Kısaca
Penetor Güvenli Yazılım Geliştirme Eğitimi; Secure SDLC, tehdit modelleme, DevSecOps, SAST, DAST, OWASP Top 10 ve güvenli kodlama prensiplerini Burp Suite, OWASP ZAP ve SonarQube ile uygulamalı olarak öğreten, kuruma özel uyarlanabilen 2–5 günlük bir programdır.
Bu eğitim, yazılım ekiplerinin güvenliği bir “sonradan eklenen katman” değil, sürecin doğal bir parçası haline getirmesini sağlar.
Eğitimin Amacı
Bu eğitimin amacı:
- Yazılım geliştirme süreçlerinde güvenlik açıklarını en baştan önlemek
- DevSecOps yaklaşımını kurumlara entegre etmek
- Eğitim, teorik bilgilerin yanı sıra, gerçek dünya senaryolarına dayalı pratik uygulamalar ve güncel güvenlik araçlarıyla gözlemlemek ve kapatma yöntemleri anlamak
- Güvenli kod yazma becerisi kazandırmak
- SAST, DAST, SCA gibi modern güvenlik test araçlarını etkin kullanmak
Kimler Katılmalı?
Bu eğitim özellikle şu profiller için tasarlanmıştır:
- Yazılım geliştiriciler (Backend, Frontend, Full-stack)
- DevOps / DevSecOps mühendisleri
- Siber güvenlik uzmanları ve pentesterlar
- Yazılım mimarları ve teknik liderler
- BT güvenlik ekipleri
Eğitim İçeriği
1. Uygulama Güvenliği Temelleri (Application Security)
- Uygulama katmanına yönelik tehditler
- Güvenlik açıklarının yaşam döngüsü
- Modern saldırı teknikleri
- Gerçek vaka analizleri
2. Güvenli Yazılım Geliştirme (Secure SDLC)
- Secure SDLC nedir?
- Güvenli yazılım geliştirme yaşam döngüsü
- Güvenlik gereksinimleri ve risk analizi
- Threat Modeling (Tehdit modelleme)
3. DevSecOps Yaklaşımı
- DevOps vs DevSecOps farkı
- CI/CD pipeline’larına güvenlik entegrasyonu
- Shift-left security yaklaşımı
- Otomasyon ve güvenlik araçları
4. SAST (Statik Uygulama Güvenliği Testi)
- SAST nedir, nasıl çalışır?
- Kaynak kod analizi teknikleri
- False positive / false negative yönetimi
- Popüler araçlar ve kullanım senaryoları
5. DAST (Dinamik Uygulama Güvenliği Testi)
- DAST nedir?
- Canlı uygulama üzerinde güvenlik testleri
- API ve web uygulama testleri
- Otomatik güvenlik tarama araçları
6. OWASP Top 10 Güvenlik Açıkları
- Injection (SQL, Command vs.)
- Broken Authentication
- Sensitive Data Exposure
- Security Misconfiguration
- XSS (Cross-Site Scripting)
- IDOR ve Access Control zafiyetleri
Her bir zafiyet için:
- Teknik açıklama
- Gerçek saldırı senaryosu
- Önleme yöntemleri
- Kod örnekleri
7. Secure Coding (Güvenli Kodlama Prensipleri)
- Input validation ve sanitization
- Çıktı Kodlama (Output Encoding)
- Parametreli Sorgular (Parameterized Queries)
- Güvenli kimlik doğrulama ve yetkilendirme
- Session yönetimi
- Hata yönetimi ve logging
- Kriptografi kullanımı
- Savunma Derinliği (Defense in Depth)
8. Uygulamalı Senaryolar & Pentest Perspektifi
- Gerçek saldırı simülasyonları
- Burp Suite ile uygulama analizi
- Güvenlik açıklarının exploit edilmesi
- Fix & retest süreçleri
9. Yeni Nesil DevSecOps Araçları ve Trendler
- AI Destekli Güvenlik Araçları
- Platform Konsolidasyonu ve Otomasyon
- IaC (Infrastructure as Code) Güvenliği
- Bulut Yerel Güvenlik (CNAPP)
- Vault Yönetimi
Kullanılan Araçlar
Eğitim boyunca aşağıdaki araçlar üzerinde uygulamalar yapılır:
- Burp Suite
- OWASP ZAP
- SonarQube
- SAST/DAST araçları
- API güvenlik test araçları
Eğitim Kazanımları
Eğitim sonunda katılımcılar:
- Güvenli kod yazma becerisi kazanır
- Yazılım geliştirme sürecinde güvenliği entegre eder
- OWASP Top 10 zafiyetlerini tanır ve önler
- SAST ve DAST araçlarını etkin kullanır
- DevSecOps kültürünü uygulayabilir hale gelir
Neden Bu Eğitim?
- Gerçek hayat senaryolarına dayalı içerik
- Teorik değil, uygulamalı eğitim yaklaşımı
- Pentest bakış açısı ile hazırlanmış modüller
- Kurumsal ihtiyaçlara uygun yapı
- Güncel tehditlere karşı pratik çözümler
Eğitim Formatı
- Online / Sınıf içi seçenekler
- 2 – 5 gün arası esnek program
- Uygulamalı laboratuvar ortamı
- Kuruma özel içerik uyarlama