Application Security for Developers Eğitimi

En yaygın uygulama güvenlik açıklarını ve bu sorunlardan kaçınan güvenli uygulamaların nasıl oluşturulacağını kapsayan 2 günlük uygulamalı AppSec eğitimi. SDLC'nin sonunda güvenlik açıklarını bulmak, kodun yazılma biçiminde temel değişiklikleri etkilemek için genellikle çok geçtir ve birçok güvenlik sorunu en baştan önlenebilir.

Bu eğitim, geliştiricilerin güvenli bir şekilde kodlamasına ve geliştirme döngüsüne güvenliği dahil etmesine yardımcı olabilecek kalem testçilerine dönüşen geliştiriciler tarafından yazılmıştır. Bu eğitim boyunca, geliştiriciler güvenlik uzmanlarıyla aynı sayfada olabilecek, kodda istismar edilebilir güvenlik açıklarının nasıl oluşturulduğunu anlayabilecek, güvenlik açıklarını nasıl düzelteceklerini veya azaltacaklarını öğrenebilecek ve bazı gerçek dünya ihlallerinin ardındaki temel nedenleri öğrenebilecekler. Facebook, Google, Shopify, Paypal, Twitter vb. gibi popüler web sitelerinden çeşitli hata ödülü vaka çalışmaları, SSRF, XXE, SQL Enjeksiyonu, Kimlik Doğrulama sorunları vb. gibi uygulama güvenlik açıklarının finansal sonuçlarını açıklayarak tartışılacaktır.

Bu eğitimde tartışılan teknikler geneldir ve herhangi bir dil geçmişine sahip geliştiriciler, öğrenilen bilgileri kendi ortamlarında kolayca kavrayabilir ve uygulayabilirler. Sınıfta, .NET, Java ve NodeJS atölye örneklerinde kullanılır, çünkü bu aralık çok çeşitli uygulamalarda kullanılabilecek dersler sağlar.

Katılımcılar ayrıca, gerçek dünya uygulamalarından türetilen kod parçacıklarındaki güvenlik açıklarını belirlemeleri için zorlandıkları bir 'bayrağı yakala' egzersizine de katılacaklar.

• Daha güvenli kodlamayı öğrenin ve daha güvenli uygulamalar oluşturun.
• SDLC sürecinde güvenlik açıklarını çok daha erken tespit edin ve düzeltin, zamandan ve emekten tasarruf edin.
• OWASP'nin en yaygın 10 uygulama açığını pratik gösterimler ve daha derin içgörülerle anlayın.
• Farklı açıkların finansal ve daha geniş kapsamlı etkilerini anlayın.
• Açıkları tartışırken güvenlik ekibiyle aynı sayfada olun.

Uygulama Güvenliği Temelleri

• Uygulama Güvenliğine neden ihtiyacımız var?
• OWASP TOP 10'u Anlamak

HTTP Protokolünü Anlamak

• HTTP/HTTPS protokolünü anlamak
  • Laboratuvar: Burpsuite'i HTTP/HTTPS trafiğini engelleyecek şekilde yapılandırma
• İstekleri ve Yanıtları Anlamak
  • Laboratuvar: HTTP başlıklarını düzenleme
  • Demo: Ana Bilgisayar Başlık Enjeksiyonu
  • Azaltma Teknikleri
• Saldırı Yüzeyi algılama

Güvenlik Yanlış Yapılandırmaları

• Web Uygulamalarındaki Yaygın Yanlış Yapılandırmalar
• Hassas Bilgi Açığa Çıkması ve Bundan Nasıl Kaçınılır
• Bilinen Güvenlik Açıklarına Sahip Yazılımları Kullanma
  • Demo: Struts2 RCE

Yetersiz Günlük Kaydı ve İzleme

• Günlük Kaydı Türleri
• F-ELK'ye Giriş

Kimlik Doğrulama Kusurları

• Parola Karmaşıklığı
  • Laboratuvar: Burpsuite Intruder Kullanarak Kaba Kuvvet
• Otomasyon Karşıtı Teknikler
  • Kaba kuvvet saldırılarını azaltma
• Parola Depolama
  • Kriptografi Üzerine Kısa Eğitim
  • HashiCorp Vault'a Giriş
• Parola Kurtarma – En İyi Uygulamalar
• NoSQL Güvenliği
  • Laboratuvar: NoSQL Kimlik Doğrulamasını Atlatma
  • NoSQL Enjeksiyonlarını Azaltma
• WebAuthn'ı Anlama – Parolasız Kimlik Doğrulama Çerçevesi

Yetkilendirme Baypas Teknikleri

• Parametre Manipülasyonu
  • Yaygın Tuzaklar ve Azaltma Yöntemleri
• API Kimlik Doğrulaması – JWT
  • JWT'ye Giriş
  • Laboratuvar: JWT belirteçlerini kırma
  • Yaygın JWT Saldırıları
  • JWT Saldırılarını Azaltma
• SSO Kimlik Doğrulaması – OAuth
  • OAuth'a Giriş
  • OAuth Akışı
  • Laboratuvar: OAuth'u Baypas Etme
  • Yaygın OAuth Saldırıları
  • OAuth Saldırılarını Azaltma
• RBAC Baypasları ve azaltma yöntemleri
• Toplu Atama Güvenlik Açığı
  • Toplu Atama/Otomatik Bağlamayı Anlama
  • Laboratuvar: Toplu Atama'yı Kullanma
  • Toplu Atama güvenlik açığını azaltma
• Güvensiz Doğrudan Nesne Referansları (IDOR)
  • IDOR'ları Azaltma
• Yerel Dosya Dahil Etme (LFI)
  • Laboratuvar: Dahili dosyaları indirme
  • LFI'yi Azaltma

Siteler Arası Komut Dosyası (XSS)

• Anlama XSS
• Yansıyan XSS
  • Laboratuvar: Yansıyan XSS'i İstismar Etme
  • Demo: Oturum Kaçırma
• Depolanmış XSS
  • Laboratuvar: Depolanmış XSS'i İstismar Etme
• XSS'i Nasıl Azaltmazsınız
  • Laboratuvar: XSS Savunmalarındaki Tuzaklar
• XSS'i Azaltma

Siteler Arası İstek Sahteciliği Komut Dosyası Yazma

• CSRF'yi Anlama
  • Laboratuvar: CSRF'yi İstismar Etme
• CSRF'yi Azaltma

Sunucu Tarafı İstek Sahteciliği (SSRF)

• SSRF'yi Anlama
  • Laboratuvar: SSRF'yi İstismar Etme
  • Bulutta SSRF
• SSRF'yi Azaltma

SQL Enjeksiyonu

• SQL Enjeksiyonunu Anlama
  • Laboratuvar: Hata Tabanlı SQL Enjeksiyonu
  • Laboratuvar: Kör SQL Enjeksiyonu
• SQL Enjeksiyonunu Azaltma
• ORM Çerçeveleri

XML Harici Varlık (XXE) Saldırıları

• XML Varlıklarını Anlama
• XXE Güvenlik Açığını Anlama
  • Laboratuvar: XXE Güvenlik Açığını Kullanma
• XXE'yi Azaltma

Sınırsız Dosya Yüklemeleri

• Dosya Yükleme işlevi
  • Laboratuvar: Web kabuklarını yükleme
• Dosya yükleme güvenlik açığını azaltma

Serileştirmeden Çıkarma Güvenlik Açıkları

• Serileştirme Nedir?
• PHP Nesne Serileştirme
  • Demo: PHP Nesne Serileştirmeden Çıkarma
  • Laboratuvar: PHP Serileştirmeden Çıkarma
• Java Nesne Serileştirme
  • Demo: Java İkili Serileştirmeden Çıkarma
  • Diğer Java Serileştirmeden Çıkarma
• Serileştirmeden çıkarma işlevlerini algılama
• Serileştirmeden çıkarma güvenlik açıkları için azaltma

İstemci Tarafı Güvenlik Endişeleri

• Aynı Köken Politikasını Anlama
• CORS'u (Çapraz Köken Kaynak Paylaşımı) Anlama
  • Demo: CORS
  • Aşırı CORS
• Taşıma Katmanı Koruması: HSTS
• Çerezleri Güvence Altına Alma
• Iframe Güvenliği
  • Demo: Tıklama
• İçerik Güvenlik Politikası
• Yönlendiren Politikası

Kaynak Kodu İncelemesi

• Manuel Kod İncelemesi
  • SQL Enjeksiyonu
  • Güvenlik açığı olan kütüphaneleri belirleme
  • Yetkilendirme Kusurlarını belirleme
  • Günlük Enjeksiyonları
  • Dosya İşleme
  • Güvenli Olmayan Kriptografi
• Otomatik Kod İncelemesi
  • Demo: FindSecBugs/CAT.NET
• Güvenli Kod İncelemesi CTF

DevSecOps

• DevSecOps - Ne, Neden ve Nasıl?
• DevSecOps Örnek Uygulaması