Veritabanı güvenliği: yetkilendirme, şifreleme, yedek ve denetim
MySQL, PostgreSQL, MongoDB ve Redis için ortak bir güvenlik çerçevesi kurup verileri yetkiyle, şifreyle, yedekle ve denetimle korumayı öğrenirsin.
Seviye 401 · 18 ders · 15 pratik lab
Dersler
Tehdit modeli ve erişim
- Veritabanı tehdit modeli ve veri envanteri: Hangi veritabanında hangi verinin durduğunu listeleyip en büyük riskleri sıralayan bir envanter çıkarabileceksin.
- Kendi veritabanı portlarını Nmap ile denetlemek: 3306, 5432, 27017 ve 6379 portlarının dışarıya açık olup olmadığını Nmap ile kendi sunucularında sınayıp kapatabileceksin.
- Kimlik doğrulama ve gizli bilgi yönetimi: Parolayı koda yazmamayı, ortam değişkeni ve gizli bilgi kasasıyla saklamayı ve düzenli döndürmeyi öğrenirsin.
- Yetkilendirme: en az yetki, görev ayrımı ve rol tasarımı: Uygulama, rapor ve yönetici hesaplarını ayırıp her motorda aynı en-az-yetki ilkesini rol tasarımıyla uygulayabileceksin.
- Sürüm ve yama yönetimi
- Kısa görev: dört motorun açıklık ve erişim incelemesi
Şifreleme ve veri koruma
- Aktarım şifrelemesi: TLS ile dört motor: Sertifika, CA ve TLS sürümü kavramlarını öğrenip dört veritabanında bağlantıyı şifreli ve sertifika doğrulamalı yapabileceksin.
- Durağan şifreleme ve anahtar yönetimi: Disk şifrelemesi ile veritabanı şifrelemesinin neyi koruduğunu ve anahtarı veriden ayrı tutmanın neden şart olduğunu kavrayacaksın.
- Veri maskeleme, takma adlandırma ve tokenleştirme: Kart numarası ya da kimlik no gibi alanları test ortamında ve raporlarda maskeleyerek gerçek veriyi açığa çıkarmamayı öğrenirsin.
- Veri sınıflandırma, saklama süresi ve silme: Veriyi hassasiyetine göre sınıflandırıp KVKK, GDPR ve PCI DSS gibi düzenlemelerin gerektirdiği saklama ve silme kurallarını uygulayabileceksin.
- Test ortamına gerçek veri vermemek
- Kısa görev: hassas sütunları sınıflandır ve şifrele
Yedek, denetim ve izleme
- Yedek güvenliği: 3-2-1 kuralı, şifreli ve değiştirilemez yedek: Yedeği şifreleyip farklı yerde, silinemez biçimde saklayarak fidye yazılımı sonrasında bile geri dönebilecek bir düzen kuracaksın.
- Geri yükleme tatbikatı ve kurtarma hedefleri (RPO/RTO): Yedeğin gerçekten geri yüklenebildiğini sınamayı ve ne kadar veri, ne kadar süre kaybedebileceğini (RPO ve RTO) belirlemeyi öğrenirsin.
- Denetim günlüğü tasarımı: neyi, kimi, ne zaman: Hangi olayların (giriş, yetki değişikliği, toplu okuma) kaydedileceğine karar verip günlüğü değiştirilemez bir yerde toplayabileceksin.
- Olağan dışı sorguları izlemek ve uyarı kuralları: Gece yarısı toplu veri okuma ya da art arda başarısız giriş gibi kalıpları yakalayan uyarı kuralları yazabileceksin.
- Enjeksiyona karşı çok katmanlı savunma: veritabanı tarafı: Parametreli sorgunun yanında düşük yetkili hesap, görünüm ve hata iletisi gizlemeyle enjeksiyonun etkisini sınırlamayı öğrenirsin.
- Bitirme görevi: çok motorlu bir ortamı denetle ve sertleştir: MySQL, PostgreSQL, MongoDB ve Redis içeren bir ortamı kontrol listesiyle denetleyip bulguları öncelik sırasıyla kapatabileceksin.
Pratik lablar
- Açık veritabanı portlarını tara: Kendi laboratuvar ağında Nmap ile hangi veritabanı portlarının dışarı açık olduğunu ve sürümlerini çıkar.
- Veri envanteri ile tehdit modeli çıkar: Bir sağlık kliniğinin veritabanlarında hangi hassas verinin nerede durduğunu çıkar ve en olası üç tehdidi yaz.
- Yamalı sürüm durumunu dört motorda denetle: Dört motorun sürümlerini bilinen güvenlik açıklarıyla karşılaştırıp öncelikli yama planı hazırla.
- Uygulama hesabının yetkisini daralt: Tüm yetkilere sahip uygulama hesabını yalnızca gereken tablolarda okuma ve yazma yapabilecek şekilde kısıtla.
- Gömülü parolayı gizli bilgi kasasına taşı: Kaynak kodda duran veritabanı parolasını ortam değişkenine ya da kasaya taşı ve eski parolayı değiştir.
- Görev ayrılığına dayalı rol modeli tasarla: Geliştirici, operatör ve denetçinin birbirinin işini yapamadığı bir rol yapısı kur ve çapraz denemelerle doğrula.
- Bağlantının şifreli olup olmadığını doğrula: İstemci bağlantısının TLS kullanıp kullanmadığını sunucu tarafından ve ağ yakalamasıyla doğrula.
- Hassas sütunu uygulama anahtarıyla şifrele: Kimlik numarası sütununu şifreli tut, anahtarı veritabanından ayrı sakla ve yetkili okumayı göster.
- Şifreleme anahtarını yeniden şifreleme ile değiştir: Sızdığından şüphelenilen anahtarla şifrelenmiş verileri yeni anahtara kesintisiz taşı ve eski anahtarı iptal et.
- Hassas sütunları sınıflandır: Bir İK veritabanındaki sütunları kişisel, hassas ve genel olarak etiketleyen bir sınıflandırma tablosu hazırla.
- Test ortamı için maskelenmiş kopya üret: Üretim verisinden ad, telefon ve e-postayı maskeleyen ama ilişkileri koruyan bir test kopyası hazırla.
- Saklama süresi dolan veriyi güvenle sil: Saklama politikasına göre süresi dolan kayıtları yedekler dahil temizleyen ve kanıt bırakan bir iş kur.
- Kimin neyi sildiğini denetim günlüğünden bul: Denetim kayıtlarından bir müşteri kaydını kimin, ne zaman ve hangi adresten sildiğini çıkar.
- Olağandışı toplu okumaya uyarı kur: Bir hesabın normalin çok üstünde satır okuduğu durumda tetiklenen bir kural yaz ve sahte sızdırmayla test et.
- Enjeksiyona karşı veritabanı tarafında katman ekle: Açık bir uygulamada en az yetki, saklı prosedür ve sorgu izleme ile enjeksiyonun etkisini sınırla ve kanıtla.
Kurs hakkında
MySQL, PostgreSQL, MongoDB ve Redis için ortak bir güvenlik çerçevesi kurup verileri yetkiyle, şifreyle, yedekle ve denetimle korumayı öğrenirsin.
Ne öğreneceksin
- Tehdit modeli ve erişim
- Şifreleme ve veri koruma
- Yedek, denetim ve izleme
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.