Oturum ve Risk Yönetimi Eğitimi

Eğitim Hakkında

Web uygulamalarında oturum yönetimi ile güvenlik riskinin birlikte ele alınması

Session & Risk Management Eğitimi, web ve mobil uygulamalarda oturum yönetiminin güvenliğini ve bu oturumlara ilişkin riskin yönetimini birlikte ele alır. Program durumsuz HTTP üzerinde oturum kavramını, oturum kimliği üretimi ve çerez güvenliğini, oturum çalma, sabitleme ve CSRF gibi saldırıları ve korunmalarını; OWASP ASVS gereksinimlerini; tehdit modelleme ile oturum riski değerlendirmesini ve ölçeklenebilir, güvenli oturum mimarisini uygulamalı öğretir.

Süre ve Format

3 Gün. Her gün dört modül; çerez güvenliği yapılandırması, oturum saldırısı denemesi ve oturum riski değerlendirmesi atölyeleriyle uygulamalı işlenir.

Seviye

Orta Seviye — Web uygulamalarında oturum güvenliği ve risk yönetimi programı

Öğrenme Metodu

Örnek bir uygulamada oturum mekanizması incelenir, saldırılar denenir, açıklar risk olarak kaydedilir ve giderilip yeniden test edilir.

Neden Bu Eğitim?

🔐Kırık kimlik doğrulama

Oturum ve kimlik doğrulama hataları en yaygın açıkların başında gelir; bunları tasarımda kapatarak hesap ele geçirmeyi engellersiniz.

🧪Saldırıyı görerek öğrenme

Oturum çalma, sabitleme ve CSRF'i güvenli bir ortamda deneyip görerek korumaları ezberden değil mekanizmayı anlayarak uygularsınız.

📏Risk temelli öncelik

Oturum açıklarını tehdit modelleme ve risk puanlamayla sıralayarak kısıtlı zamanı en yüksek etkili düzeltmelere yönlendirirsiniz.

Anahtar Konular

oturum yönetimi güvenliği eğitimisession management eğitimiweb uygulama güvenliği eğitimicsrf eğitimioturum çalmaowasp eğitimiçerez güvenliğitehdit modelleme eğitimioturum riski değerlendirmekimlik doğrulama güvenliği

“Bir oturum, kullanıcının kimliğine açılan kapıdır; onu nasıl açtığınız kadar ne zaman ve nasıl kapattığınız da güvenliği belirler.”

Ön Koşullar

Programdan en iyi verimi almak için gereken temel bilgi ve bağlam

1

Web temeli

HTTP, istek-yanıt ve çerez kavramlarına temel aşinalık, oturum yönetimi modüllerini izlemenizi kolaylaştırır.

2

Yazılım deneyimi

Bir web ya da backend uygulamasıyla çalışmış olmak, oturum mekanizması ve saldırı atölyelerinden yararlanmanızı sağlar.

3

Güvenlik farkındalığı

Temel uygulama güvenliği ve OWASP kavramlarına genel farkındalık, risk modüllerini bağlamına oturtmanızı sağlar.

4

Test ortamı

Tarayıcı geliştirici araçları ve basit bir istek aracına (ör. proxy) erişim, uygulamalı denemeler için yeterlidir.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcı durumsuz HTTP üzerinde oturumun nasıl kurulduğunu kavrar, oturum kimliği üretimi ile çerez güvenliğini uygular ve oturum yaşam döngüsünü tasarlar.

Modül 1

HTTP ve Durum Yönetimi

Durumsuz (stateless) HTTP ve oturum ihtiyacı
Çerez tabanlı oturum mekanizması
Sunucu tarafı ve istemci tarafı oturum
Oturum ile kimlik doğrulama ilişkisi
Oturum verisinin nerede tutulacağı kararı
Oturum kavramının uçtan uca akışı

Modül 2

Oturum Kimlikleri ve Token

Oturum kimliği (session ID) üretimi
Yeterli entropi ve güvenli rastgelelik
Tahmin edilebilir kimliklerin riski
JWT ile çerez tabanlı oturum karşılaştırması
Token saklama yeri (cookie vs storage) kararı
Token yapısı ve imzalama temelleri

Modül 3

Çerez (Cookie) Güvenliği

Secure bayrağı ile yalnız HTTPS taşıma
HttpOnly ile script erişimini engelleme
SameSite (Lax/Strict/None) davranışı
Çerez kapsamı (domain/path) belirlenmesi
Çerez ön ekleri (__Host-, __Secure-)
Çerez süresi ve kalıcılık kararları

Modül 4

Oturum Yaşam Döngüsü

Oturumun kimlik doğrulamada oluşturulması
Atıl (idle) ve mutlak (absolute) zaman aşımı
Oturum yenileme ve kimlik tazeleme
Çıkışta (logout) oturumun geçersiz kılınması
Eşzamanlı oturum (concurrent session) yönetimi
Oturum sabitleme riskine karşı yenileme

Günün hedefiKatılımcı oturum çalma, sabitleme ve CSRF saldırılarını güvenli ortamda inceler, korunmalarını uygular, OWASP gereksinimlerini ve kimlik doğrulamayla ilişkiyi öğrenir.

Modül 1

Oturum Çalma ve Sabitleme

Oturum çalma (hijacking) senaryoları
Oturum sabitleme (fixation) saldırısı
XSS üzerinden token ele geçirme
Araya girme (MITM) ve ağ dinleme riski
Girişte oturum kimliğinin yeniden üretilmesi
Oturum çalmaya karşı bağlama (binding)

Modül 2

CSRF ve SameSite Savunması

CSRF (siteler arası istek sahteciliği) mekaniği
Anti-CSRF token üretimi ve doğrulaması
SameSite çerez ile CSRF savunması
Çift gönderim (double-submit) deseni
Durum değiştiren isteklerin korunması
Referer ve Origin başlığı doğrulaması

Modül 3

OWASP ve Oturum Testleri

OWASP Top 10 kırık kimlik doğrulama
OWASP ASVS oturum yönetimi gereksinimleri
WSTG ile oturum testi senaryoları
Oturum kimliği analizinin yapılması
Zaman aşımı ve çıkış davranışı testi
Bulguların açık (finding) olarak raporlanması

Modül 4

Kimlik Doğrulama ile İlişki

Çok faktörlü kimlik doğrulama (MFA) ve oturum
OAuth/SSO oturum ve token akışı
Yenileme (refresh) ve erişim token'ı
Token iptali (revocation) ve kara liste
Hassas işlemde yükseltilmiş (step-up) doğrulama
Oturumun kimliğe güvenli bağlanması

Günün hedefiKatılımcı oturum akışları için tehdit modelleme ile risk değerlendirir, anomali tespiti kurar, ölçeklenebilir güvenli oturum mimarisi tasarlar ve bir denetim vakası yürütür.

Modül 1

Oturum Riski Değerlendirmesi

Oturum akışları için tehdit modelleme
STRIDE ile tehdit kategorilendirme
Saldırı yüzeyi ve kötüye kullanım senaryoları
Oturum açıklarının risk puanlanması
Olasılık ve etkiye göre önceliklendirme
Risklerin kayıt altına alınması

Modül 2

İzleme ve Anomali Tespiti

Eşzamanlı ve coğrafi oturum anomalisi
Oturum olaylarının günlüklenmesi (logging)
SIEM ile merkezi oturum izleme
Hız sınırlama (rate limiting) ile kötüye kullanım
Hesap ele geçirme (ATO) tespiti
Şüpheli oturumda otomatik yanıt

Modül 3

Güvenli Oturum Mimarisi

Merkezi oturum deposu (ör. Redis) tasarımı
Dağıtık oturum ve durum paylaşımı
Yük dengeleyici ve oturum yapışkanlığı
Ölçekte oturum geçersiz kılma stratejisi
Token imzalama ve anahtar yönetimi
Mimari kararların risk ile dengelenmesi

Modül 4

Vaka: Oturum Güvenliği Denetimi

Örnek uygulamanın oturum mekanizmasının incelenmesi
Açıkların ve zayıflıkların bulunması
Bulguların risk kaydına işlenmesi
Düzeltme (remediation) planının hazırlanması
Belirlenen düzeltmelerin uygulanması
Yeniden test ve kapanış doğrulaması

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

Oturum temeli

Durumsuz HTTP üzerinde oturumun nasıl kurulduğunu kavrar, sunucu ve istemci tarafı oturum arasında bilinçli seçim yaparsınız.

✅

Güvenli oturum kimliği

Yeterli entropili oturum kimliği üretimini, token saklama kararını ve tahmin edilebilirlik riskini değerlendirirsiniz.

✅

Çerez sertleştirme

Secure, HttpOnly ve SameSite bayraklarını, çerez kapsamını ve ön eklerini doğru yapılandırarak çerezleri sertleştirirsiniz.

✅

Saldırı ve korunma

Oturum çalma, sabitleme ve CSRF saldırılarını tanır, kimlik yenileme ve anti-CSRF token ile korunmaları uygularsınız.

✅

OWASP uyumu

OWASP Top 10 kırık kimlik doğrulama ve ASVS oturum gereksinimlerini kavrar, WSTG ile oturum testlerini yürütürsünüz.

✅

Oturum riski analizi

Oturum akışları için STRIDE ile tehdit modeller, açıkları risk puanlar ve önceliklendirip kayda alırsınız.

✅

İzleme ve tespit

Eşzamanlı/coğrafi anomaliyi, günlükleme ve SIEM ile izlemeyi, hız sınırlama ve hesap ele geçirme tespitini kurarsınız.

✅

Güvenli mimari

Merkezi/dağıtık oturum deposu, ölçekte geçersiz kılma ve anahtar yönetimiyle güvenli ve ölçeklenebilir bir oturum mimarisi tasarlarsınız.

Kimler İçin Uygundur?

Web ve backend geliştiriciler
uygulama güvenliği uzmanları
DevSecOps mühendisleri
sızma testi uzmanları
oturum ve kimlik doğrulama tasarımından sorumlu yazılımcılar için uygundur

Sıkça Sorulan Sorular

Bu eğitim teknik bir güvenlik eğitimi mi?

Evet. Diğer risk programlarından farklı olarak bu eğitim web ve mobil uygulamalarda oturum güvenliğinin teknik tarafına odaklanır: oturum kimliği, çerez bayrakları, oturum çalma ve CSRF gibi saldırılar ve korunmaları. Risk yönetimi burada bu açıkların tehdit modelleme ve puanlamayla önceliklendirilmesi anlamında ele alınır.

Katılmak için kod yazabilmek şart mı?

İleri düzey yazılım geliştirme şart değildir ancak web uygulamalarıyla temel deneyim beklenir. Modüller HTTP, çerez ve istek akışı üzerinden ilerler; atölyelerde tarayıcı geliştirici araçları ve basit bir istek/proxy aracı kullanılır. Geliştiriciler konuları doğrudan kendi kodlarına taşıyabilir.

Bu eğitime kimler katılmalı?

Web ve backend geliştiriciler, uygulama güvenliği uzmanları, DevSecOps mühendisleri, sızma testi uzmanları ile oturum ve kimlik doğrulama tasarımından sorumlu yazılımcılar katılmalıdır. Hesap güvenliğinin ve oturum yönetiminin sağlamlığından sorumlu olan herkes yararlanır.

Saldırılar gerçek sistemler üzerinde mi denenir?

Hayır. Oturum çalma, sabitleme ve CSRF gibi saldırılar yalnızca izole, eğitim amaçlı güvenli bir test ortamında, kendi örnek uygulamanız üzerinde denenir. Amaç korunmaları mekanizmayı görerek öğrenmektir. Gerçek ya da üçüncü taraf sistemlere yönelik izinsiz test eğitim kapsamı dışındadır.

Eğitim sonunda sertifika veriliyor mu?

Programı tamamlayan katılımcılar Digital Vizyon Akademi Katılım ve Başarı Sertifikası alır. Belge tamamlanan modülleri ve uygulamalı oturum güvenliği atölyelerini kayıt altına alır; kurumsal gruplara özel olarak kendi uygulama yığınınıza uyarlanabilir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika