İleri tehdit modelleme: saldırı ağaçları ve kod olarak model
Saldırı ağaçları, risk puanlama ve kodla tutulan tehdit modelleriyle büyük sistemleri modeller, modeli her değişiklikte güncel tutan bir süreç kurarsın.
Seviye 301 · 17 ders · 15 pratik lab
Dersler
Saldırı ağaçları
- Saldırı ağacı: kök hedef, alt yollar, VE/VEYA düğümleri
- Düğümlere maliyet ve olasılık eklemek
- Ağacı CAPEC ve ATT&CK ile beslemek
- Kısa görev: “müşteri verisini çalmak” hedefi için bir saldırı ağacı çiz
Risk puanlama
- Olasılık ve etki: basit risk matrisi
- DREAD ve alternatifleri: tutarlılık neden önemli
- OWASP risk derecelendirme yöntemi
- LINDDUN ile gizlilik tehditleri
- Kısa görev: on tehdidi aynı yöntemle puanla ve sırala
Kod olarak tehdit modeli
- Tehdit modelini kodla tutmak: neden ve nasıl
- pytm ile sistemi Python’da tanımlamak
- Modelden diyagram ve rapor üretmek
- Tasarım değişince modeli güncellemek: çekme isteği akışı
- Kısa görev: mevcut bir modele yeni bir ödeme servisi ekle
Ölçeklemek
- Çok servisli sistemleri parça parça modellemek
- Ekip atölyesi yönetmek
- Bitirme görevi: bir ödeme platformu için kod olarak tehdit modeli ve risk listesi
Pratik lablar
- Bir saldırı ağacındaki VE ile VEYA düğümlerini oku: Hazır ağaçta kök hedefe giden yolları say ve hangi düğümlerin birlikte gerektiğini yaz.
- Müşteri verisini korumak için saldırı ağacı çiz: Müşteri verisinin çalınması kök hedefi için en az üç alt yol ve ikinci düzey düğümleri çiz.
- Ağaca maliyet ve olasılık ekleyip en ucuz yolu kapat: Düğümleri CAPEC ve ATT&CK kayıtlarıyla besle, her yaprağa maliyet ve olasılık ver, en düşük maliyetli yolu bul ve onu kesen önlemi öner.
- Tehditleri olasılık ve etki matrisine yerleştir: Sekiz tehdidi beşe beş matrise koy ve kırmızı bölgeye düşenleri yaz.
- On tehdidi tek yöntemle puanla ve sırala: OWASP risk derecelendirme etkenlerini kullanarak her tehdidin puanını hesapla ve sıralamayı gerekçelendir.
- İki puanlama yönteminin farklı sıralamasını uzlaştır: Aynı tehditleri DREAD ve OWASP yöntemiyle puanla, sıralamanın değiştiği yerleri açıkla ve ekip için tutarlı bir kural yaz.
- Gizlilik tehditlerini LINDDUN sınıflarıyla eşle: Yedi örnek durumu ilişkilendirilebilirlik, tanımlanabilirlik, inkâr edememe, tespit edilebilirlik, ifşa, farkında olmama ve uyumsuzluk başlıklarına yerleştir.
- Sağlık uygulamasının veri akışında gizlilik tehditlerini bul: Lavinya Klinikleri’nin randevu akışında kişisel verinin geçtiği her noktada bir LINDDUN tehdidi yaz.
- Gizlilik tehditlerine veri azaltma önlemleri tasarla: En ağır beş gizlilik tehdidi için takma adlandırma, saklama süresi ve erişim kaydı gibi önlemleri seç ve kalan riski belirt.
- pytm ile yazılmış modeli çalıştır ve çıktıyı oku: Hazır model dosyasından diyagramı ve tehdit raporunu üret ve kaç bulgu çıktığını yaz.
- Mevcut modele yeni bir ödeme servisi ekle: pytm modelinde servisi, veri deposunu ve akışları tanımla, güven sınırına yerleştir ve yeni çıkan tehditleri listele.
- Tasarım değişikliğini çekme isteği akışıyla modele yansıt: Model değiştiğinde raporu yeniden üreten ve yeni yüksek tehdit çıkınca incelemeyi zorunlu kılan bir CI adımı kur.
- Çok servisli sistemi modellenecek parçalara böl: On servislik mimariyi güven sınırlarına göre dört parçaya ayır ve parçalar arası akışları listele.
- Bir ekip atölyesinin gündemini ve çıktısını hazırla: Doksan dakikalık atölye için katılımcıları, adımları ve tehdit kaydı şablonunu yaz.
- Ödeme platformu için kod olarak tehdit modeli ve risk kaydı üret: Üç parçalı modeli pytm ile yaz, tehditleri puanla ve sahibi, önlemi ve tarihi olan risk kaydını çıkar.
Kurs hakkında
Saldırı ağaçları, risk puanlama ve kodla tutulan tehdit modelleriyle büyük sistemleri modeller, modeli her değişiklikte güncel tutan bir süreç kurarsın.
Ne öğreneceksin
- Saldırı ağaçları
- Risk puanlama
- Kod olarak tehdit modeli
- Ölçeklemek
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.