Uygulamalı değerlendirme: Corvane Clinic (hasta portalı ve API)
Kurgusal Corvane Clinic’in hasta portalını, OIDC girişini, REST ve GraphQL API’lerini risk odaklı bir planla değerlendirir, kritik bulguyu acil bildirir, düzeltme planını ve kişisel veri etkisini raporlarsın.
Seviye 401 · 13 ders · 11 pratik lab
Dersler
Hazırlık
- Görev brifingi: sağlık verisi, kapsam ve izin
- Hızlı tehdit modeli: hasta, doktor ve sigorta rolleri
- Portalın, mobil API’nin ve randevu servisinin haritası
- Kısa görev: risk odaklı test planını teslim et
Test
- OIDC girişi ve oturum testleri
- Hasta kayıtlarında nesne düzeyinde yetkilendirme testleri
- Raporlama servisinin GraphQL arayüzü
- Belge yükleme, PDF üretimi ve SSRF
- Kısa görev: kritik bulguyu acil bildirim kuralına göre ilet
Düzeltme ve rapor
- Düzeltme planı ve geçici önlemler
- Yeniden test ve kalan risk
- Kişisel veri etkisi: ülkeden ülkeye bildirim yükümlülükleri
- Bitirme görevi: Corvane Clinic değerlendirmesini rapor ve yeniden test notuyla teslim et
Pratik lablar
- Corvane için hızlı tehdit modeli: Hasta, doktor ve sigorta rolleri için Corvane Clinic'in en kritik beş tehdidini çıkar.
- Corvane risk odaklı test planı: Portal, mobil API ve randevu servisini riske göre sıralayan test planını hazırla.
- Corvane OIDC girişinde doğrulama eksiği: Corvane portalının kimlik belirtecinde atladığı doğrulamayı bul, kapat ve yeniden test et.
- Corvane oturumu: doktor hesabında süre: Doktor oturumlarının paylaşılan bilgisayarda açık kaldığını kanıtla ve süre ile yeniden doğrulama kuralı ekle.
- Hasta kaydında nesne düzeyinde yetki: Bir hastanın başka hastanın tahlil sonucuna eriştiğini kanıtla ve sahiplik kontrolünü ekle.
- Corvane GraphQL'de korumasız alan: Raporlama GraphQL arayüzünde hasta kimlik bilgilerini dönen korumasız alanı bul ve çözücüde yetki ekle.
- PDF servisinde SSRF: Rapor PDF'i üretiminde iç servislere erişildiğini kanıtla ve izin listesiyle çıkış kuralını uygula.
- Belge yüklemede sağlık verisi sızıntısı: Yüklenen belgelerin tahmin edilebilir adreslerle herkese açık sunulduğunu kanıtla ve imzalı, süreli bağlantıya geç.
- Kritik bulguyu acil bildirim kuralıyla ilet: Hasta verisine erişen kritik bulguyu anlaşmadaki acil bildirim kuralına göre kısa ve net biçimde ilet.
- Geçici önlem ve düzeltme planı: Kalıcı düzeltme gelene kadar uygulanacak geçici önlemleri ve düzeltme sırasını planla.
- Corvane yeniden test ve kalan risk: Düzeltmeleri yeniden test et, kalan riski ve kişisel veri bildirim yükümlülüğü değerlendirmesini rapora ekle.
Kurs hakkında
Kurgusal Corvane Clinic’in hasta portalını, OIDC girişini, REST ve GraphQL API’lerini risk odaklı bir planla değerlendirir, kritik bulguyu acil bildirir, düzeltme planını ve kişisel veri etkisini raporlarsın.
Ne öğreneceksin
- Hazırlık
- Test
- Düzeltme ve rapor
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.