A10 and A9: API and Component Attacks Eğitimi

Eğitim Hakkında

Bileşen zafiyetleri ve API envanteri odağında saldırı-savunma

Eğitim, OWASP risk listelerindeki bileşen zafiyeti, envanter yönetimi ve yetersiz loglama başlıklarını uygulamalı işler. Log4Shell ve Spring4Shell örnekleri, OWASP Dependency-Check, Snyk ve Trivy ile SCA, SBOM üretimi, gölge API keşfi, JWT zafiyetleri, Burp Suite ve ZAP ile test, SIEM korelasyon kuralları ve gateway politikalarıyla savunma kurulumu içerir.

Süre ve Format

2 Gün. Her gün dört modül; 1. gün API Zafiyetleri, Varlık Yönetimi ve Bileşenler; 2. gün Loglama, Sızma Testi ve Koruma.

Seviye

İleri Seviye — Bileşen zafiyetleri ve API envanteri odağında saldırı-savunma

Öğrenme Metodu

Katılımcılar kasıtlı zafiyetli bir API'yi Burp Suite ve ZAP ile test eder, bulguları sömürür, ardından açıkları kapatıp tekrar doğrular.

Neden Bu Eğitim?

🎯Saldırgan Gözüyle

Zafiyetleri sömürerek riskin gerçek etkisini ve düzeltmenin neden gerekli olduğunu görürsünüz.

🧱Çözüm Odaklı

Her zafiyetin kod, yapılandırma ve gateway seviyesinde nasıl kapatılacağını uygularsınız.

📋Raporlanabilir

Bulguları CVSS ile derecelendirip yönetime sunulabilir rapora dönüştürürsünüz.

Anahtar Konular

api güvenliğiowasp api top 10sızma testiburp suiteowasp zapjwt güvenliğiscalog4shella10 and a9: api and component attacks

“Görmediğiniz API'yi koruyamazsınız.”

Ön Koşullar

Eğitimden verim almak için faydalı olacak bilgi ve ortam gereksinimleri

1

HTTP ve REST

İstek, yanıt, başlık ve JSON yapılarına hâkimiyet gerekir.

2

Temel Güvenlik

Kimlik doğrulama, yetkilendirme ve şifreleme kavramlarına genel aşinalık beklenir.

3

Test Araçları

Burp Suite Community, OWASP ZAP ve Postman kurulu bir bilgisayar gerekir.

4

Yetkili Ortam

Yalnızca eğitimde sağlanan izole laboratuvar hedefleri üzerinde test yapılır.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcı gün sonunda OWASP API Security Top 10 konusunu çalıştırır, API Envanteri ve Uygun Olmayan Varlık Yönetimi ve Bileşen Zafiyetleri ve Bağımlılık Güvenliği ile ilerleyip OAuth 2.0, JWT ve API Yetkilendirme kararlarını gerekçelendirir.

Modül 1

OWASP API Security Top 10

BOLA (Broken Object Level Authorization): kimlik değiştirerek başka kullanıcının nesnesine erişim
Broken Authentication: zayıf token, kaba kuvvet ve parola sıfırlama zafiyetleri
Broken Object Property Level Authorization ve Mass Assignment
Unrestricted Resource Consumption: hız sınırı eksikliği ve maliyetli sorgular
BFLA (fonksiyon seviyesi yetki) ve yönetici uçlarının açığa çıkması
SSRF ve güvensiz yapılandırma (security misconfiguration) örnekleri

Modül 2

API Envanteri ve Uygun Olmayan Varlık Yönetimi

Improper Inventory Management: eski sürüm, gölge ve unutulmuş API'ler
Swagger / actuator / debug uçlarının üretimde açık kalması
Subdomain keşfi, port taraması ve OpenAPI karşılaştırmasıyla keşfedilmemiş API bulma
Test ve geliştirme ortamında gerçek veri kullanımı riski
Üçüncü taraf API'lere güvenme (unsafe consumption) ve doğrulama eksikliği
API envanteri, sahiplik ve emeklilik politikası oluşturma

Modül 3

Bileşen Zafiyetleri ve Bağımlılık Güvenliği

Bilinen zafiyetli bileşen kullanımı: Log4Shell (CVE-2021-44228) ve Spring4Shell örnekleri
Yazılım Bileşen Analizi (SCA): OWASP Dependency-Check, Snyk, npm audit, Trivy
SBOM üretimi: CycloneDX ve SPDX biçimleri
CVE, CVSS skoru ve NVD veri tabanından risk değerlendirmesi
Dolaylı (transitive) bağımlılıklar ve sürüm sabitleme (lockfile)
Dependabot / Renovate ile otomatik güncelleme ve CI'da güvenlik kapısı

Modül 4

OAuth 2.0, JWT ve API Yetkilendirme

Authorization Code + PKCE, Client Credentials ve Refresh Token akışları
JWT yapısı: header, payload, imza; RS256 ve HS256 farkı
JWT zafiyetleri: alg=none, zayıf anahtar, süresi dolmuş token kabulü
Scope ve claim tabanlı yetkilendirme, RBAC ve ABAC
Token iptali, kısa ömürlü access token ve rotasyon
Keycloak ile yetkilendirme sunucusu kurulumu ve API entegrasyonu

Günün hedefiKatılımcı Yetersiz Loglama ve İzleme ve API Sızma Testi Uygulaması konularını uygulayarak Gateway Politikaları ve Trafik Yönetimi ile API İzleme, Analitik ve SLA Takibi adımlarını aynı örnek üzerinde birleştirir.

Modül 1

Yetersiz Loglama ve İzleme

Hangi olayların loglanacağı: kimlik doğrulama, yetki reddi, girdi doğrulama hataları
Log injection ve log içinde hassas veri (parola, token, PAN) sızıntısı
Merkezî log toplama: ELK / OpenSearch ve Loki ile korelasyon
SIEM kuralları: kaba kuvvet, olağandışı trafik ve token tekrar kullanımı
Saldırı tespiti için WAF ve API gateway log verisi kullanımı
Olay müdahale akışı, uyarı eşikleri ve tatbikat

Modül 2

API Sızma Testi Uygulaması

Burp Suite ve OWASP ZAP ile API trafiğini proxy üzerinden yakalama
OpenAPI veya Postman koleksiyonundan otomatik tarama
Intruder / fuzzing ile parametre ve kimlik numarası denemeleri
Enjeksiyon testleri: SQL, NoSQL ve komut enjeksiyonu
Rate limit, CORS ve başlık yapılandırması kontrolü
Bulguların CVSS ile derecelendirilip düzeltme önerisiyle raporlanması

Modül 3

Gateway Politikaları ve Trafik Yönetimi

Rate limit, kota ve spike arrest politikaları
API Key, JWT doğrulama ve OAuth 2.0 token introspection
İstek / yanıt dönüştürme: başlık ekleme, gövde yeniden yazma, XML-JSON dönüşümü
CORS, IP beyaz liste ve istek boyutu sınırları
Yanıt önbelleği ve circuit breaker ile arka uç koruması
Canary yönlendirme ve ağırlıklı trafik dağıtımı

Modül 4

API İzleme, Analitik ve SLA Takibi

Temel API metrikleri: istek sayısı, gecikme yüzdelikleri, hata oranı, kullanılabilirlik
Uçtan uca sentetik izleme ve sağlık uç noktaları
Kullanım analitiği: en çok kullanılan uç, tüketici bazlı trafik, coğrafi dağılım
Alarm eşikleri, on-call süreci ve olay sonrası inceleme (post-mortem)
SLA, SLO ve hata bütçesi ilişkisi
Maliyet ve kapasite planlaması için trend analizi

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

API Zafiyetleri

OWASP API Top 10 zafiyetlerini tanıyıp örnek bir API üzerinde sömürüp kapatabilirsiniz.

🧩

API Envanteri

Gölge ve eski sürüm API'leri bulup envanter ve emeklilik politikasıyla kontrol altına alabilirsiniz.

🔧

Bileşen Güvenliği

SCA araçlarıyla bağımlılık zafiyetlerini bulup SBOM üretebilir ve güncelleme akışı kurabilirsiniz.

📐

OAuth ve JWT

OAuth 2.0 akışlarını ve JWT doğrulamasını güvenli biçimde API'nize uygulayabilirsiniz.

🛡️

Güvenlik İzleme

Güvenlik olaylarını loglayıp SIEM kurallarıyla saldırı belirtilerini yakalayabilirsiniz.

🧪

Sızma Testi

Burp Suite ve ZAP ile API uçlarında güvenlik testi yapıp bulguları raporlayabilirsiniz.

🚀

Gateway Politikaları

Kimlik doğrulama, kota ve dönüşüm politikalarını gateway üzerinde yapılandırabilirsiniz.

📊

API İzleme

API sağlığını metrik ve alarmlarla izleyip SLA hedeflerine göre raporlayabilirsiniz.

Kimler İçin Uygundur?

Güvenlik uzmanları
yazılım geliştiriciler
DevSecOps mühendisleri
API sahipleri içindir

Sıkça Sorulan Sorular

Bu eğitim kimler için uygundur?

Güvenlik uzmanları, yazılım geliştiriciler, DevSecOps mühendisleri ve API sahipleri içindir.

Gerçek sistemlerde test edebilir miyim?

Hayır; uygulamalar yalnızca eğitim için hazırlanmış zafiyetli laboratuvar ortamında yapılır, izinsiz test yasal sorun doğurur.

Yazılım geliştirici olmam gerekir mi?

Hayır; hem geliştirici hem güvenlik ekibi için anlaşılır olacak şekilde saldırı ve düzeltme birlikte gösterilir.

OWASP Top 10 kapsanıyor mu?

API Security Top 10 ile bileşen ve loglama zafiyetleri eğitimde doğrudan uygulamalı işlenir.

Sertifika veriliyor mu?

Tamamlayan katılımcılara Digital Vizyon Akademi Katılım ve Başarı Sertifikası verilir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika

A10 AND A9: API AND COMPONENT ATTACKS EĞİTİMİ