SAML ve kurumsal tek oturum açma güvenliği
SAML akışlarını ve onay belgesini çözer, imza sarma, imzasız onay ve tekrar oynatma gibi doğrulama eksiklerini hizmet sağlayıcıda bulup kapatır, hesap açma-kapama ve SSO olaylarını izlemeyi kurarsın.
Seviye 401 · 14 ders · 12 pratik lab
Dersler
SAML’ı anlamak
- SAML aktörleri: kimlik sağlayıcı, hizmet sağlayıcı ve kullanıcı
- Hizmet sağlayıcı ve kimlik sağlayıcı başlatmalı akışlar
- Onay belgesinin anatomisi: koşullar, hedef kitle ve imza
- SAML yanıtını Burp ile çözmek ve incelemek
- Kısa görev: lab’daki SSO akışını çiz ve her kontrol noktasını işaretle
SAML hataları
- İmza sarma (XSW): imzalanan ile işlenen öğenin ayrışması
- İmzasız onaylar ve atlanan imza doğrulaması
- Tekrar oynatma, hedef kitle ve süre kontrolleri
- SAML’da XML ayrıştırma riskleri: yorumlar ve XXE
- Kısa görev: hizmet sağlayıcıdaki iki doğrulama eksiğini kanıtla ve düzelt
Kurumsal kimlik
- SAML kütüphanesini güvenle yapılandırmak
- SCIM ile hesap açma ve kapatma: unutulan hesaplar
- SSO olaylarını izlemek ve şüpheli girişleri yakalamak
- Bitirme görevi: bir SaaS uygulamasının SAML entegrasyonunu denetle ve sertleştir
Pratik lablar
- SAML yanıtını çöz ve oku: Lab'daki SSO girişinde SAML yanıtını Burp ile çöz ve veren, hedef kitle, süre ve imza alanlarını işaretle.
- SSO akışını çiz: kontrol noktaları: Hizmet sağlayıcı başlatmalı akışı çiz ve hizmet sağlayıcının yapması gereken her doğrulamayı işaretle.
- Kimlik sağlayıcı başlatmalı akışın riski: İstenmemiş yanıt kabul eden hizmet sağlayıcıda riski lab'da göster ve InResponseTo kontrolünü zorunlu kıl.
- Onay belgesi koşullarını eksiksiz doğrula: Hizmet sağlayıcının hangi koşulları doğrulamadığını beş hatalı onayla test et ve eksikleri tamamla.
- İmzasız onay kabul ediliyor: İmzası kaldırılmış onayın kabul edildiğini lab'da kanıtla ve imza zorunluluğunu aç.
- Tekrar oynatılan SAML yanıtı: Aynı yanıtın ikinci kez kabul edildiğini kanıtla ve onay kimliği önbelleğiyle tek kullanımlık yap.
- Hedef kitle kontrolü olmayan hizmet sağlayıcı: Başka uygulama için üretilen onayın kabul edildiğini kanıtla ve hedef kitle doğrulamasını ekle.
- İmza sarma: imzalanan ile işlenen öğe: Hizmet sağlayıcının imzalanan öğe yerine başka bir öğeyi işlediğini lab'da göster ve kütüphaneyi imzalı öğeye bağlayan ayarla düzelt.
- SSO olaylarını günlükte izle: Kimlik sağlayıcı ve hizmet sağlayıcı günlüklerinde tek bir girişi eşleştir ve başarısız doğrulamaları listele.
- SCIM ile kapatılmayan hesap: Kimlik sağlayıcıda kapatılmış ama uygulamada açık kalmış hesabı bul ve hesap kapatma eşitlemesini düzelt.
- Şüpheli SSO girişleri için uyarı: İmza hatası ardından başarılı giriş gibi şüpheli SSO desenlerini yakalayan bir uyarı kuralı yaz ve test et.
- SaaS uygulamasının SAML entegrasyon denetimi: Kurgusal Halcyra Bordro uygulamasının SAML entegrasyonunu denetle, kütüphane ayarlarını sertleştir ve yeniden test et.
Kurs hakkında
SAML akışlarını ve onay belgesini çözer, imza sarma, imzasız onay ve tekrar oynatma gibi doğrulama eksiklerini hizmet sağlayıcıda bulup kapatır, hesap açma-kapama ve SSO olaylarını izlemeyi kurarsın.
Ne öğreneceksin
- SAML’ı anlamak
- SAML hataları
- Kurumsal kimlik
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.