Kapsam, angajman kuralları ve hukuk
Bir güvenlik değerlendirmesini başlamadan önce yazıya dökersin: türünü seçer, kapsamı ve sınırları çizer, angajman kurallarını yazar, dünyadaki bilişim ve kişisel veri yasalarını tanırsın.
Seviye 201 · 22 ders · 18 pratik lab
Dersler
Neden yazılı kurallar
- Değerlendirmeyi saldırıdan ayıran şey: izin ve amaç
- Paydaşlar: sponsor, sistem sahibi, değerlendirme ekibi ve acil durum kişisi
- Değerlendirme türleri: dış ağ, iç ağ, web, kablosuz ve yapılandırma denetimi
- Kara, gri ve beyaz kutu: ne kadar bilgiyle başlanır
- Kısa görev: üç kurgusal talep için doğru değerlendirme türünü seç
Kapsamı belirlemek
- Kapsamdaki varlıklar: IP aralıkları, alan adları ve uygulamalar
- Kapsam dışı: üçüncü taraf hizmetler ve paylaşımlı barındırma
- Bulut ve barındırma sağlayıcılarının test izin politikaları
- Test zaman pencereleri, yoğunluk sınırları ve kesinti riski
- Kapsam anketi ve emek tahmini
- Kısa görev: kurgusal Mavikaya Lojistik için kapsam belgesi hazırla
Angajman kuralları
- Angajman kuralları belgesi: izinler, yasaklar ve iletişim
- Durdurma koşulları: kritik bulgu, kesinti ve beklenmeyen veri
- Test sırasında karşılaşılan veriyi korumak ve imha etmek
- İletişim planı: günlük durum, acil hat ve üst kademeye bildirim
- Kısa görev: bir angajman kuralları belgesindeki beş eksikliği bul
Hukuk ve etik: dünyadan örnekler
- Bilişim suçları yasaları: ülkelerde izinsiz erişim nasıl tanımlanır
- Budapeşte Sözleşmesi: ülkeler arası ortak çerçeve
- Kişisel veri yasaları ve testte veri gizliliği: GDPR, KVKK ve benzerleri
- Sözleşme, gizlilik anlaşması ve sorumluluk sınırları
- Meslek etiği ve sorumlu bildirim
- Bitirme görevi: bir değerlendirme için kapsam, kurallar ve izin paketini hazırla
Pratik lablar
- Bir değerlendirmenin paydaşlarını ve rollerini eşleştir: Pusulaya Sigorta e-postalarından sponsor, sistem sahibi, değerlendirme ekibi ve acil durum kişisini belirleyip bir iletişim tablosu yap.
- Üç talep için doğru değerlendirme türünü seç: Dış ağ, iç ağ, web, kablosuz ve yapılandırma denetimi arasından her kurgusal talebe uyanı seç ve gerekçesini yaz.
- Kara, gri ya da beyaz kutu seçimini maliyet ve kapsama göre gerekçelendir: Lodoskaya Denizcilik’in bütçe ve hedeflerini okuyup bilgi düzeyini seç, kaybedilen kapsamı ve süre etkisini bir sayfada açıkla.
- Kapsamdaki varlıkları adres, alan adı ve uygulama olarak listele: Mavikaya Lojistik talebinden kapsamdaki IP aralıklarını, alan adlarını ve uygulamaları çıkarıp kapsam tablosu oluştur.
- Kapsam listesindeki üçüncü taraf varlıkları bul ve çıkar: Lab DNS kayıtlarını ve adres sahipliği notlarını inceleyip paylaşımlı barındırma ve dış hizmetlere ait girdileri kapsam dışına al.
- Kapsam anketinden emek ve zaman penceresi tahmini çıkar: Doldurulmuş anketteki varlık sayısı ve yoğunluk sınırlarından gün bazında emek tahmini ve kesinti riskine göre test pencereleri öner.
- Bu angajman kuralları belgesindeki beş eksikliği bul: Ayçiçeği Gıda angajman kuralları taslağını kontrol listesiyle karşılaştır ve eksik izin, yasak ve iletişim maddelerini yaz.
- Bir değerlendirme için durdurma koşullarını yaz: Bakırdere Madencilik için kritik bulgu, kesinti ve beklenmeyen veri durumlarında kimin neyi ne kadar sürede yapacağını tanımla.
- Günlük durum ve acil bildirim akışını içeren iletişim planı hazırla: Beş günlük değerlendirme için günlük rapor şablonu, acil hat ve üst kademeye bildirim zincirini içeren bir iletişim planı yaz.
- Test sırasında karşılaşılan veriyi sınıfla ve doğru işlemi seç: Lab paylaşımında görünen beş dosya örneğini kişisel, gizli ya da kamuya açık olarak sınıfla ve her biri için yapılacak işlemi yaz.
- Değerlendirme kanıtını şifreli sakla ve erişimi kısıtla: Lab kanıt klasörünü şifreli bir arşive taşı, yalnız ekibin anahtarıyla açıldığını göster ve erişim kaydı tut.
- Test sonunda veriyi imha et ve imha tutanağı yaz: Değerlendirme bitiminde lab kanıtlarının kopyalarını bul, güvenle sil, silindiğini doğrula ve imza bekleyen bir tutanak hazırla.
- Beş davranışın izinli değerlendirme mi izinsiz erişim mi olduğuna karar ver: Verilen beş kısa vakayı yazılı izin ve kapsam açısından değerlendir ve hangi ülkelerin yasalarında nasıl ele alınacağını örnekle.
- Değerlendirmede kişisel veri yükümlülüklerini haritala: Lavinya Klinikleri senaryosunda GDPR ve KVKK gibi yasalardan doğan yükümlülükleri test adımlarıyla eşleştiren bir tablo hazırla.
- Kapsam dışında fark edilen açık için sorumlu bildirim taslağı yaz: Değerlendirme sırasında üçüncü taraf bir hizmette fark edilen sorunu test etmeden, doğru kanaldan bildiren bir yazı hazırla.
- Sözleşme ve gizlilik anlaşmasında değerlendirme maddelerini denetle: Taslak sözleşmede sorumluluk sınırı, gizlilik ve veri iadesi maddelerinin olup olmadığını işaretle ve eksikleri listele.
- Bulut barındırılan varlıklar için sağlayıcı test iznini kontrol et: Kapsamdaki bulut varlıkları için kurgusal sağlayıcı politikasını oku, izin gereken ve yasak olan test türlerini kapsam belgesine işle.
- Kapsam, kurallar ve izin paketini eksiksiz hazırla: Selvikent Belediyesi talebi için kapsam belgesi, angajman kuralları ve imza sayfasını hazırla, kontrol listesiyle eksiksiz olduğunu doğrula.
Kurs hakkında
Bir güvenlik değerlendirmesini başlamadan önce yazıya dökersin: türünü seçer, kapsamı ve sınırları çizer, angajman kurallarını yazar, dünyadaki bilişim ve kişisel veri yasalarını tanırsın.
Ne öğreneceksin
- Neden yazılı kurallar
- Kapsamı belirlemek
- Angajman kuralları
- Hukuk ve etik: dünyadan örnekler
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.