Web Uygulamaları Sızma Testi Eğitimi

Bu eğitimin sonunda, sadece OWASP Top 10 standartlarına bağlı kalmadan; yılların getirdiği saha tecrübesini referans alarak bir web uygulamasını baştan sona profesyonelce test edebilecek, en karmaşık zafiyetleri bile tespit edip raporlayabilecek gerçek bir uzman yetkinliğine ulaşacaksınız.

Eğitimin Farkı: Uygulamalı Laboratuvarlar

Teorik anlatımlardan sıkıldınız mı? Eğitim süresince, özel olarak hazırlanmış "Vulnerable Web Apps" (Zafiyetli Web Uygulamaları) üzerinde canlı hacking operasyonları gerçekleştiriyoruz. Nessus ile tarama yapıp, Burp Suite ile sızmayı ve SQLMap ile veriyi çekmeyi bizzat deneyimleyeceksiniz.

Unutmayın: "Güvenlik, en zayıf halka kadar güçlüdür." Kendi zayıf halkalarınızı başkalarından önce keşfetmek için bu eğitimde yerinizi alın.

Eğitim İçeriği ve Müfredat

Eğitimimiz, temel HTTP protokolünden ileri seviye sömürü (exploit) tekniklerine kadar aşamalı bir öğrenme süreci sunar.

Giriş (Introduction) Başlıkları

• Web Uygulama Güvenliğine Genel Bakış
• Sızma Testi (Pentest) Nedir?
• Neden Web Güvenliği Önemlidir?
• Günümüzde Siber Tehditler ve Riskler
• OWASP Top 10’a Genel Bakış (OWASP Referansı)
• Eğitim İçeriğinin Genel Yapısı
• Kariyer ve Yetkinlik Gelişimi Katkıları

Temel Kavramlar

• Temel Web Teknolojileri (HTTP, HTTPS, Cookies, Sessions)
• Client – Server Yapısı
• HTTP Request / Response Analizi
• Authentication & Session Mantığı
• Pasif ve Aktif Bilgi Toplama(Reconnaissance)
• Subdomain ve Endpoint Keşfi

Güvenli Girdi Kontrolleri Başlıkları

• Girdi Doğrulama (Input Validation) Nedir?
• Güvenli Girdi Kontrollerinin Önemi
• Whitelisting (İzin Verilen Veri Yaklaşımı)
• Blacklisting (Yasaklı Veri Yaklaşımı)
• Sunucu Taraflı Doğrulama (Server-Side Validation)
• İstemci Taraflı Doğrulama (Client-Side Validation)
• Veri Tipi ve Format Kontrolleri
• Uzunluk ve Boyut Sınırlamaları
• Regex (Düzenli İfadeler) ile Girdi Kontrolü
• Encoding ve Decoding Güvenliği
• Output Encoding (Çıktı Kodlama)
• Injection Saldırılarına Karşı Girdi Kontrolleri
• XSS’e Karşı Güvenli Girdi Yönetimi
• SQL Injection Önleme Teknikleri
• Komut Enjeksiyonu (Command Injection) Önleme
• Dosya Yükleme (File Upload) Güvenliği
• JSON / XML Girdi Güvenliği
• API Girdi Doğrulama Kontrolleri
• Parametre Manipülasyonu ve Önleme Yöntemleri
• Hata Mesajları ve Güvenli Geri Bildirim
• Logging ve Monitoring (Girdi Takibi)
• Güvenli Framework ve Kütüphane Kullanımı
• OWASP Best Practices (En İyi Uygulamalar)

Güvenli Kimlik Doğrulama Başlıkları

• Kimlik Doğrulama (Authentication) Nedir?
• Güvenli Kimlik Doğrulamanın Önemi
• Kimlik Doğrulama vs Yetkilendirme (Authentication vs Authorization)
• Parola (Şifre) Güvenliği Temelleri
• Güçlü Parola Politikaları
• Parola Hashleme (Hashing) ve Salt Kullanımı
• Çok Faktörlü Kimlik Doğrulama (MFA)
• Tek Kullanımlık Şifreler (OTP) ve Doğrulama Mekanizmaları
• Biyometrik Kimlik Doğrulama
• Single Sign-On (SSO) ve Federasyon
• OAuth 2.0 ve OpenID Connect Temelleri
• Session Yönetimi ve Güvenliği
• Token Bazlı Kimlik Doğrulama (JWT vb.)
• Brute Force ve Credential Stuffing Saldırılarına Karşı Koruma
• CAPTCHA ve Bot Koruma Mekanizmaları
• Hesap Kilitleme (Account Lockout) Politikaları
• Kimlik Doğrulama Hata Mesajlarının Güvenliği
• Güvenli Şifre Sıfırlama ve Hesap Kurtarma Süreçleri
• Remember Me ve Kalıcı Oturum Güvenliği
• API Kimlik Doğrulama Güvenliği
• Zero Trust ve Kimlik Doğrulama Yaklaşımları
• Kimlik Doğrulama Loglama ve İzleme
• Modern Kimlik Doğrulama Trendleri ve Yaklaşımları

Güvenli Session Yönetimi Başlıkları

• Session (Oturum) Yönetimi Nedir?
• Güvenli Session Yönetiminin Önemi
• Session ID Nedir ve Nasıl Çalışır?
• Güçlü ve Tahmin Edilemez Session ID Üretimi
• Session ID Entropy ve Rastgelelik
• Session ID’nin Güvenli İletimi (HTTPS Kullanımı)
• Cookie Güvenliği (Secure, HttpOnly, SameSite)
• Session Timeout (Oturum Süresi) Politikaları
• Idle Timeout ve Absolute Timeout Kavramları
• Session Yenileme (Session Regeneration)
• Session Fixation Saldırısı ve Önleme Yöntemleri
• Session Hijacking (Oturum Ele Geçirme) ve Korunma
• Cross-Site Request Forgery (CSRF) ve Session İlişkisi
• Token Bazlı Session Yönetimi (JWT vb.)
• Sunucu Taraflı vs İstemci Taraflı Session Yönetimi
• Dağıtık Sistemlerde Session Yönetimi
• Logout (Oturum Sonlandırma) Güvenliği
• Çoklu Oturum (Concurrent Sessions) Yönetimi
• Remember Me Fonksiyonunun Güvenliği
• Session Verilerinin Güvenli Saklanması
• IP / Device Binding (Cihaz Bağlama) Yaklaşımları
• Session Loglama ve İzleme
• Anomali Tespiti ve Oturum Güvenliği

Güvenli Yetkilendirme Başlıkları

• Yetkilendirme (Authorization) Nedir?
• Kimlik Doğrulama vs Yetkilendirme Farkı
• Güvenli Yetkilendirmenin Önemi
• En Az Yetki Prensibi (Least Privilege)
• Rol Tabanlı Erişim Kontrolü (RBAC)
• Yetki Tabanlı Erişim Kontrolü (ABAC)
• Politika Tabanlı Erişim Kontrolü (PBAC)
• Kaynak Bazlı Yetkilendirme
• Fonksiyon Seviyesi Yetkilendirme
• Nesne Seviyesi Yetkilendirme (Object-Level Authorization)
• Broken Access Control Nedir?
• Dikey ve Yatay Yetki İhlalleri
• IDOR (Insecure Direct Object Reference) Zafiyetleri
• URL ve Parametre Manipülasyonuna Karşı Koruma
• API Yetkilendirme Güvenliği
• Mikroservislerde Yetkilendirme
• OAuth 2.0 Yetkilendirme Mekanizmaları
• Access Token ve Scope Yönetimi
• Yetki Kontrollerinde Güvenli Kodlama
• Sunucu Taraflı Yetkilendirme Kontrolleri
• Client-Side Yetkilendirme Riskleri
• Yetki Yükseltme (Privilege Escalation) ve Önleme
• Çok Katmanlı Yetkilendirme (Defense in Depth)
• Loglama ve Yetki Denetimi (Audit Trail)

Bu Eğitim Kimler İçin Uygun?

• Kariyerine Web Uygulamaları Sızma Testi Uzmanı olarak devam etmek isteyenler,
• Yazılım geliştiriciler (Güvenli kodlama prensiplerini saldırgan gözünden öğrenmek isteyen Developer'lar),
• Sistem ve ağ yöneticileri,
• Bilgi güvenliği alanında yeni mezun veya öğrenci arkadaşlar.

Ön Koşullar

• Temel seviyede HTML ve SQL bilgisi faydalı olacaktır (Zorunlu değildir, eğitim içerisinde hatırlatmalar yapılacaktır).