SEC522 Uygulama Güvenliği Eğitimi

Eğitim Hakkında

SEC522 Sınav Müfredatıyla Uyumlu Altı Günlük Uygulama Güvenliği Programı

Bu eğitim, web uygulamalarını, uygulama programlama arayüzlerini (API) ve mikroservis mimarilerini tasarım aşamasından üretime kadar güvenli kılacak geliştirici ve mimarlar yetiştirmek üzere kurgulanmış altı günlük bir yetkinlik programıdır. SEC522 sınav müfredatıyla uyumlu başlıklar; tehdit modelleme, güvenli kodlama ve test otomasyonu atölyeleriyle pekiştirilir.

Süre ve Format

6 Tam Gün. Kavramsal anlatım, güvenli kod atölyeleri, laboratuvar uygulamaları ve vaka analizleri dengeli bir akışta işlenir.

Seviye

Orta Seviye — Web geliştirme, HTTP protokolü ve temel uygulama mimarisi bilgisi olan katılımcılar için uygundur.

Öğrenme Metodu

Güvenli kod atölyeleri, kod inceleme çalışmaları, tehdit modelleme oturumları ve senaryo tabanlı laboratuvar uygulamaları.

Neden Bu Eğitim?

🧱Tasarımdan Başlayan Güvenlik

Zafiyeti üretimde aramak yerine tehdit modelleme ve güvenli tasarım ilkeleriyle kaynağında önlemeyi öğrenirsiniz.

🔌API ve Mikroservis Odağı

Modern mimarinin gerçek saldırı yüzeyi olan API, GraphQL ve servisler arası güven sınırları ayrıntılı ele alınır.

⚙️Hatta Gömülü Test

Statik analiz, dinamik test ve bileşen analizini teslim hattına yerleştirerek güvenliği sürekli hale getirirsiniz.

Bu Eğitim Hangi Rollere Hazırlar?

Uygulama Güvenliği UzmanıGüvenli Yazılım GeliştiriciAPI Güvenliği MühendisiDevSecOps MühendisiÜrün Güvenliği MühendisiYazılım Güvenliği Danışmanı

Sarı Takım: Güvenliği yazılımın tasarımına ve teslim hattının içine gömen geliştirme ekibi

“Güvenliği son kontrol adımı olmaktan çıkarıp kodun ilk satırına taşıdığınızda, yazılımınız saldırıya değil tasarıma göre davranır.”

Ön Koşullar

Programdan En Yüksek Verimi Almanız İçin Beklenen Temel Yetkinlikler

1

Yazılım Geliştirme

En az bir programlama dilinde kod okuma ve yazma düzeyinde çalışma deneyimi.

2

Web Teknolojileri

HTTP, REST, HTML ve tarayıcı davranışları hakkında temel düzeyde bilgi.

3

Ağ ve Sistem Temelleri

TCP/IP, DNS ve TLS kavramlarıyla Linux komut satırına aşinalık beklenir.

4

Etik Sorumluluk Taahhüdü

Öğrenilen tekniklerin yalnızca yazılı yetki verilen sistemlerde kullanılacağının kabulü.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiWeb uygulamalarının saldırı yüzeyini ve tarayıcı güvenlik modelini kavramak, tehdit modelleme yöntemleriyle riskleri tasarım aşamasında belirlemek.

Modül 1

Uygulama Güvenliğinin Temel Kavramları

Uygulama güvenliğinin iş değeri ve kurumsal risk dili
Gizlilik, bütünlük ve erişilebilirlik dengesinin kurulması
Zafiyet, istismar ve etki ilişkisinin doğru tanımlanması
Güvenlik borcu ile teknik borç arasındaki bağın okunması
Sarı takımın yazılım teslim hattındaki konumu ve görevi
Atölye: Örnek uygulamanın saldırı yüzeyinin çıkarılması

Modül 2

HTTP ve Tarayıcı Güvenlik Modeli

HTTP istek ve yanıt yapısının güvenlik gözüyle okunması
Aynı köken politikası ve tarayıcı izolasyon sınırları
Güvenlik başlıkları: CSP, HSTS ve çerçeveleme koruması
Çerez öznitelikleri ve SameSite davranışlarının etkisi
TLS el sıkışması ve sertifika doğrulama zincirinin işleyişi
Lab: Burp Suite ile istek akışının kavramsal incelenmesi

Modül 3

Tehdit Modelleme ve Güvenli Tasarım

Tehdit modelleme yaşam döngüsü, girdileri ve çıktıları
STRIDE yöntemiyle tehdit sınıflarının belirlenmesi
Veri akış diyagramı ve güven sınırlarının çizilmesi
Güvenli tasarım ilkeleri ve en az ayrıcalık yaklaşımı
Kötüye kullanım senaryolarının karşı önlemlerle eşlenmesi
Atölye: Mikroservis mimarisi için tehdit modeli kurgusu

Modül 4

OWASP Top 10 ve Risk Sınıflandırması

OWASP Top 10 kategorilerinin bütüncül değerlendirmesi
Bozuk erişim denetimi ve kriptografik hataların etkisi
Güvensiz tasarım ve hatalı yapılandırma örüntüleri
CVSS ile zafiyet puanlama ve önceliklendirme mantığı
CWE ve CVE kayıtlarının geliştirici gözüyle okunması
Vaka: Yayımlanmış bir zafiyet bildiriminin çözümlenmesi

Günün hedefiKimlik doğrulama ve oturum yönetimi mimarilerini güvenli kurmak, yetkilendirme hatalarını ve kriptografik zayıflıkları tasarım düzeyinde önlemek.

Modül 1

Kimlik Doğrulama Mimarileri

Parola politikaları ve modern parola saklama yöntemleri
Çok faktörlü doğrulama seçenekleri ve kurulum kararları
Parolasız kimlik doğrulama ve WebAuthn yaklaşımı
Hesap kurtarma ve parola sıfırlama akışlarının riskleri
Kimlik bilgisi doldurma saldırılarına karşı savunma katmanı
Lab: Zayıf kimlik akışının güvenli biçimde yeniden tasarımı

Modül 2

Oturum Yönetimi ve Çerez Güvenliği

Oturum kimliği üretimi, saklanması ve yenilenme kuralları
Oturum sabitleme ve oturum çalma senaryolarının önlenmesi
Çerez tabanlı ve belirteç tabanlı oturumun karşılaştırması
JSON Web Token yapısı ve doğrulama hatalarının etkisi
Oturum sonlandırma, zaman aşımı ve eşzamanlılık denetimi
Atölye: Oturum yaşam döngüsünün uçtan uca gözden geçirimi

Modül 3

Yetkilendirme ve Erişim Denetimi

Rol tabanlı ve öznitelik tabanlı erişim denetimi modelleri
Nesne düzeyinde yetki kontrolü ve IDOR örüntüsünün önlenmesi
İşlev düzeyinde yetki eksikliği ve dikey yetki yükseltme
Çok kiracılı uygulamalarda kiracı izolasyonunun tasarımı
Merkezî yetki kararı ve politika motoru yaklaşımının değeri
Lab: Erişim denetimi matrisinin test senaryolarıyla sınanması

Modül 4

Uygulama Katmanında Kriptografi

Simetrik ve asimetrik şifrelemenin uygulama senaryoları
Özetleme, tuzlama ve mesaj doğrulama kodunun kullanımı
Anahtar üretimi, saklanması ve döndürme disiplini
TLS yapılandırması ve sertifika yönetiminin ilkeleri
Yaygın kriptografi hataları ve özgün algoritma yazma riski
Vaka: Hatalı şifreleme kullanımının veri sızıntısına etkisi

Günün hedefiGirdi doğrulama ve çıktı kodlama disiplinini kurmak; enjeksiyon, siteler arası betik ve istek sahtekârlığı sınıflarını kod düzeyinde önlemek.

Modül 1

Girdi Doğrulama ve Çıktı Kodlama

Güvenilmeyen girdi kavramı ve güven sınırının belirlenmesi
İzin listesi temelli doğrulama ve kanonikleştirme adımları
Bağlama duyarlı çıktı kodlama kurallarının uygulanması
Karakter kodlaması ve Unicode kaynaklı atlatma riskleri
Sunucu ve istemci tarafı doğrulamanın rol ayrımı
Atölye: Doğrulama katmanının ortak kütüphaneye taşınması

Modül 2

Enjeksiyon Zafiyetleri ve Savunması

SQL enjeksiyonunun oluşum mantığı ve kurumsal etkisi
Hazır ifadeler ve nesne ilişkisel eşleme ile savunma
Komut enjeksiyonu ve güvenli sistem çağrısı kalıpları
Şablon enjeksiyonu ve sunucu tarafı ifade değerlendirmesi
LDAP, XML ve NoSQL enjeksiyon türlerinin karşılaştırılması
Lab: Zafiyetli sorgu katmanının güvenli biçimde düzeltilmesi

Modül 3

İstemci Tarafı Saldırı Yüzeyi

Yansıyan, saklanan ve DOM tabanlı XSS türlerinin ayrımı
İçerik güvenlik politikasıyla XSS etkisinin sınırlandırılması
Siteler arası istek sahtekârlığı ve belirteç temelli savunma
CORS yapılandırmasının yaygın hataları ve doğru kurgusu
Tıklama hırsızlığı ve kullanıcı arayüzü aldatma teknikleri
Lab: Çıktı kodlama ve CSP ayarlarının birlikte denenmesi

Modül 4

SSRF, Dosya Yükleme ve Seri Hale Getirme

Sunucu tarafı istek sahtekârlığının bulut ortamındaki etkisi
Giden istek denetimi ve meta veri servisinin korunması
Dosya yükleme akışında tür, boyut ve depolama denetimi
Güvensiz seri hale getirme ve nesne yeniden oluşturma riski
XML dış varlık işleme ve ayrıştırıcı sıkılaştırması
Vaka: Bulutta SSRF kaynaklı bir olayın adım adım incelenmesi

Günün hedefiAPI saldırı yüzeyini tanımak, OAuth 2.0 ve OpenID Connect akışlarını güvenli kurgulamak, ağ geçidi ve şema doğrulamasıyla savunmayı katmanlamak.

Modül 1

API Saldırı Yüzeyi ve API Top 10

API envanteri ile gölge ve terk edilmiş uç noktaların tespiti
Bozuk nesne düzeyi yetkilendirmenin API mimarisindeki yeri
Aşırı veri ifşası ve kütle atama sorunlarının önlenmesi
Kaynak tüketimi ve iş mantığının kötüye kullanımı
Sürüm yönetimi ve kullanımdan kaldırma disiplini
Atölye: API envanterinin risk haritasının çıkarılması

Modül 2

OAuth 2.0 ve OpenID Connect

Yetkilendirme kodu akışı ve PKCE kullanımının gerekçesi
Belirteç türleri, kapsam ve izleyici doğrulamasının önemi
Yenileme belirteci saklama ve iptal stratejilerinin kurgusu
Kimlik belirteci doğrulama adımları ve imza denetimi
Yaygın akış seçim hataları ve yönlendirme kaynaklı riskler
Lab: Örnek istemci uygulamasının akış denetimi çalışması

Modül 3

GraphQL ve Modern Servis Protokolleri

GraphQL şeması, çözümleyici ve yetkilendirme katmanı
Sorgu derinliği, karmaşıklık ve maliyet sınırlandırması
İç gözlem ve hata mesajları üzerinden bilgi sızıntısı
gRPC ve ikili protokollerde güvenlik değerlendirmesi
Olay tabanlı mimarilerde mesaj doğrulama ihtiyacı
Atölye: GraphQL uç noktası için güvenlik denetim listesi

Modül 4

API Ağ Geçidi ve Savunma Katmanları

API ağ geçidi işlevleri ve merkezî politika uygulaması
Hız sınırlama, kota ve kötüye kullanım tespiti yaklaşımları
Şema temelli istek ve yanıt doğrulamasının kurulması
Karşılıklı TLS ve istemci kimlik doğrulama seçenekleri
API anahtarı yönetimi ve sır sızıntısının önlenmesi
Lab: Ağ geçidi politikalarının senaryolarla sınanması

Günün hedefiMikroservis mimarisindeki güven sınırlarını yönetmek, konteyner ve orkestrasyon katmanını sıkılaştırmak, sır ve bağımlılık zincirini güvence altına almak.

Modül 1

Mikroservis Mimarisinde Güven Sınırları

Servisler arası kimlik doğrulama ve yetki aktarımı modeli
Doğu-batı trafiğinde sıfır güven yaklaşımının uygulanması
İş yükü kimliği ve kısa ömürlü belirteçlerin kullanımı
Dağıtık sistemlerde hata yönetimi ve geri düşme davranışı
Servis bağımlılık haritası ve etki alanı analizinin çıkarımı
Atölye: Servis sınırlarına göre yetkilendirme tasarımı

Modül 2

Konteyner ve Kubernetes Güvenliği

Konteyner görüntüsü katmanları ve asgari taban imajı seçimi
Kök dışı çalışma ve salt okunur dosya sistemi yapılandırması
Kubernetes pod güvenlik standartları ve ad alanı izolasyonu
Ağ politikalarıyla servis erişiminin sınırlandırılması
Yönetim düzlemi erişimi ve RBAC yapılandırma ilkeleri
Lab: Trivy ile görüntü taraması ve bulguların yorumlanması

Modül 3

Servis Ağı ve Karşılıklı Kimlik Doğrulama

Servis ağı mimarisi ve yan araç (sidecar) modelinin işleyişi
Karşılıklı TLS ile servis trafiğinin uçtan uca şifrelenmesi
Ayrıntılı yetkilendirme politikalarının merkezî yönetimi
Gözlemlenebilirlik: ölçüm, iz sürme ve kayıt bütünlüğü
Trafik yönlendirme ile güvenli sürüm geçişlerinin kurgusu
Atölye: Servis ağı politikalarının senaryo üzerinde kurgusu

Modül 4

Sır Yönetimi ve Yazılım Tedarik Zinciri

Sırların koddan ayrılması ve kasa çözümleriyle yönetimi
Dinamik kimlik bilgisi üretimi ve otomatik döndürme
Bağımlılık envanteri ve yazılım malzeme listesi (SBOM)
Paket deposu güvenliği ve bağımlılık karışıklığı riski
İmzalama ve doğrulama ile yapıt bütünlüğünün korunması
Vaka: Tedarik zinciri kaynaklı bir olayın çözümlenmesi

Günün hedefiGüvenli geliştirme yaşam döngüsünü kurumsallaştırmak, test otomasyonunu teslim hattına yerleştirmek ve çalışma zamanı savunmasıyla programı bütünlemek.

Modül 1

Güvenli Geliştirme Yaşam Döngüsü

Güvenlik gereksinimlerinin ürün yığınına işlenmesi
Güvenli kod inceleme kültürü ve denetim listelerinin kurgusu
Güvenlik şampiyonu modeli ve ekip içinde yaygınlaştırma
OWASP SAMM yaklaşımıyla olgunluk düzeyinin ölçülmesi
Zafiyet bildirimi ve düzeltme süresi hedeflerinin yönetimi
Atölye: Ekip için güvenli geliştirme yol haritası taslağı

Modül 2

Güvenlik Testi Otomasyonu

Statik kod analizi ile erken zafiyet tespitinin kurulması
Dinamik uygulama testinin kapsamı ve doğal sınırları
Yazılım bileşen analizi ve bağımlılık zafiyetlerinin izlenmesi
Sır tarama ve kod deposu hijyeninin otomatikleştirilmesi
Yanlış pozitif yönetimi ve bulguların önceliklendirilmesi
Lab: Sürekli tümleştirme hattına güvenlik kapısı eklenmesi

Modül 3

Çalışma Zamanı Savunması ve İzleme

Web uygulama güvenlik duvarı kural mantığı ve sınırları
Bot yönetimi ve kötüye kullanım göstergelerinin izlenmesi
Uygulama kayıtlarının güvenlik değeri ve alan tasarımı
Uygulama olaylarının SIEM üzerinde ilişkilendirilmesi
Zafiyet açıklama politikası ve ödül programının yönetimi
Lab: Uygulama saldırı göstergelerinin kayıtlardan çıkarılması

Modül 4

Uygulama Güvenliği Vakası ve Kapanış

Uçtan uca uygulama güvenliği vakasının takımlarla işlenmesi
Bulguların yönetici özeti ve teknik rapor olarak sunulması
Yasal çerçeve: TCK bilişim suçları ve KVKK yükümlülükleri
SEC522 sınav stratejisi, konu tekrarı ve zaman yönetimi
Eğitim değerlendirmesi ve interaktif Soru-Cevap oturumu
Digital Vizyon Akademi Katılım ve Başarı Sertifikası takdimi

Eğitim Kazanımları

Program sonunda katılımcılar:

🧭

Tehdit Modelleme

Uygulama mimarilerini STRIDE yöntemiyle modelleyerek riskleri tasarım aşamasında belirleyebileceksiniz.

🔐

Kimlik ve Oturum

Kimlik doğrulama, oturum yönetimi ve yetkilendirme katmanlarını güvenli biçimde kurgulayabileceksiniz.

🧪

Girdi Disiplini

Girdi doğrulama ve bağlama duyarlı çıktı kodlamayla enjeksiyon sınıfı zafiyetleri önleyebileceksiniz.

🌐

Tarayıcı Savunması

İçerik güvenlik politikası, çerez öznitelikleri ve CORS ayarlarını doğru biçimde yapılandırabileceksiniz.

🔌

API Güvenliği

REST ve GraphQL arayüzlerini şema doğrulama, hız sınırlama ve yetki denetimiyle koruyabileceksiniz.

📦

Mikroservis Güvenliği

Konteyner, orkestrasyon ve servis ağı katmanlarında güven sınırlarını doğru kurabileceksiniz.

🔗

Tedarik Zinciri

Bağımlılıkları, sırları ve yapıt bütünlüğünü yazılım malzeme listesiyle yönetebileceksiniz.

⚙️

Test Otomasyonu

Statik, dinamik ve bileşen analizini teslim hattına yerleştirip bulguları önceliklendirebileceksiniz.

Kimler İçin Uygundur?

Yazılım geliştiriciler
uygulama mimarları
DevOps ve DevSecOps mühendisleri
ürün güvenliği uzmanları
kod inceleme yapan teknik liderler
uygulama katmanını denetleyen güvenlik analistleri

Sıkça Sorulan Sorular

SEC522 uygulama güvenliği eğitimi kimler için uygundur?

Program; yazılım geliştiriciler, uygulama mimarları, DevOps ve DevSecOps mühendisleri, ürün güvenliği uzmanları ve uygulama katmanını denetleyen güvenlik analistleri için tasarlanmıştır. En az bir programlama dilinde kod okuma deneyimi ve temel web teknolojileri bilgisi beklenir.

Eğitim ne kadar sürer ve kaç modülden oluşur?

Eğitim 6 tam gün sürer ve 24 modülden oluşur. Kurumun tercihine göre Digital Vizyon Akademi sınıflarında, kurum lokasyonunda veya çevrim içi olarak gerçekleştirilir; her modülde laboratuvar, atölye veya vaka uygulaması yer alır.

Bu eğitim SEC522 sınavına hazırlık sağlıyor mu?

Program, SEC522 sınav müfredatıyla uyumlu bir sınava hazırlık ve yetkinlik eğitimidir. Sınav başvurusu ve güncel koşulları sınavı düzenleyen kurum tarafından belirlenir; sınav ücreti katılımcıya aittir ve eğitim ücretine dahil değildir.

Eğitimde hangi araçlar ve teknolojiler ele alınıyor?

Burp Suite, OWASP ZAP, Trivy, Kubernetes, servis ağı çözümleri, OAuth 2.0 ve OpenID Connect akışları, GraphQL, statik ve dinamik analiz araçları ile yazılım malzeme listesi üreten bileşen analizi araçları kavramsal ve uygulamalı olarak ele alınır.

Eğitim sonunda hangi belge veriliyor?

Programı başarıyla tamamlayan katılımcılar Digital Vizyon Akademi Katılım ve Başarı Sertifikası almaya hak kazanır. Bu belge, sınavı düzenleyen kurumun verdiği sınav sertifikasından ayrı bir katılım ve başarı belgesidir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika

APPLICATION SECURITY: SECURING WEB APPLICATIONS, APIS, AND MICROSERVICES (SEC522) EĞİTİMİ

Eğitim Hakkında

Neden Bu Eğitim?

Bu Eğitim Hangi Rollere Hazırlar?

Ön Koşullar

Eğitim İçeriği

Uygulama Güvenliğinin Temel Kavramları

HTTP ve Tarayıcı Güvenlik Modeli

Tehdit Modelleme ve Güvenli Tasarım

OWASP Top 10 ve Risk Sınıflandırması

Kimlik Doğrulama Mimarileri

Oturum Yönetimi ve Çerez Güvenliği

Yetkilendirme ve Erişim Denetimi

Uygulama Katmanında Kriptografi

Girdi Doğrulama ve Çıktı Kodlama

Enjeksiyon Zafiyetleri ve Savunması

İstemci Tarafı Saldırı Yüzeyi

SSRF, Dosya Yükleme ve Seri Hale Getirme

API Saldırı Yüzeyi ve API Top 10

OAuth 2.0 ve OpenID Connect

GraphQL ve Modern Servis Protokolleri

API Ağ Geçidi ve Savunma Katmanları

Mikroservis Mimarisinde Güven Sınırları

Konteyner ve Kubernetes Güvenliği

Servis Ağı ve Karşılıklı Kimlik Doğrulama

Sır Yönetimi ve Yazılım Tedarik Zinciri

Güvenli Geliştirme Yaşam Döngüsü

Güvenlik Testi Otomasyonu

Çalışma Zamanı Savunması ve İzleme

Uygulama Güvenliği Vakası ve Kapanış

Eğitim Kazanımları

Kimler İçin Uygundur?

Sıkça Sorulan Sorular

Sertifikalandırma

Eğitim Bilgileri

Bu Eğitimle Birlikte Tercih Edilenler

Defending Web Applications Security Essentials (DEV522) Eğitimi

Cloud Native Security and DevSecOps Automation (SEC540) Eğitimi

GenAI and LLM Application Security (SEC545) Eğitimi

Cloud Security Tactical Defense (SEC502) Eğitimi

AI Security Principles and Practices: GenAI and LLM Defense (SEC411) Eğitimi

Cloud Native Security and DevSecOps Automation (DEV540) Eğitimi