Web uygulamaları için tehdit modelleme
Bir web uygulamasının veri akış diyagramını çizer, STRIDE ve saldırı ağaçlarıyla tehditleri bulur, önlemleri doğrulama testlerine bağlar ve tehdit modellemeyi ekibin olağan işine dönüştürürsün.
Seviye 301 · 15 ders · 13 pratik lab
Dersler
Temeller
- Tehdit modelleme nedir: dört soru yaklaşımı
- Veri akış diyagramı: süreçler, veri depoları ve güven sınırları
- Varlıklar, aktörler ve saldırgan profilleri
- Kısa görev: lab uygulamasının veri akış diyagramını çiz
Tehditleri bulmak
- STRIDE ile tehdit bulmak
- Saldırı ağaçları ve kötüye kullanım senaryoları
- Web’e özgü tehditler: oturum, API ve üçüncü taraflar
- Gizlilik tehditleri: LINDDUN’a kısa bakış
- Kısa görev: bir ödeme özelliği için on tehdit yaz
Önlemler ve süreç
- Tehditleri derecelendirmek ve önceliklendirmek
- Önlemleri eşleştirmek ve doğrulama testlerine bağlamak
- Araçlar: OWASP Threat Dragon ve kod olarak tehdit modeli
- Çevik ekipte tehdit modelleme: her yeni özellikte kısa oturum
- Tehdit modelleme oturumunu yönetmek
- Bitirme görevi: yeni bir dosya paylaşım özelliğinin tehdit modelini çıkar ve önlemleri doğrula
Pratik lablar
- Veri akış diyagramında güven sınırları: Hazır bir veri akış diyagramında eksik güven sınırlarını çiz ve her sınırdan geçen veriyi etiketle.
- Varlıkları ve aktörleri listele: Lab uygulaması için korunacak varlıkları, aktörleri ve saldırgan profillerini tabloya dök.
- Koddan diyagram çıkar: Lab uygulamasının kodundan ve yapılandırmasından gerçek veri akışını çıkar ve belgedeki diyagramla farkları bul.
- Üçüncü taraflı akışın diyagramı: Ödeme sağlayıcı ve e-posta servisi içeren bir akışın diyagramını çiz ve verinin kurum dışına çıktığı noktaları işaretle.
- STRIDE ile giriş sayfası: Giriş sayfası için her STRIDE harfine en az bir tehdit yaz ve en olası ikisini seç.
- Kötüye kullanım hikâyesi yaz: Bir kullanıcı hikâyesinin karşısına saldırganın amacını anlatan üç kötüye kullanım hikâyesi yaz.
- Saldırı ağacı: hesap ele geçirme: Hesap ele geçirme hedefi için saldırı ağacı çiz ve mevcut kontrollerin hangi dalları kestiğini göster.
- Gizlilik tehditleri: profil dışa aktarma: Profil dışa aktarma özelliği için gizlilik tehditlerini çıkar ve veri en aza indirme önlemleri öner.
- Ödeme özelliği için on tehdit: Kurgusal Kalvera Bilet'in ödeme özelliği için on tehdit yaz, derecelendir ve ilk üçünü lab'da doğrula.
- Tehdidi önlemle eşleştir: On tehdidi uygun önlemlerle eşleştir ve önlemi olmayan tehditleri kabul, aktarma ya da düzeltme olarak işaretle.
- Önlemi doğrulama testine bağla: Üç önlem için lab'da çalıştırılabilir doğrulama testi yaz ve birinin aslında uygulanmadığını ortaya çıkar.
- Kod olarak tehdit modeli: Bir tehdit modelini depoda metin olarak tut, yeni bir uç nokta eklenince güncelle ve değişikliği inceleme sürecine bağla.
- Dosya paylaşım özelliğinin tehdit modeli: Yeni bir dosya paylaşım özelliği için diyagram, tehditler ve önlemleri çıkar ve en kritik iki önlemi lab'da doğrula.
Kurs hakkında
Bir web uygulamasının veri akış diyagramını çizer, STRIDE ve saldırı ağaçlarıyla tehditleri bulur, önlemleri doğrulama testlerine bağlar ve tehdit modellemeyi ekibin olağan işine dönüştürürsün.
Ne öğreneceksin
- Temeller
- Tehditleri bulmak
- Önlemler ve süreç
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.