Kaynak Kod Analizi Eğitimi

Bu eğitim, yalnızca teorik bilgileri aktarmakla kalmaz; sizi sektörde aranan bir uzman haline getirecek pratik becerilerle donatmayı hedefler. Siz de bu kapsamlı yolculuğa katılarak, güvenli yazılım geliştirmenin temellerini öğrenebilir ve kurumunuzun siber savunmasında kilit bir rol üstlenebilirsiniz.

Eğitim İçeriği

1. Uygulama Güvenliğine Giriş

• Application Security (AppSec) temelleri
• Güvenlik zafiyetlerinin yazılım yaşam döngüsündeki yeri
• OWASP Top 10’a Genel Bakış (OWASP Referansı)
• Eğitim İçeriğinin Genel Yapısı
• Kariyer ve Yetkinlik Gelişimi Katkıları

2. Güvenli Yazılım Geliştirme (Secure SDLC)

• Secure SDLC Nedir? Temel Kavramlar
• Yazılım Geliştirme Yaşam Döngüsünde Güvenliğin Rolü
• Shift Left Güvenlik Yaklaşımı
• Gereksinim Analizinde Güvenlik (Security Requirements)
• Güvenli Tasarım Prensipleri (Secure Design Principles)
• Tehdit Modelleme (Threat Modeling)
• Güvenli Mimari Tasarımı
• Geliştirme Aşamasında Güvenlik Kontrolleri
• Güvenli Kodlama Standartları (Secure Coding Standards)
• Kod İnceleme (Secure Code Review) Süreçleri
• Statik Uygulama Güvenlik Testi (SAST) Entegrasyonu
• Dinamik Uygulama Güvenlik Testi (DAST) Entegrasyonu
• Bağımlılık ve Kütüphane Güvenliği (Dependency Security)
• CI/CD Pipeline’da Güvenlik Entegrasyonu
• DevSecOps ile Secure SDLC Entegrasyonu
• Güvenlik Test Otomasyonu
• Güvenlik Açığı Yönetimi (Vulnerability Management)
• Güvenlik Bulgularının Sınıflandırılması ve Önceliklendirme
• Güvenli Deployment ve Release Süreçleri
• Üretim Ortamı Güvenliği (Production Security)
• Loglama ve İzleme (Security Monitoring)
• Incident Response Entegrasyonu
• Secure SDLC Best Practices
• OWASP Secure SDLC Rehberi ve Standartlar

3. DevSecOps Yaklaşımı

• DevSecOps Nedir? Temel Kavramlar
• DevOps ve DevSecOps Arasındaki Farklar
• “Security as Code” Yaklaşımı
• Shift Left ve Shift Right Güvenlik Stratejileri
• DevSecOps Yaşam Döngüsü
• CI/CD Pipeline’da Güvenlik Entegrasyonu
• Otomatik Güvenlik Testleri (SAST, DAST, SCA)
• Infrastructure as Code (IaC) Güvenliği
• Container Güvenliği (Docker, Kubernetes)
• Secrets Management ve Anahtar Yönetimi
• Kod Deposu Güvenliği (Git Security)
• Bağımlılık Güvenliği (Dependency Scanning)
• Runtime Application Self-Protection (RASP)
• Güvenlik Otomasyonu ve Orkestrasyon
• Vulnerability Management ve Patch Süreçleri
• Güvenlik Politikalarının CI/CD’ye Entegrasyonu
• Loglama, İzleme ve SIEM Entegrasyonu
• Threat Intelligence Kullanımı
• Güvenlik Testlerinin Otomasyonu
• DevSecOps’ta Rol ve Sorumluluklar
• Güvenli Deployment Stratejileri
• Compliance ve Regülasyon Uyum Süreçleri
• DevSecOps Araç Ekosistemi
• Best Practices ve Olgunluk Modelleri

4. Kaynak Kod Analizi (SAST)

• SAST (Static Application Security Testing) Nedir?
• Statik Kod Analizinin Temel Prensipleri
• SAST ile DAST Arasındaki Farklar
• SAST’in Yazılım Geliştirme Yaşam Döngüsündeki Yeri
• Shift Left Yaklaşımı ve SAST Entegrasyonu
• SAST Araçlarının Çalışma Mantığı
• Kaynak Kod Analizinde Tespit Edilen Zafiyet Türleri
• SQL Injection ve SAST Tespiti
• Cross-Site Scripting (XSS) Analizi
• Hardcoded Credentials ve Secret Detection
• Güvenli Kodlama İhlallerinin Tespiti
• False Positive ve False Negative Yönetimi
• SAST Konfigürasyonu ve Rule Set Yapısı
• CI/CD Pipeline’da SAST Entegrasyonu
• IDE İçinde Statik Analiz Kullanımı
• Açık Kaynak ve Ticari SAST Araçları
• Kod Kalitesi ve Güvenlik İlişkisi
• Risk Skorlama ve Bulguların Önceliklendirilmesi
• SAST Raporlama ve Düzeltme Süreçleri
• Geliştirici Odaklı Güvenlik Geri Bildirimi
• SAST Best Practices
• OWASP ve SAST Uyum Yaklaşımı

5. Dinamik Kod Analizi (DAST)

• DAST (Dynamic Application Security Testing) Nedir?
• Dinamik Kod Analizinin Temel Prensipleri
• DAST ile SAST Arasındaki Farklar
• Çalışan Uygulama Üzerinde Güvenlik Testi Yaklaşımı
• Black Box Testing Mantığı ve DAST
• DAST Araçlarının Çalışma Mantığı
• Web Uygulaması Saldırı Yüzeyi Analizi
• SQL Injection Tespiti (DAST Perspektifi)
• Cross-Site Scripting (XSS) Testleri
• Authentication ve Session Güvenlik Testleri
• Authorization (Yetkilendirme) Test Senaryoları
• Input Validation Zafiyetlerinin Tespiti
• API Güvenlik Testleri (REST / GraphQL)
• Otomatik Tarama ve Manual Test Yaklaşımı
• DAST Tarama Konfigürasyonu ve Scope Yönetimi
• CI/CD Pipeline’da DAST Entegrasyonu
• False Positive Analizi ve Doğrulama Süreci
• Risk Skorlama ve Güvenlik Bulgularının Önceliklendirilmesi
• DAST Raporlama ve Remediation Süreci
• Staging ve Production Ortamında DAST Kullanımı
• Güvenlik Testlerinde Rate Limit ve Etki Yönetimi
• OWASP Top 10 ve DAST Uyumluluğu
• DAST Best Practices

6. Güvenli Kodlama Prensipleri

• Güvenli Kodlama Nedir? Temel Kavramlar
• Güvenli Kodlama Standartlarının Önemi
• OWASP Secure Coding Guidelines
• Input Validation (Girdi Doğrulama) Prensipleri
• Output Encoding ve Escaping
• Authentication Güvenliği
• Authorization ve Access Control Prensipleri
• Session Management Güvenliği
• Error Handling ve Exception Yönetimi
• Secure Logging Prensipleri
• Cryptography Kullanımında Güvenli Yaklaşımlar
• Hardcoded Credentials Riskleri
• SQL Injection’a Karşı Güvenli Kodlama
• XSS (Cross-Site Scripting) Önleme Teknikleri
• CSRF (Cross-Site Request Forgery) Koruma Yöntemleri
• Secure API Development Prensipleri
• File Upload Güvenliği
• Memory ve Resource Management Güvenliği
• Dependency ve Third-Party Library Güvenliği
• Least Privilege Prensibi
• Secure Default Configuration
• Code Review ile Güvenlik Kontrolü
• Static ve Dynamic Analysis ile Uyum
• Güvenli Kodlama Best Practices
• Insecure Deserialization

8. Penetrasyon Testi Perspektifi

• Pentest Süreci ve Metodoloji
• Bilgi Toplama (Reconnaissance) Aşaması
• Saldırı Yüzeyi Analizi
• Zafiyet Tespiti ve Analizi
• Exploitation (Sömürü) Aşaması
• Yetki Yükseltme (Privilege Escalation) Teknikleri
• Web Uygulama Pentest Yaklaşımı
• API Güvenlik Testleri
• Pentest Araçları ve Framework’ler
• Red Team ve Penetrasyon Testi Farkları

9. Araçlar ve Pratik Uygulamalar

• SAST araçları (örnek senaryolar)
• DAST araçları (örnek senaryolar)
• CI/CD pipeline entegrasyonu
• SCA (Software Composition Analysis) Araçları
• Penetrasyon Test Araçları (Pentest Toolkit)
• Burp Suite ile Web Güvenlik Testleri
• OWASP ZAP Kullanımı ve Senaryoları
• Nmap ile Ağ Keşfi ve Tarama
• Metasploit Framework ile Exploitation
• Nikto ile Web Sunucu Analizi
• SQLmap ile SQL Injection Testleri
• Wireshark ile Trafik Analizi
• GitHub Security Tools ve CI/CD Entegrasyonu
• DevSecOps Araç Zinciri (Toolchain)
• CI/CD Pipeline’da Güvenlik Araçları Entegrasyonu
• Otomatik Güvenlik Tarama Senaryoları
• Log Analizi ve SIEM Araçları
• Container Security Araçları (Docker/Kubernetes)
• Cloud Security Araçları (AWS, Azure, GCP)
• Vulnerability Scanner Kullanımı (Nessus vb.)
• Pratik Test Ortamı Kurulumu (Lab Environment)
• Gerçek Senaryolar Üzerinde Uygulamalı Testler

10. Raporlama ve Risk Yönetimi

• Güvenlik bulgularının sınıflandırılması
• CVSS skorlaması
• Güvenlik Açığı Doğrulama (Proof of Concept)
• Teknik raporlama ve aksiyon planı
• Raporlama ve Bulguların Sınıflandırılması
• Risk Değerlendirme ve Etki Analizi
• Sürekli Güvenlik Testi Yaklaşımı
• Remediation (Düzeltme) Önerileri
• Retest ve Doğrulama Süreci

Bu Eğitim Sizin İçin Uygun mu?

Bu eğitim, yazılım dünyasında güvenliğe odaklanmak isteyen geniş bir kitle için tasarlanmıştır:

• Yazılım Geliştiriciler: Kod yazarken güvenlik açıklarını anında tespit etmek ve gidermek isteyen tüm geliştiriciler.
• DevOps ve DevSecOps Mühendisleri: Güvenliği CI/CD (Sürekli Entegrasyon/Sürekli Teslimat) süreçlerine entegre ederek otomatikleştirmeyi hedefleyen profesyoneller.
• Güvenlik Uzmanları ve Test Mühendisleri: Penetrasyon testlerinin ötesine geçerek, açıkların kök nedenine kod seviyesinde inmek isteyenler.
• Siber Güvenlik Analistleri ve Sistem Yöneticileri: Uygulama güvenliği konusunda derinlemesine bilgi sahibi olmak isteyen BT profesyonelleri.
• Bilgi Güvenliği ve Risk Yönetimi Uzmanları: Kurumlarının yazılım güvenlik risklerini proaktif olarak yönetmek isteyenler.
• Teknik Yöneticiler ve Yazılım Mimarileri: Güvenli yazılım geliştirme yaşam döngüsünü ekiplerine başarıyla adapte etmek isteyen liderler.

Neler Öğreneceksiniz?

Eğitimimiz, yazılım güvenliğinin en güncel ve etkili yöntemlerini uygulamalı bir şekilde ele alır. Program boyunca aşağıdaki kritik başlıklarda uzmanlık kazanacaksınız:

• Statik Kod Analizi (SAST) Uygulamaları: Beyaz kutu testi yaklaşımıyla, uygulamanızın kaynak kodunu çalıştırmadan analiz ederek güvenlik açıklarını nasıl tespit edeceğinizi öğrenin. Sektörde yaygın kullanılan SAST araçlarını ve kurallarını keşfedin.
• Dinamik Kod Analizi (DAST) Uygulamaları: Siyah kutu testi metodolojisiyle, çalışan bir web uygulamasını dışarıdan bir saldırgan gibi test ederek, çalışma zamanındaki (runtime) güvenlik zafiyetlerini (ör. SQL Injection, XSS) nasıl bulacağınızı uygulamalı olarak deneyimleyin.
• Penetrasyon Testi Temelleri: Sızma testlerinin metodolojilerini öğrenerek, sistemlerinizdeki zafiyetleri saldırganlardan önce tespit etme becerisi kazanın.
• Güvenli Yazılım Geliştirme Yaşam Döngüsü (SDLC): Yazılım projelerinizin tasarım aşamasından canlıya alınmasına kadar geçen tüm süreçlerde güvenliğin nasıl sağlanacağını adım adım öğrenin.
• DevSecOps Prensipleri ve Entegrasyonu: Güvenliği, geliştirme ve operasyon süreçlerinin doğal bir parçası haline getirerek otomatik güvenlik taramalarını CI/CD pipeline'ınıza nasıl dahil edeceğinizi keşfedin.
• Güvenli Kod Analizi Teknikleri: Taint Analysis, Data Flow Analysis ve Control Flow Analysis gibi ileri seviye analiz teknikleri ile kodunuzdaki derinlemesine güvenlik sorunlarını nasıl tespit edeceğinizi öğrenin.
• SAST ve DAST Araçlarının Birlikte Kullanımı: SAST'ın sağladığı erken uyarı mekanizması ile DAST'ın ortaya koyduğu gerçek riskleri birleştirerek, yanlış pozitif sonuçları nasıl azaltacağınızı ve güvenlik süreçlerinizi nasıl optimize edeceğinizi görün.

Öne Çıkan Eğitim Modülleri

• Güvenliğin Temelleri ve Tehdit Modellemesi: Uygulama güvenliğine neden ihtiyaç duyarız? En yaygın güvenlik açıkları nelerdir?
• Statik Uygulama Güvenlik Testi (SAST) - Teori ve Pratik: SAST araçlarının çalışma prensipleri, kurulumu ve yorumlanması.
• Dinamik Uygulama Güvenlik Testi (DAST) - Teori ve Pratik: Web uygulamalarının otomatize DAST araçları ile taranması.
• Manuel Kod İnceleme ve Penetrasyon Testi: Otomatik araçların tespit edemediği, insan zekası gerektiren güvenlik açıklarını bulma sanatı.
• DevSecOps Araç Zinciri Entegrasyonu: SAST, DAST ve diğer güvenlik araçlarını CI/CD ortamlarına (Jenkins, GitLab CI vb.) nasıl entegre edeceğinizi öğrenin.
• Güvenlik Raporlaması ve Zafiyet Yönetimi: Tespit edilen açıkların nasıl raporlanacağı, önceliklendirileceği ve takip edileceği.

Neden Bu Eğitim?

• Sektörde Geçerli ve Aranan Yetkinlikler Kazanın: Bu eğitimle, sadece Türkiye'de değil, global pazarda da aranan bir uygulama güvenliği uzmanı olma yolunda büyük bir adım atacaksınız.
• Uygulamalı Laboratuvar Deneyimi: Eğitim boyunca, gerçek dünya senaryolarını simüle eden, Vagrant ve Ansible gibi modern araçlarla kurulmuş laboratuvar ortamlarında pratik yapacaksınız.
• Teori ve Pratiği Birleştiren Müfredat: Eğitim içeriğimiz, alanında uzman eğitmenler tarafından, en güncel akademik bilgiler ve sektörel ihtiyaçlar harmanlanarak hazırlanmıştır.
• Sertifika İmkanı: Eğitimi başarıyla tamamlayan katılımcılar, profesyonel kariyerlerinde önemli bir referans olacak Katılım Sertifikası almaya hak kazanırlar.