiyetleri, brute-force koruma.
• A08: Yazılım ve Veri Bütünlüğü Hataları:
  • Kod imzalama, deserialization güvenliği.
• A09: Güvenlik Günlüğü ve İzleme Hataları:
  • Yetersiz loglama, anormal davranış tespiti.
• A10: SSRF (Server-Side Request Forgery):
  • SSRF zafiyeti ve korunma yöntemleri.

5. Modern Kimlik Doğrulama ve Yetkilendirme Mekanizmaları

• OAuth2:
  • Yetkilendirme akışları ve .NET entegrasyonu.
• OpenID Connect (OIDC):
  • JWT tabanlı kimlik doğrulama, Azure AD entegrasyonu.
• JWT (JSON Web Token):
  • Token yapısı, güvenlik riskleri ve .NET uygulama örnekleri.

6. Güvenli API Geliştirme ve DevSecOps'a Giriş

• RESTful API Güvenliği:
  • Doğru HTTP metotları, veri validasyonu, sürümleme.
• Rate Limiting:
  • DDoS ve brute-force koruma, .NET Core implementasyonu.
• Kod Analizi (SAST/DAST):
  • Statik ve dinamik kod analizi araçları, CI/CD entegrasyonu.
• DevSecOps Otomasyonu:
  • Azure DevOps, GitHub Actions ile güvenlik kontrolleri.

7. Tehdit Modelleme, Zero Trust ve Hassas Veri Yönetimi

• Tehdit Modelleme:
  • STRIDE metodolojisi, .NET uygulama örnekleri.
• Zero Trust Mimarisi:
  • Mikro segmentasyon, sürekli doğrulama.
• Hassas Veri Yönetimi ve Sır Saklama:
  • Azure Key Vault, AWS Secrets Manager entegrasyonu.

8. İleri Düzey Kimlik Doğrulama/Yetkilendirme ve Bulut Güvenliği

• MFA ve Adaptive Authentication:
  • Çok faktörlü ve uyarlanabilir kimlik doğrulama.
• RBAC/ABAC Modelleri:
  • Rol ve nitelik tabanlı erişim kontrolü.
• Kapsayıcı ve Kubernetes Güvenliği:
  • Container imaj güvenliği, Kubernetes güvenlik politikaları.
• Bulut Güvenliği ve Serverless:
  • Cloud Security Posture Management, IaC güvenliği, serverless fonksiyonlarda güvenlik.

9. Gelişmiş Saldırı Türleri, Savunma ve DevSecOps Kültürü

• Tedarik Zinciri Güvenliği:
  • SBOM, code signing, güvenli yazılım dağıtımı.
• RASP ve WAF:
  • Runtime Application Self-Protection ve Web Application Firewall entegrasyonu.
• İleri Güvenlik Testleri:
  • Fuzzing, penetrasyon testi, CI/CD entegrasyonu.
• Gelişmiş Saldırı Türleri:
  • Deserialization, SSRF, XXE, business logic flaws, TOCTOU zafiyetleri.
• DevSecOps Kültürü ve Güvenlik Şampiyonları:
  • Güvenliğin ekibe yayılması, güvenlik şampiyonu yetiştirme.