Mobil tehdit modelleme ve güvenli mimari
Bir mobil sistemi tasarım aşamasında değerlendirirsin: varlıklar ve güven sınırları, cihaz, uygulama, ağ ve arka uç tehditleri, çevrimdışı çalışma, ödeme ve kimlik akışları için mimari kararlar ve güvenlik gereksinimleri.
Seviye 401 · 18 ders · 15 pratik lab
Dersler
Model kurmak
- Varlıklar, aktörler ve güven sınırları
- Mobil için veri akış şeması çizmek
- Saldırgan profilleri: kayıp cihaz, kötü niyetli uygulama, ağ, kullanıcının kendisi
- STRIDE'ı mobile uygulamak
- Hazır tehdit listeleri: MASVS, ATT&CK Mobile, önceki bulgular
- Kısa görev: bir yemek siparişi uygulamasının veri akış şemasını çiz ve güven sınırlarını işaretle
Mimari kararlar
- İnce istemci mi çevrimdışı öncelikli mi: verinin nerede duracağı
- Kimlik mimarisi: belirteçler, cihaz bağlama, adım yükseltme
- Anahtar yönetimi mimarisi: cihazda, sunucuda, donanımda
- Ödeme ve yüksek riskli akışlar
- Bildirim ve SMS tasarımı: gizli veri taşımamak
- Kısa görev: çevrimdışı çalışan bir saha uygulaması için veri koruma tasarımı yaz
Karar ve izleme
- Risk derecelendirme ve ele alma kararı
- Tehditten gereksinime, gereksinimden teste
- Üçüncü taraf SDK'ları modele katmak
- Modeli canlı tutmak: her büyük değişiklikte gözden geçirme
- Kısa görev: on tehditlik bir tabloyu derecelendir ve her birine gereksinim yaz
Bitirme
- Bitirme görevi: bir dijital cüzdanın tehdit modelini ve mimari öneri belgesini hazırla
Pratik lablar
- Sipariş uygulamasının varlıklarını ve aktörlerini listele: Bir yemek siparişi uygulaması için korunacak varlıkları ve aktörleri yaz.
- Veri akış şeması çiz ve güven sınırlarını işaretle: Uygulama, arka uç, ödeme sağlayıcı ve bildirim hizmetini içeren şemayı metin tabanlı araçla çiz.
- Üçüncü taraf SDK'ları şemaya ekle ve etkisini değerlendir: Analitik ve harita SDK'larının veri akışlarını ekle, yeni güven sınırlarını ve riskleri yaz.
- Bir akış için STRIDE tehditlerini yaz: Giriş akışı için altı kategoriden birer tehdit üret.
- Saldırgan profillerine göre tehdit listesi çıkar: Kayıp cihaz, kötü niyetli uygulama ve ağ saldırganı için ikişer tehdit yaz.
- Hazır tehdit listeleriyle modeli tamamla: MASVS ve ATT&CK Mobile listelerinden modelde eksik kalan tehditleri bul ve ekle.
- Verinin nerede duracağına karar ver: Bir katalog uygulaması için hangi verinin cihazda, hangisinin sunucuda tutulacağını yaz.
- Çevrimdışı saha uygulaması için veri koruma tasarımı yaz: Demirsu Enerji sayaç okuma uygulaması için yerel şifreleme, anahtar ve eşitleme tasarımını yaz.
- Yüksek riskli işlem için adım yükseltme akışı tasarla: Para transferinde cihaz bağlama ve ek doğrulamayı içeren akışı ve bildirimlerde taşınmayacak veriyi tanımla.
- Beş tehdidi olasılık ve etkiye göre derecelendir: Verilen tabloyu doldur.
- On tehdidi derecelendir ve gereksinim yaz: Her tehdide ele alma kararı ve sınanabilir gereksinim ekle.
- Gereksinimleri testlere bağla: On gereksinim için doğrulama yöntemini, sorumlusunu ve yayın kapısını belirle.
- Var olan modeli yeni özelliğe göre güncelle: Uygulamaya eklenen QR ile ödeme özelliği için şemayı ve tehdit listesini güncelle.
- Mimari öneri notu yaz: Üç yüksek risk için tasarım değişikliği önerisini gerekçesiyle yaz.
- Dijital cüzdanın tehdit modelini ve öneri belgesini hazırla: Yelkovan Bankası cüzdanı için şema, tehdit tablosu, gereksinimler ve mimari önerileri teslim et.
Kurs hakkında
Bir mobil sistemi tasarım aşamasında değerlendirirsin: varlıklar ve güven sınırları, cihaz, uygulama, ağ ve arka uç tehditleri, çevrimdışı çalışma, ödeme ve kimlik akışları için mimari kararlar ve güvenlik gereksinimleri.
Ne öğreneceksin
- Model kurmak
- Mimari kararlar
- Karar ve izleme
- Bitirme
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.