Active Directory Attack & Defense (Aktif Dizin Saldırı ve Savunma)
Active Directory Attack & Defense (Aktif Dizin Saldırı ve Savunma) alanında kurumların resmi teftiş ve bağımsız denetimler öncesinde tam hazırlık yapmasını sağlayan, denetim bulgularını sıfırlayan ve yasal regülasyon uyumunu temin eden 5 modüllü stratejik tamamlayıcı eğitim.
#9500 Active Directory Attack & Defense (Aktif Dizin Saldırı ve Savunma) Denetimler Öncesinde Kurumunuza Ne Kazandırır?
Kurumsal kimlik ve erişim altyapısının omurgası olan Active Directory (AD), resmi regülasyon denetimlerinde (BDDK, SPK, ISO 27001) ve sızma testlerinde en yüksek risk ve bulgu üreten alandır. Bu eğitim; kurumların resmi teftiş ve bağımsız denetimler öncesinde AD mimarisini saldırgan perspektifiyle denetlemesini, Kerberoasting, DCSync, Pass-the-Hash, yetkisiz ACL/ACE atamaları ve ayrıcalık yükseltme zafiyetlerini proaktif olarak kapatmasını sağlayan vazgeçilmez bir kurumsal denetim öncesi tamamlayıcı hazırlık programıdır.
Uluslararası Standartlar & Denetim Güvencesi
Eğitim süresince BDDK Bilgi Sistemleri Tebliği, ISO/IEC 27001:2022 (Ek A.9), CIS Benchmark, MITRE ATT&CK, NIST SP 800-53 (AC/IA) regülasyon çerçeveleri ekseninde; denetim iz kayıtları, konfigürasyon çalışma kağıtları, RACI yönetişim matrisleri ve bulgu kapatma ve risk azaltma mekanizmaları canlı kurumsal vaka laboratuvarlarıyla incelenir.
Kurumsal Hazırlık & Denetim Dosyası
Müfettiş ve bağımsız denetçilere sunulacak çalışma kağıtları, log telemetrisi, yetki matrisleri ve 12 denetim laboratuvar ödevi ile 3 denetim odaklı bitirme projesiyle kurumsal uyum somut olarak belgelenir.
Resmi Teftiş ve Regülasyon Denetimleri Öncesinde Kurumsal Güvence
Bu eğitim; kurumların yaklaşan resmi teftişler (BDDK, TCMB, KVKK, SPK) ve uluslararası bağımsız denetimler (ISO/IEC, SOC 2, DORA, EU AI Act) öncesinde bilgi sistemleri altyapılarını regülasyon gereksinimlerine göre eksiksiz tamamlaması, kritik bulguları sıfırlaması ve denetim heyetlerine sunulacak kanıt dosyalarını eksiksiz üretmesi için yapılandırılmış tamamlayıcı kurumsal hazırlık programıdır.
Bu program yalnızca klasik bir eğitim değildir; resmi denetim ve teftiş öncesinde kurumun ilgili paydaşlarıyla (Teftiş Kurulu, C-Level, Uyum, Mühendislik) birlikte çalışma (co-working) metodolojisiyle yürütülen, canlı sistemler üzerinde denetim çalışma kağıtları (workpapers), kanıt paketleri ve açık bulguların mümkün olan en yüksek oranda kapatılmasını hedefleyen kapsamlı bir kurumsal hazırlık çalışmasıdır.
Kritik Bulguların Azaltılması ve Risk Eliminasyonu
Denetim öncesinde tespit edilen uygunsuzlukların giderilmesi, kritik risklerin azaltılması ve ilgili kontrollerin doğrulanması için kapsamlı hazırlık çalışmaları yürütülür. Hedef, açık bulguların mümkün olan en yüksek oranda kapatılması ve denetlenebilir bir kontrol ortamının oluşturulmasıdır.
Kanıt Toplama ve Çalışma Kağıdı Üretimi
BDDK ve ISO 27001 denetim heyetlerine sunulacak etki alanı denetim logları, parola politikası raporları, GPO sıkılaştırma matrisleri ve LAPS kanıtlarını uluslararası standartta belgeler.
Tiered Administration & Zero Trust Mimarisi
Yönetici hesaplarını katmanlı mimariye (Tier 0/1/2) ayırarak, etki alanı denetçilerine (Domain Controller) yetkisiz erişimi engelleyen kurumsal mimari savunma kalkanı kurar.
SIEM & SOC Denetim Loglama Güvencesi
Windows Güvenlik Olay Günlükleri (Event ID 4624, 4672, 4768, 4769) üzerinden şüpheli kimlik doğrulama aktivitelerini SIEM korelasyon kurallarıyla denetlenebilir hale getirir.
Eğitim Yol Haritası (5 Temel Aşama)
Kurumsal kimlik ve erişim altyapısının omurgası olan Active Directory (AD), resmi regülasyon denetimlerinde (BDDK, SPK, ISO 27001) ve sızma testlerinde en yüksek risk ve bulgu üreten alandır. Bu eğitim; kurumların resmi teftiş ve bağımsız denetimler öncesinde AD mimarisini saldırgan perspektifiyle denetlemesini, Kerberoasting, DCSync, Pass-the-Hash, yetkisiz ACL/ACE atamaları ve ayrıcalık yükseltme zafiyetlerini proaktif olarak kapatmasını sağlayan vazgeçilmez bir kurumsal denetim öncesi tamamlayıcı hazırlık programıdır.
- Active Directory Attack & Defense (Aktif Dizin Saldırı ve Savunma) mimarisini ilgili yasal çerçeveler (BDDK Bilgi Sistemleri Tebliği, ISO/IEC 27001:2022 (Ek A.9), CIS Benchmark) ile %100 uyumlu hale getirmek
- Resmi teftişler ve bağımsız denetimler öncesinde kritik bulguları önceden tespit edip sıfırlayarak kurumsal denetim başarısını güvenceye almak
- Denetim heyetlerine ve müfettişlere sunulacak uluslararası standartta denetim kanıtları, iz kayıtları ve çalışma kağıtları (workpapers) üretmek
- Kurum içi RACI yetki matrislerini, politika ve operasyonel prosedürleri regülasyon gereksinimlerine göre eksiksiz yapılandırmak
- Olası idari para cezaları, lisans iptali yaptırımları ve itibar kayıplarına karşı proaktif kurumsal koruma kalkanı oluşturmak
- Teftiş Kurulu Müfettişleri & BT Denetçileri (CISA): Active Directory Denetim Soru Listesi & Kanıt Doğrulama Metodolojisi (Active Directory ortamlarındaki karmaşık izin hiyerarşisini, gizli yönetici hesaplarını ve güven ilişkilerini (Trusts) bağımsız denetçi titizliğiyle sorgulayabilmek için.)
- CISO & Bilgi Güvenliği Liderleri: Kurumsal AD Sıkılaştırma Stratejisi & İtibar Koruma Güvencesi (Kurumsal kimlik deposunun tek bir noktasından gelebilecek ve tüm şirketi kilitleyebilecek fidye yazılımı (Ransomware) saldırılarını ve denetim cezalarını engellemek için.)
- Sistem, Altyapı ve Kimlik (IAM) Mimarları: Sertifikalandırılmış ve Sıkılaştırılmış Kurumsal AD Mimarisi (Group Policy, Kerberos, LDAP, LAPS ve Active Directory Certificate Services (ADCS) yapılandırmalarını CIS Benchmarks seviyesinde hatasız ayağa kaldırmak için.)
- SOC Analistleri & Olay Müdahale Ekipleri: AD Tehdit Tespit Kuralları & Canlı Müdahale Refleksi (Yanal hareket (Lateral Movement) ve yetki yükseltme girişimlerini gerçekleştiği anda loglardan tespit edip yayılımı ilk dakikalarda durdurmak için.)
#9500 Active Directory Attack & Defense (Aktif Dizin Saldırı ve Savunma) programı; resmi teftiş ve bağımsız denetimler öncesinde kurumsal sorumluluk taşıyan liderlerin ve teknik uzmanların masasında bulunması gereken stratejik bir yatırımdır.
Teftiş Kurulu Müfettişleri & BT Denetçileri (CISA)
Active Directory ortamlarındaki karmaşık izin hiyerarşisini, gizli yönetici hesaplarını ve güven ilişkilerini (Trusts) bağımsız denetçi titizliğiyle sorgulayabilmek için.
CISO & Bilgi Güvenliği Liderleri
Kurumsal kimlik deposunun tek bir noktasından gelebilecek ve tüm şirketi kilitleyebilecek fidye yazılımı (Ransomware) saldırılarını ve denetim cezalarını engellemek için.
Sistem, Altyapı ve Kimlik (IAM) Mimarları
Group Policy, Kerberos, LDAP, LAPS ve Active Directory Certificate Services (ADCS) yapılandırmalarını CIS Benchmarks seviyesinde hatasız ayağa kaldırmak için.
SOC Analistleri & Olay Müdahale Ekipleri
Yanal hareket (Lateral Movement) ve yetki yükseltme girişimlerini gerçekleştiği anda loglardan tespit edip yayılımı ilk dakikalarda durdurmak için.
Active Directory üzerinde tespit edilecek tek bir 'Domain Compromise' zafiyetinin kuruma getireceği itibar kaybı, BDDK idari yaptırımları ve veri sızıntısı maliyeti; bu eğitimin kurumsal bütçesinin onlarca katıdır. Denetim öncesi AD audit hazırlığı ertelenemez bir zorunluluktur.
Programımız; kurumsal yetkinlik ve mühendislik kalitesinin tüm kritik katmanlarını kapsayan 6 stratejik yetkinlik sütunu üzerine inşa edilmiştir.
Yasal & Sektörel Regülasyon Standartları
BDDK Bilgi Sistemleri Tebliği, ISO/IEC 27001:2022 (Ek A.9), CIS Benchmark çerçevelerindeki zorunlu kontrol maddelerinin mimariye ve süreçlere eksiksiz entegrasyonu.
Denetim Kanıtları & Çalışma Kağıtları
Resmi denetim heyetlerine ve müfettişlere sunulacak denetim iz kayıtları, konfigürasyon belgeleri ve çalışma kağıdı (workpaper) üretimi.
Pre-Audit Hardening & Bulgu Kapatma
Teftiş kurulu gelmeden önce sistemlerin saldırgan ve denetçi gözüyle taranması ve kritik bulguların proaktif olarak kapatılması.
Kurumsal Yönetişim, RACI & Politika
Görevler ayrılığı (SoD), yetkilendirme matrisleri ve kurumsal politika dokümanlarının regülasyon standartlarında inşası.
Denetçi Savunması & Mülakat Hazırlığı
Denetim heyetlerinin yönelteceği teknik ve idari sorulara karşı savunulabilir hukuki ve mühendislik argümanlarının oluşturulması.
Sürekli Uyum & Otomatize Denetim İzleri
Uyumun bir kereye mahsus değil, kurum bünyesinde sürekli çalışan otomatik izleme ve raporlama mekanizmasına dönüştürülmesi.
Katılımcılar, eğitim sonunda portföylerine ekleyebilecekleri ve kurumlarında doğrudan şablon olarak kullanabilecekleri 3 gerçek dünya projesi geliştirirler.
Bitirme Projesi 1: Enterprise Identity Governance & Tiered Administration Framework
Bu proje, Active Directory (AD) ortamının kurumsal kimlik yönetimi altyapısının temellerini yeniden tasarlamayı ve güvenli hale getirmeyi hedefler. Katılımcılar, Tiered Administration (Katmanlı Yönetim) mimarisi ile yönetici hesaplarını izole ederek, saldırganların yetki yükseltme ve yanal hareket yeteneklerini kısıtlayacak bir güvenlik çerçevesi oluşturacaktır. Uluslararası iş ortamlarında (FAANG, Fortune 500) kimlik altyapısının denetlenebilir ve sıkılaştırılmış olması, SOC2 ve ISO 27001 uyumluluğu için kritik öneme sahiptir. Bu bitirme projesi, katılımcının bir Solution Architect gibi davranarak, kurumsal AD ortamını saldırıya dayanıklı bir yapıya dönüştüreceği kapsamlı bir teknik şartname ve uygulama yol haritası sunar.
Bitirme Projesi 2: Automated AD Hardening & Compliance Orchestration Platform
Bu proje, Active Directory ortamının otomatik sıkılaştırma ve denetim uyumluluğunu sağlayan bir otomasyon platformu geliştirmeyi hedefler. Katılımcılar, Cloud-Native mimariler, asenkron akışlar ve otomasyon boru hatları kullanarak, AD güvenlik politikalarının sürekli izlenmesini ve otomatik düzeltmesini sağlayacak bir sistem tasarlayacaktır. Uluslararası iş ortamlarında (FAANG, Fortune 500) güvenlik operasyonlarının otomatikleştirilmesi, insansal hatayı azaltır ve denetim sürecini hızlandırır. Bu bitirme projesi, katılımcının bir DevOps/SRE Mimar gibi davranarak, AD ortamını sürekli uyumlu ve güvenli hale getirecek kapsamlı bir teknik şartname ve uygulama yol haritası sunar.
Bitirme Projesi 3: Real-Time AD Threat Detection & SIEM Integration Hub
Bu proje, Active Directory ortamında gerçek zamanlı tehdit tespiti ve SIEM entegrasyonu sağlayan bir güvenlik operasyon merkezi (SOC) hub'ı geliştirmeyi hedefler. Katılımcılar, yüksek performanslı veri akışı, resiliency, gözlemlenebilirlik ve modern servis entegrasyonu kullanarak, AD saldırı senaryolarının gerçek zamanlı tespit edildiği ve yanıt verildiği bir sistem tasarlayacaktır. Uluslararası iş ortamlarında (FAANG, Fortune 500) siber güvenlik operasyonlarının gerçek zamanlı olması, veri sızdırma ve yetki yükseltme saldırılarına karşı anlık müdahale imkanı sağlar. Bu bitirme projesi, katılımcının bir Siber Güvenlik Mimar gibi davranarak, AD ortamını gerçek zamanlı izleme ve tehdit tespit yeteneği ile donatacak kapsamlı bir teknik şartname ve uygulama yol haritası sunar.
Kurumlar ve Satın Alma Departmanları İçin Neden Bu Eğitim Vazgeçilmezdir?
Geleneksel bireysel eğitimlerin aksine Vebende Akademi, kurumların operasyonel sürekliliğini, yazılım mimarisi güvenliğini ve bütçe verimliliğini esas alır. Tuncer KARAARSLAN'ın 35 yılı aşan bilgisayar mühendisliği ve 25 yılı aşkın uluslararası teknoloji eğitmenliği birikimiyle sunulan bu program; teorik anlatım yerine kurumunuzun gerçek iş süreçlerine doğrudan etki eden ölçülebilir çıktılar üretir.
Fiyatlandırma kişi başı değil, sınıf fiyatıdır. Ekibinizden 5 veya 15 kişi katılsın, bütçeniz değişmez; kişi başına düşen maliyet sektördeki en avantajlı kurumsal seviyeye iner.
Yeni işe başlayan veya farklı teknolojilerden geçiş yapan mühendislerin kurumsal kod ve mimari standartlarına hızla uyum sağlamasını ve üretime katkı verme süresini kısaltır.
Spagetti kod ve kontrolsüz altyapı yerine endüstri standardı mimari yaklaşımlar öğretilir. Güvenlik açıkları ve teknik borç birikimi ilk günden engellenir.
Eğitim süresince her katılımcının laboratuvar ödevleri, GitHub pratikleri ve bitirme projeleri şeffaf bir yetkinlik karnesi olarak yönetiminize raporlanır.
Dünya çapında önde gelen 24+ platform (Coursera, edX, O'Reilly, Pluralsight, MIT vb.) ve 17+ kariyer portalının son 3 yıllık iş ilanı verileri konsolide edilerek yapılandırılmış, sıfırdan kurumsal mimariye uzanan 5 uygulamalı modül.
-
Active Directory'nin temel bileşenleri, nesne modeli ve hiyerarşik yapısı detaylı olarak incelenecektir. Katılımcılar, Orman (Forest), Domain, Domain Controller, Organizational Unit (OU) ve Trust ilişkilerinin mimari analizini yaparak AD'nin kurumsal ağlardaki rolünü kavrayacaklardır.
-
NTDS.dit veritabanı yapısı, SYSVOL paylaşımı ve Grup İlkesi Nesnesi (GPO) mekanizmaları üzerinde durularak, bu bileşenlerin AD'nin işleyişindeki kritik önemi ve güvenlik etkileri açıklanacaktır.
-
Active Directory İzin Yönetimi ve Güvenlik Tanımlayıcıları (Security Descriptors) ele alınacaktır. Access Control Lists (ACL) ve Access Control Entries (ACE) yapılarının nasıl çalıştığı, izinlerin nasıl atandığı ve miras alındığı detaylıca incelenecektir.
-
Tehlikeli ACL izinleri (GenericAll, GenericWrite, WriteDacl, WriteOwner) ve bu izinlerin saldırganlar tarafından nasıl suiistimal edilebileceği gerçek dünya senaryolarıyla gösterilecektir.
-
Dahili ve harici araçlar kullanılarak keşif operasyonları gerçekleştirilecektir. PowerView, BloodHound ve Sharphound gibi popüler araçlarla Active Directory verilerinin nasıl toplanacağı ve görselleştirileceği uygulamalı olarak gösterilecektir.
-
LDAP sorguları ve yerel komut satırı araçları (net user, net group, dsquery vb.) ile domain içi kullanıcı, bilgisayar ve grup envanterinin nasıl çıkarılacağı öğretilecektir.
Katılımcılar bu modülde Active Directory Mimarisi, Bileşenleri ve Bilgi Toplama (Enumeration) konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
-
Kerberos kimlik doğrulama döngüsü, TGT (Ticket Granting Ticket), TGS (Ticket Granting Service), AS-REQ (Authentication Service Request) ve TGS-REP (Ticket Granting Service Reply) akışları detaylı olarak incelenecektir. Protokolün zayıf noktaları ve saldırganlar tarafından nasıl istismar edildiği açıklanacaktır.
-
Kerberoasting ve AS-REP Roasting saldırılarının mantığı, bu saldırıların nasıl gerçekleştirildiği ve ele geçirilen parola hash'lerinin çevrimdışı parola kırma (offline cracking) süreçleri uygulamalı olarak gösterilecektir.
-
Uç nokta ve bellek üzerinden bilgi sızıntıları ele alınacaktır. LSASS (Local Security Authority Subsystem Service) bellek yapısı, Mimikatz kullanımı ve bellekten şifre/hash sızdırma teknikleri detaylıca incelenecektir.
-
DPAPI (Data Protection API) yapısı ve anahtar dosyalarının (Master Keys) incelenmesi, bu mekanizmaların saldırganlar tarafından nasıl kullanılabileceği açıklanacaktır.
-
Zayıf parolalar ve hesap yönetimi riskleri üzerinde durulacaktır. Domain password policies ve fine-grained password policies (FGPP) yapılandırma hataları ve bunların güvenlik üzerindeki etkileri analiz edilecektir.
-
"Password Never Expires" ve "Does not require Pre-Authentication" bayraklarına sahip hesapların risk analizi yapılacak, bu tür hesapların neden saldırganlar için cazip hedefler olduğu açıklanacaktır.
Katılımcılar bu modülde Kimlik Bilgisi Avı ve Kerberos Protokol İstismarları konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
-
Ağ içi yayılım ve oturum çalma teknikleri incelenecektir. Pass-the-Hash (PtH), Pass-the-Ticket (PtT) ve Over-the-Hash saldırı teknikleri uygulamalı olarak gösterilecektir.
-
WinRM, WMI, SMB ve PsExec protokolleri üzerinden domain içi bilgisayarlara erişim sağlama yöntemleri ve bu protokollerin yanal hareket için nasıl kullanıldığı açıklanacaktır.
-
Domain Admin haklarına ulaşma yolları detaylıca incelenecektir. Unconstrained Delegation ve Constrained Delegation istismarları, bu delegasyon türlerinin güvenlik zafiyetleri ve saldırı senaryoları üzerinde durulacaktır.
-
Active Directory Certificate Services (AD CS) zafiyetleri ve sertifika tabanlı yetki yükseltme yolları (ESC saldırıları) uygulamalı olarak gösterilecektir.
-
Ele geçirilen domain yapısında kalıcılık sağlama teknikleri ele alınacaktır. Golden Ticket ve Silver Ticket oluşturma teknikleri, bu biletlerin nasıl kullanıldığı ve uzun süreli domain hakimiyeti için önemi açıklanacaktır.
-
DCShadow, DRL (Directory Replication Service) istismarları ve SID History manipülasyonu gibi gelişmiş kalıcılık yöntemleri ve bunların tespiti üzerinde durulacaktır.
Katılımcılar bu modülde Yanal Hareket, Yetki Yükseltme ve Domain Dominance konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
-
Active Directory yönetim modelinin segmente edilmesi ele alınacaktır. Tier 0 (Domain Controller ve Kimlik Altyapısı), Tier 1 (Sunucular) ve Tier 2 (İş istasyonları) ayrımı ve bu katmanların güvenlik stratejileri detaylıca incelenecektir.
-
Yönetici hesaplarının izolasyonu, Jump Host / PAW (Privileged Access Workstation) konumlandırması ve bu mimarilerin saldırı yüzeyini azaltmadaki rolü açıklanacaktır.
-
Güvenli yapılandırma standartları üzerinde durulacaktır. LAPS (Local Administrator Password Solution) kurulumu ve merkezi yerel yönetici parolası yönetimi uygulamalı olarak gösterilecektir.
-
GPO tabanlı sıkılaştırma, SMB Signing zorunluluğu, LLMNR/NBT-NS kapatılması ve RPC enkripsiyonu gibi kritik güvenlik politikalarının nasıl uygulanacağı öğretilecektir.
-
Doğru yetkilendirme ve servis hesapları yönetimi ele alınacaktır. gMSA (Group Managed Service Accounts) kullanımı ve geleneksel servis hesabı risklerinin giderilmesi uygulamalı olarak gösterilecektir.
-
Tehlikeli ACL izinlerinin temizlenmesi ve düzenli olarak denetlenmesi için yöntemler ve araçlar açıklanacaktır.
Katılımcılar bu modülde Active Directory Savunma, Sıkılaştırma (Hardening) ve Katmanlı Mimariler konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
-
Kritik Active Directory olay günlüklerinin yapılandırılması ele alınacaktır. Advanced Audit Policy yapılandırması (Giriş/çıkış, nesne erişimi, yetki kullanımı) detaylıca incelenecektir.
-
Spesifik Event ID'lerin (4624, 4672, 4768, 4769, 4720, 5136 vb.) güvenlik açısından takibi ve bu ID'lerin hangi saldırı göstergelerine işaret ettiği açıklanacaktır.
-
Şüpheli aktivitelerin gerçek zamanlı izlenmesi üzerinde durulacaktır. BloodHound analitiği ile zafiyetlerin proaktif olarak kapatılması ve saldırı yollarının tespiti uygulamalı olarak gösterilecektir.
-
SIEM (Security Information and Event Management) ve EDR (Endpoint Detection and Response) sistemlerinde anomali tabanlı Active Directory saldırı tespiti (DCSync, Kerberoasting uyarıları) ve entegrasyon stratejileri açıklanacaktır.
-
Active Directory güvenlik denetimlerinin yönetimi ele alınacaktır. İç/dış denetimlerde AD yapılandırma kanıtlarının toplanması ve raporlanması için yöntemler öğretilecektir.
-
Düzeltici ve önleyici faaliyetlerin (CAPA) planlanması ve sürekli izleme döngüsünün nasıl kurulacağı açıklanacaktır.
-
Eğitimin tüm modülleri tamamlandıktan sonra, katılımcıların edindikleri tüm kazanımları somut bir kurumsal başarıya dönüştürmeleri amacıyla 3 farklı kulvarda seçmeli bitirme projesi sunulmaktadır:
-
Seçmeli Proje 1 (Kurumsal Temel Mimari & Standartlar)::Derin iş mantığı, katmanlı mimari, veri bütünlüğü ve en iyi pratikler. Bu projede katılımcılar, mevcut bir Active Directory ortamının güvenlik mimarisini analiz ederek, Tiered Administration prensiplerine uygun, güvenli ve sürdürülebilir bir yapılandırma önerisi sunacaklardır. Proje, ACL temizliği, GPO sıkılaştırma ve LAPS entegrasyonu gibi temel güvenlik standartlarının uygulanmasını içerecektir.
-
Seçmeli Proje 2 (Dağıtık Sistemler, Ölçeklenebilirlik & Otomasyon)::Cloud-Native mimariler, asenkron akışlar ve otomasyon boru hatları. Bu projede katılımcılar, Active Directory ortamında tespit edilen zafiyetleri (Kerberoasting, delegasyon istismarları vb.) otomatize edilmiş bir şekilde tespit eden ve raporlayan bir araç veya betik geliştireceklerdir. Proje, BloodHound verilerinin analizi ve SIEM/EDR entegrasyonu için otomasyon senaryolarını kapsayabilir.
-
Seçmeli Proje 3 (Yüksek Performans, Dayanıklılık & Modern Entegrasyon)::Gerçek zamanlı veri akışı, resiliency, gözlemlenebilirlik ve modern servis entegrasyonu. Bu projede katılımcılar, Active Directory ortamında gerçek zamanlı tehdit tespiti ve müdahale için bir izleme ve uyarı sistemi tasarlayacaklardır. Proje, Advanced Audit Policy yapılandırması, kritik Event ID'lerin takibi ve SIEM/EDR sistemlerine entegrasyonu ile anomali tabanlı saldırı tespit senaryolarını içerecektir.
-
Her katılımcı ilgi alanına uygun projeyi seçerek; mimari şemaları (Mermaid), kapsamlı geliştirme yol haritaları ve GitHub README standartları doğrultusunda uluslararası portföy kalitesinde bir proje teslim edecektir.
-
Eğitimin Ötesinde:Kurumunuzla Birlikte Çalışıyor, Denetimlere Hazırlıyor ve Eksiklikleri Gideriyoruz
-
Vebende Akademi olarak, kurumsal regülasyon ve denetim uyumluluğunu yalnızca teorik eğitimlerle sınırlı değerlendirmiyoruz. Kurumunuzun faaliyet alanına, tabi olduğu yasal düzenlemelere (BDDK, TCMB, KVKK, SPK, ISO/IEC, SOC 2, EU AI Act), teknolojik altyapısına, organizasyonel yapısına ve mevcut kontrol mekanizmalarına göre kapsamlı bir ortak mühendislik çalışması yürütüyoruz.
-
İhtiyaç duyulması halinde ilgili eğitim programıyla birlikte veya bağımsız bir kurumsal hizmet kapsamında; denetim ve teftiş öncesinde kurumunuzun ilgili ekipleriyle birlikte çalışıyor, mevcut durumunuzu analiz ediyor, regülasyonlara uygunluk kontrollerini gerçekleştiriyor ve tespit edilen eksikliklerin giderilmesi için teknik ve organizasyonel iyileştirme çalışmalarını yürütüyoruz.
-
1. Kurumsal Yetkinlik Geliştirme (Eğitim Modeli):40 saatlik modüler uzmanlık eğitimi, canlı uygulamalı laboratuvarlar, hands-on workshoplar, kurumsal mimari aktarımı ve ekip yetkinlik değerlendirmesi.
-
2. Kurumsal Denetim, Uyum ve Birlikte Mühendislik Çalışması (Danışmanlık ve Birlikte Çalışma):360° mevcut durum analizi, denetim simülasyonları, teknik kontroller, kurum ekipleriyle birlikte mühendislik ve altyapı iyileştirmesi, yeniden test ve 13 kurumsal rapor paketi.
-
(Bu iki çalışma modeli kurumun ihtiyacına göre bağımsız olarak veya birbiriyle entegre bir program olarak tercih edilebilir).
-
1. 01 – Kurumsal Keşif ve Kapsam Analizi:Kurumun faaliyet alanı, iş modeli, tabi olduğu yasal düzenlemeler ve teknolojik envanterin incelenmesi. (Çıktı: Kapsam ve Mevcut Durum Raporu)
-
2. 02 – 360° Kurumsal Olgunluk ve Gap Analysis:Politika, prosedür, süreç ve teknik altyapının regülasyon standartlarına göre incelenmesi. (Çıktı: Kurumsal Olgunluk ve Eksiklik Analizi)
-
3. 03 – Denetim ve Kontrol Simülasyonu:Gerçekçi denetçi soru setleri, teknik test senaryoları ve mülakat simülasyonları. (Çıktı: Denetim Simülasyonu ve Bulgu Raporu)
-
4. 04 – Birlikte Geliştirme ve İyileştirme:Tespit edilen eksikliklerin kurumun teknik ve yönetim ekipleriyle birlikte kapatılması, kodlama ve altyapı iyileştirmeleri. (Çıktı: İyileştirilmiş Kontrol ve Altyapı Yapısı)
-
5. 05 – Yeniden Test ve Uygunluk Doğrulaması:Kapatılan bulguların yeniden kontrolü, kontrol etkinliği testleri ve kalan risk değerlendirmesi. (Çıktı: Retest ve Uygunluk Doğrulama Raporu)
-
6. 06 – Nihai Kurumsal 360° Raporlama:Yönetim kurulu ve teknik ekipler için kanıt dosyaları, sorumluluk matrisleri ve sürekli uyum planı. (Çıktı: Kurumsal 360° Sonuç ve İyileştirme Raporu)
#9500 Active Directory Attack & Defense (Aktif Dizin Saldırı ve Savunma) İçin Kurumsal Çalışma ve Denetim Hazırlık Haritası mimarisi, pratik kullanım detayları ve kurumsal standartlar.
-
| Çalışma Alanı | Yapılacak Kapsamlı Çalışmalar |
-
|---|---|
-
| AD Mimari Analizi | Forest, Domain, Trust ilişkileri, OU yapısı ve Domain Controller topolojisinin derinlemesine incelenmesi |
-
| Kimlik ve Hesap Denetimi | Kullanıcı, servis, yerel/etki alanı yönetici hesapları ve pasif/inaktif hesapların denetimi |
-
| Yetki Denetimi | Domain Admins, Enterprise Admins, yerleşik yetkili gruplar, ACL/ACE izinleri ve delegasyon kontrolleri |
-
| Kerberos Güvenliği | Kerberoasting, AS-REP Roasting, SPN yapılandırmaları ve Kerberos bilet ömrü/şifreleme ayarları |
-
| GPO Denetimi | Parola politikaları, oturum açma kısıtlamaları, güvenlik şablonları ve GPO tutarlılık/miras analizleri |
-
| Ayrıcalıklı Erişim | Tier 0/1/2 katmanlı yönetim, PAM, LAPS kurulumu ve ayrıcalıklı hesap yönetimi süreçleri |
-
| ADCS Güvenliği | Sertifika şablonları, yanlış yetkilendirmeler (ESC1-ESC8) ve sertifika tabanlı saldırı yolları |
-
| İzleme ve Kayıt | Windows Event Logs (4624, 4672, 4768, 4769), SIEM korelasyonları ve alarm doğrulama mekanizmaları |
-
BloodHound ile etki alanı saldırı yollarının ve gizli ayrıcalık zincirlerinin haritalanması
-
PingCastle ve yetkili PowerShell denetimleri ile kurumsal risk skorunun hesaplanması
-
Yetkisiz yönetici erişimi ve ayrıcalık yükseltme (Privilege Escalation) senaryoları simülasyonu
-
DCSync ve Pass-the-Hash senaryolarının izole laboratuvarda teknik olarak test edilmesi
-
Domain Controller ele geçirilmesi varsayımıyla kurtarma ve müdahale tatbikatı icrası
-
SIEM üzerinden 4624, 4672, 4768 ve 4769 kritik olaylarının tespiti ve korelasyon doğrulaması
-
Tiered Administration (Katmanlı Yönetim Mimarisi) standartlarının projelendirilip uygulanması
-
Privileged Access Management (PAM) ve Just-In-Time (JIT) erişim süreçlerinin yapılandırılması
-
GPO güvenlik standartlarının (CIS Benchmarks / Microsoft Security Baselines) entegrasyonu
-
Eski protokol ve güvensiz kimlik doğrulama yöntemlerinin (NTLMv1, SMBv1, Digest) sistemden kaldırılması
-
LAPS ve Active Directory Certificate Services (ADCS) güvenlik sıkılaştırmalarının yapılması
-
Domain Admin ve yetkili grup üyeliklerinin en aza indirilmesi (En Az Yetki Prensibi)
-
AD yedekleme, NTDS.dit güvenliği ve Forest Recovery prosedürlerinin hazırlanması
-
İncelenecek Sistemler:Domain Controller sunucuları, DNS altyapısı, replikasyon topolojisi, LDAP/LDAPS protokolleri, ADCS sunucuları, GPO depoları, yedekleme sistemleri, kurumsal SIEM ve EDR altyapıları
-
Active Directory Güvenlik Denetim Raporu:
-
Yetki ve Erişim Matrisi:
-
BloodHound Saldırı Yolu Analiz Dosyası:
-
AD Hardening ve Sıkılaştırma Eylem Planı:
-
SIEM Kural Seti ve Alarm Korelasyon Dokümanı:
-
Resmi Teftiş Denetim Kanıt Dosyası:
-
İyileştirme Sonrası Yeniden Test (Retest) Raporu:
-
1. Executive Summary:Üst yönetim için genel durum, kritik riskler ve yönetim özeti
-
2. Regulatory Compliance Assessment:Tabi olunan regülasyon ve standart bazında detaylı uygunluk analizi
-
3. Gap Analysis:Eksik, yetersiz veya henüz uygulanmamış kontrollerin ayrıntılı dökümü
-
4. Risk Assessment:Olasılık, etki, risk seviyesi ve kontrol sonrası kalıntı (residual) risk analizi
-
5. Technical Infrastructure Audit:Sistem, ağ, bulut, uygulama ve güvenlik altyapısının teknik inceleme raporu
-
6. Governance Assessment:Yönetim organizasyonu, kurumsal politikalar, süreçler ve görev sorumlulukları incelemesi
-
7. Control Effectiveness Report:Kontrollerin tasarımı ile fiili çalışma etkinliğinin ölçüm raporu
-
8. Audit Simulation Report:Gerçekleştirilen denetim senaryoları, simülasyonlar ve teknik test sonuçları
-
9. Evidence Register:Teftiş kuruluna sunulacak kanıtlar, dokümanlar, loglar ve doğrulama kayıtları kütüğü
-
10. Remediation Roadmap:Tespit edilen eksikliklerin giderilmesi için önceliklendirilmiş mühendislik planı
-
11. Retest Report:İyileştirme çalışmaları sonrasında gerçekleştirilen yeniden doğrulama test sonuçları
-
12. Competency Assessment:Kurumsal ekiplerin denetim ve regülasyon farkındalık ve yetkinlik değerlendirmesi
-
13. Continuous Compliance Plan:Denetim sonrasında sürdürülebilir, yaşayan sürekli uyumluluk ve izleme takvimi
-
Her kontrol bulgusu için şu kurumsal yapı kullanılır:Bulgu ID, Regülasyon, Kontrol Referansı, Mevcut Durum, Beklenen Durum, Kanıt, Risk Seviyesi, İş Etkisi, İyileştirme Çözümü, Sorumlu, Hedef Tarih, Yeniden Test Sonucu, Nihai Durum (Açık, İyileştirildi, Doğrulandı, Kabul Edilmiş Risk).
-
> Sorumlu Güvence Beyanı:Denetim öncesinde tespit edilen uygunsuzlukların giderilmesi, kritik risklerin azaltılması ve ilgili kontrollerin doğrulanması için kapsamlı hazırlık çalışmaları yürütülür. Hedef, açık bulguların mümkün olan en yüksek oranda kapatılması ve denetlenebilir bir kontrol ortamının oluşturulmasıdır. Nihai denetim sonucu, yetkili denetim heyetinin takdirindedir.
-
>
-
> Yetkili Denetim Sınırları:Bu çalışma, kurumun Active Directory ortamındaki yapısal zafiyetleri gidermeyi ve teftiş kanıtlarını üretmeyi amaçlar. Eğitim kapsamında yapılan laboratuvar uygulamaları ve mühendislik çalışmaları, bağımsız akredite sızma testi lisansının yerine geçmez.
-
Denetim öncesinde yapılan hazırlık çalışmasıyla sınırlı kalmayıp; kurumlar için yıllık veya dönemsel kontrol etkinliği takibi, regülasyon ve mevzuat değişikliklerinin değerlendirilmesi, üçüncü taraf tedarikçi denetimleri ve periyodik teknik güvenlik kontrolleri düzenli olarak sunulmaktadır.
Bu kapsamlı eğitim sonunda katılımcılar, Active Directory güvenliği konusunda sadece teorik bilgiye sahip olmakla kalmayacak, aynı zamanda bu bilgileri kurumsal operasyonel gerçekliklere entegre edebilecek pratik yetkinlikler kazanacaklardır. Siber Güvenlik ve Bilgi Güvenliği Uzmanları, Sistem ve Ağ Yöneticileri, Teknoloji Liderleri ve Proje Yöneticileri için bu eğitim, kariyerlerinde önemli bir sıçrama noktası olacaktır.
Katılımcılar, Active Directory'nin dahili mimarisine tam hakimiyet sağlayarak, saldırganların kullandığı en güncel teknikleri (Kerberoasting, Pass-the-Hash, Golden Ticket vb.) anlayacak ve bu tehditlere karşı proaktif savunma stratejileri geliştirebileceklerdir. Bu yetkinlik, kurumların siber saldırılara karşı direncini artırırken, olası ihlallerin etkisini minimize etme kabiliyetini de güçlendirecektir.
Eğitim, katılımcılara Tiered Administration, LAPS ve GPO sıkılaştırma gibi kritik savunma mekanizmalarını kurma ve yönetme becerisi kazandıracaktır. Bu sayede, kurumlar daha güvenli bir kimlik altyapısı inşa edebilecek, yetki yükseltme ve yanal hareket saldırılarına karşı daha dirençli hale gelecektir. Ayrıca, AD güvenlik izleme ve denetim mekanizmalarını kurma yetkinliği sayesinde, şüpheli aktiviteler erken aşamada tespit edilerek hızlı müdahale imkanı sağlanacaktır.
Teknoloji Liderleri ve Proje Yöneticileri, bu eğitimle birlikte Active Directory güvenlik projelerini daha etkin bir şekilde yönetebilecek, riskleri doğru değerlendirebilecek ve güvenlik yatırımlarının geri dönüşünü (ROI) maksimize edebilecek stratejiler geliştirebileceklerdir. İç denetçi ve uyum uzmanları ise, AD güvenlik kontrollerini daha derinlemesine denetleyebilecek ve uyumluluk gereksinimlerini eksiksiz karşılayabileceklerdir.
Sonuç olarak, bu eğitim, katılımcıların siber güvenlik alanındaki uzmanlıklarını derinleştirerek, onları kurumları için vazgeçilmez birer güvenlik mimarı ve savunma stratejisti haline getirecektir. Kazanılan bu yetkinlikler, hem bireysel kariyer gelişimine büyük katkı sağlayacak hem de kurumların dijital varlıklarını geleceğin siber tehditlerine karşı koruma altına almasına olanak tanıyacaktır.
Eğitime Ek Olarak Alabileceğiniz Kapsamlı Hizmet ve Çalışmalarımız
Kurumsal Regülasyon Uyumluluğu, Denetim Hazırlığı ve Birlikte Mühendislik Çözümleri
Eğitimin Ötesinde: Kurumunuzla Birlikte Çalışıyor, Denetimlere Hazırlıyor ve Eksiklikleri Gideriyoruz
Vebende Akademi, kurumları bağımsız denetimlere ve resmi regülasyonlara hazırlayan, mevcut kurumsal uyumluluk ve olgunluk seviyelerini 360° ölçen, teknik ve organizasyonel eksiklikleri ekiplerinizle birlikte gideren ve uygulanan iyileştirmeleri doğrulayan bir yetkinlik ve mühendislik çözüm ortağıdır.
Bu yaklaşımda eğitim, kurumsal dönüşümün ve yetkinlik inşasının yalnızca bir bileşenidir. Kurumun talebine göre regülasyon kapsamının belirlenmesinden gap analizine, denetçi simülasyonlarından canlı sistemlerde iyileştirme mühendisliğine, yeniden test (retest) kanıtlarından C-Level yönetim raporlarına kadar tüm süreç kurumunuzla birlikte çalışma (co-working) prensibiyle yürütülür.
Kurumsal Yetkinlik Geliştirme (Eğitim Modeli)
Ekiplerinizin bağımsız denetim standartlarına, regülasyon maddelerine ve mimari sıkılaştırma gereksinimlerine tam hakimiyet kazanması için yapılandırılmış 40 saatlik modüler yetkinlik programı.
- 40 Saatlik Kapsamlı Uygulamalı Müfredat
- Canlı Kurumsal Vaka Laboratuvarları ve Atölyeler
- Mimari Tasarım ve Kod / Konfigürasyon İncelemeleri
- 3 Gerçek Dünya Bitirme Projesi ve Seviye 3 Bröve
- Kıdemli Mentörle 1-1 Kariyer ve Mimari Oturumu
Kurumsal Denetim, Uyum ve Birlikte Mühendislik Çalışması
Kurumun gerçek sistemleri ve süreçleri üzerinde çalışarak uyumluluk seviyesini ölçen, eksiklikleri ekiplerinizle birlikte gideren ve 13 kurumsal rapor sunan mühendislik çözüm ortaklığı.
- 360° Mevcut Durum Analizi ve Gap Analysis
- Gerçekçi Denetçi Soru Setleri ve Denetim Simülasyonu
- Kurum Ekipleriyle Birlikte Mühendislik ve İyileştirme
- İyileştirme Sonrası Yeniden Test (Retest) Doğrulaması
- Yönetim ve Teftiş İçin 13 Kapsamlı Sonuç Raporu
* Kurumlar bu iki çalışma modelini ihtiyaca göre bağımsız bir danışmanlık hizmeti olarak veya eğitimle entegre hibrit bir program halinde tercih edebilirler.
Assessment
Kurumsal keşif, mevzuat kapsamı ve altyapı envanterinin tespiti.
Çıktı: Kapsam RaporuGap Analysis
Politika, prosedür ve teknik kontrollerin olgunluk analizi.
Çıktı: Eksiklik AnaliziAudit Sim
Gerçekçi denetçi soru setleri ve teknik simülasyonlar.
Çıktı: Bulgu RaporuEngineering
Tespit edilen eksikliklerin birlikte kapatılması ve kodlama.
Çıktı: İyileştirilmiş YapıVerification
Kapatılan bulguların yeniden testi ve kanıt doğrulaması.
Çıktı: Retest RaporuReporting
C-Level ve teftiş kurulu için 360° sonuç ve yol haritası.
Çıktı: 360° Sonuç RaporuDenetim Hazırlığı ve Odak Çalışma Alanları
| Çalışma Alanı | Yapılacak Kapsamlı Teknik ve Mevzuatsal Çalışmalar |
|---|---|
| AD Mimari Analizi | Forest, Domain, Trust ilişkileri, OU yapısı ve Domain Controller topolojisinin derinlemesine incelenmesi |
| Kimlik ve Hesap Denetimi | Kullanıcı, servis, yerel/etki alanı yönetici hesapları ve pasif/inaktif hesapların denetimi |
| Yetki Denetimi | Domain Admins, Enterprise Admins, yerleşik yetkili gruplar, ACL/ACE izinleri ve delegasyon kontrolleri |
| Kerberos Güvenliği | Kerberoasting, AS-REP Roasting, SPN yapılandırmaları ve Kerberos bilet ömrü/şifreleme ayarları |
| GPO Denetimi | Parola politikaları, oturum açma kısıtlamaları, güvenlik şablonları ve GPO tutarlılık/miras analizleri |
| Ayrıcalıklı Erişim | Tier 0/1/2 katmanlı yönetim, PAM, LAPS kurulumu ve ayrıcalıklı hesap yönetimi süreçleri |
| ADCS Güvenliği | Sertifika şablonları, yanlış yetkilendirmeler (ESC1-ESC8) ve sertifika tabanlı saldırı yolları |
| İzleme ve Kayıt | Windows Event Logs (4624, 4672, 4768, 4769), SIEM korelasyonları ve alarm doğrulama mekanizmaları |
Denetim ve Kontrol Simülasyonları
Denetçilerin soracağı sorular ve gerçek denetim senaryoları öncesinde uygulanan teknik testler:
- BloodHound ile etki alanı saldırı yollarının ve gizli ayrıcalık zincirlerinin haritalanması
- PingCastle ve yetkili PowerShell denetimleri ile kurumsal risk skorunun hesaplanması
- Yetkisiz yönetici erişimi ve ayrıcalık yükseltme (Privilege Escalation) senaryoları simülasyonu
- DCSync ve Pass-the-Hash senaryolarının izole laboratuvarda teknik olarak test edilmesi
- Domain Controller ele geçirilmesi varsayımıyla kurtarma ve müdahale tatbikatı icrası
- SIEM üzerinden 4624, 4672, 4768 ve 4769 kritik olaylarının tespiti ve korelasyon doğrulaması
Birlikte Geliştirme ve İyileştirme Yönergeleri
Tespit edilen eksikliklerin kurumun teknik ve yönetim ekipleriyle birlikte kapatılma adımları:
- Tiered Administration (Katmanlı Yönetim Mimarisi) standartlarının projelendirilip uygulanması
- Privileged Access Management (PAM) ve Just-In-Time (JIT) erişim süreçlerinin yapılandırılması
- GPO güvenlik standartlarının (CIS Benchmarks / Microsoft Security Baselines) entegrasyonu
- Eski protokol ve güvensiz kimlik doğrulama yöntemlerinin (NTLMv1, SMBv1, Digest) sistemden kaldırılması
- LAPS ve Active Directory Certificate Services (ADCS) güvenlik sıkılaştırmalarının yapılması
- Domain Admin ve yetkili grup üyeliklerinin en aza indirilmesi (En Az Yetki Prensibi)
- AD yedekleme, NTDS.dit güvenliği ve Forest Recovery prosedürlerinin hazırlanması
Altyapı ve Mimari Kontrol Kapsamı
İncelenecek Sistem, Ağ, Bulut, Uygulama ve Güvenlik Altyapıları:
Bu Eğitime ve Çalışmaya Özel Kurumsal Teslimatlar
Tüm kurumsal çalışmalarımızın sonunda yönetim kademesine, iç denetim birimlerine ve bağımsız denetçilere sunulmak üzere uluslararası denetim standartlarına uyumlu 13 ayrı kurumsal rapor paketi üretilir:
Executive Summary
Üst yönetim için genel durum, kritik riskler ve yönetim özeti
Regulatory Compliance Assessment
Tabi olunan regülasyon ve standart bazında detaylı uygunluk analizi
Gap Analysis
Eksik, yetersiz veya henüz uygulanmamış kontrollerin ayrıntılı dökümü
Risk Assessment
Olasılık, etki, risk seviyesi ve kontrol sonrası kalıntı (residual) risk analizi
Technical Infrastructure Audit
Sistem, ağ, bulut, uygulama ve güvenlik altyapısının teknik inceleme raporu
Governance Assessment
Yönetim organizasyonu, kurumsal politikalar, süreçler ve görev sorumlulukları incelemesi
Control Effectiveness Report
Kontrollerin tasarımı ile fiili çalışma etkinliğinin ölçüm raporu
Audit Simulation Report
Gerçekleştirilen denetim senaryoları, simülasyonlar ve teknik test sonuçları
Evidence Register
Teftiş kuruluna sunulacak kanıtlar, dokümanlar, loglar ve doğrulama kayıtları kütüğü
Remediation Roadmap
Tespit edilen eksikliklerin giderilmesi için önceliklendirilmiş mühendislik planı
Retest Report
İyileştirme çalışmaları sonrasında gerçekleştirilen yeniden doğrulama test sonuçları
Competency Assessment
Kurumsal ekiplerin denetim ve regülasyon farkındalık ve yetkinlik değerlendirmesi
Continuous Compliance Plan
Denetim sonrasında sürdürülebilir, yaşayan sürekli uyumluluk ve izleme takvimi
Denetim simülasyonlarında ve teknik analizlerde tespit edilen her uygunsuzluk, uluslararası iç denetim ve regülasyon metodolojisine uygun olarak aşağıdaki 11 bileşenli formatta raporlanır:
| Bulgu Kodu | İlgili Standart / Madde | Bulgu Tanımı | Kök Neden | Risk Seviyesi | Etki & Olasılık | İyileştirme Aksiyonu | Sorumlu Birim | Hedef Tarih | Doğrulama Yöntemi | Durum |
|---|---|---|---|---|---|---|---|---|---|---|
FIND-001 |
BDDK / ISO Kontrol No | Açık ve net bulgu açıklaması | Süreç / Mimari eksiklik | Kritik | Yüksek / Orta | Birlikte mühendislik adımı | Altyapı / Güvenlik | GG.AA.YYYY | Retest / Log İncelemesi | Açık |
FIND-002 |
Yetkilendirme / Şifreleme | Sıkılaştırma eksikliği | Konfigürasyon zaafı | Yüksek | Kritik / Düşük | Sıkılaştırma scripti & GPO | DevSecOps / Sistem | GG.AA.YYYY | Doğrulandı | Kapatıldı |
Sorumlu Güvence İlkesi ve Önemli Yasal / Denetim Sınırları
Sorumlu Güvence Beyanı: Denetim öncesinde tespit edilen uygunsuzlukların giderilmesi, kritik risklerin azaltılması ve ilgili kontrollerin doğrulanması için kapsamlı hazırlık çalışmaları yürütülür. Hedef, açık bulguların mümkün olan en yüksek oranda kapatılması ve denetlenebilir bir kontrol ortamının oluşturulmasıdır. Nihai denetim sonucu, yetkili denetim heyetinin takdirindedir.
Yetkili Denetim Sınırları: Bu çalışma, kurumun Active Directory ortamındaki yapısal zafiyetleri gidermeyi ve teftiş kanıtlarını üretmeyi amaçlar. Eğitim kapsamında yapılan laboratuvar uygulamaları ve mühendislik çalışmaları, bağımsız akredite sızma testi lisansının yerine geçmez.
Tuncer KARAARSLAN
Bilgisayar mühendisliğindeki 35 yılı aşan mühendislik ve teknoloji deneyimi ile 25 yılı aşkın uluslararası kurumsal teknoloji eğitmenliği ve danışmanlık kariyeriyle Tuncer KARAARSLAN, Türkiye'nin önde gelen teknoloji ve yazılım otoritelerindendir. Kurumsal yazılım mimarileri, bulut altyapıları, DevOps, DevSecOps ve yapay zeka entegrasyonlarında derinlemesine uzmanlığa sahiptir.
Hackathon Tadında Eğitim Yaklaşımı: Teorik bilginin ötesine geçerek bol senaryolu, interaktif ve katılımcıların projelerini canlı inceleyen (Code Review & Architecture Review) bir öğrenme deneyimi sunar.
Kurumunuzun ihtiyacına, ekibinizin kıdemine ve takvimine göre özelleştirilmiş 4 farklı çalışma formatı sunuyoruz.
Detaylı Kapalı Sınıf (3-5 Hafta)
Teknolojinin tüm detaylarının bol laboratuvar ve hands-on pratiklerle incelendiği kurumsal standart formatımızdır.
Hackathon Formatı
Teknik ekiplerin gruplar halinde projeler inşa ettiği, oyunlaştırılmış ve sinerjiyi artıran interaktif modeldir.
İleri Düzey Workshoplar
Mimarlar seviyesinde sistemlerin ve operasyonel modellerin tartışıldığı danışmanlık formatındaki oturumlardır.
Yönetim Seminerleri (1-2 Hafta)
C-Level ve mühendislik yöneticilerinin stratejik karar alma süreçlerini destekleyen farkındalık seminerleridir.
Bu programı tamamlayan katılımcılar aşağıdaki kritik teknik yetkinlikleri sahada uygulama becerisi kazanır.
- Kurumsal projelerde aranan elit mühendislik ve uzmanlık unvanına sahip olma
- Teknik liderlik, çözüm mimarlığı ve kıdemli uzmanlık pozisyonlarına geçişte belirleyici avantaj
- Büyük ölçekli kurumsal altyapılarda ve kritik sistemlerde güvenilir karar alma yetkinliği
- Sektörel standartlarda problem çözme, optimizasyon ve hata giderme refleksleri kazanma
- Global ölçekte geçerli teknik bilgi birikimi ve LinkedIn üzerinde doğrulanabilir dijital rozetler
- Sektörün duayen eğitmeni Tuncer KARAARSLAN liderliğinde 35+ yıllık tecrübeyle mentorluk
- Slayt okumak yerine; yoğun canlı kodlama, mimari analizler ve interaktif laboratuvar yaklaşımı
- Eğitim süresince 12 hands-on laboratuvar ödevi ve birebir eğitmen geri bildirimi
- 3 gerçek dünya bitirme projesiyle 3. Seviye Uzmanlık Brövesi kazanımı
- Katılımcı sayısı sınırlaması olmaksızın sınıf bazlı kurumsal sabit fiyat modeli
Liderlik ve Yönetim Kademeleri İçin Değer Matrisi
Bu eğitim; yetkinliği proje, code review ve ölçülebilir çıktılarla görünür hale getirerek teknik ve idari karar vericilerin mühendislik kalitesini güçlendirmesi için kurgulanmıştır.
Denetim Güvencesi & Bulgu Önleme
- • Kapsamlı Bulgu Kapatma: BDDK, KVKK, ISO 27001 denetimleri öncesinde kritik zafiyetleri proaktif kapatma.
- • Denetlenebilir Mimari: Sistemleri uluslararası güvenlik tebliğlerine göre sıkılaştırıp belgelendirme.
- • Teftiş Kalkanı: Dış denetçi ve müfettişlerin inceleme testlerinde tam uyum sağlama.
- • Ceza Riski Koruması: Olası regülasyon para cezaları ve lisans risklerini engelleme.
Denetim Kanıtı & Çalışma Kağıdı
- • Çalışma Kağıdı Hazırlığı: Denetim heyetlerine sunulacak uluslararası standartta çalışma kağıtları.
- • CISA/CRISC Uyumu: İç denetim süreçlerini global ISACA standartlarına göre işletme.
- • Kanıt Bütünlüğü: Örnekleme yerine tüm sistemlerde doğrulanabilir log telemetrisi.
- • Şeffaf Teftiş Karnesi: Yönetim kuruluna sunulacak temiz denetim raporu üretimi.
Yasal Koruma & Ceza Kalkanı
- • Regülasyon Dokunulmazlığı: KVKK, GDPR, EU AI Act ve tebliğ yükümlülüklerine eksiksiz uyum.
- • Yönetim Kurulu Güvencesi: Karar vericilerin yasal ve cezai sorumluluklarını koruma altına alma.
- • RACI & Yönetişim: Şirket içi görevler ayrılığı ve veri saklama prosedürlerini kurma.
- • Hukuki Argümantasyon: Düzenleyici kurumlara karşı savunulabilir teknik dokümantasyon.
Mimari Standartlar & Kesintisiz Uyum
- • Pre-Audit Hardening: Sistemleri teftiş öncesinde CIS Benchmarks seviyesinde sıkılaştırma.
- • Sıfır Teknik & Uyum Borcu: Regülasyona aykırı gölge BT unsurlarını ve açıkları yok etme.
- • Zero Trust Mimarisi: En az ayrıcalık ve katmanlı erişim modellerini hayata geçirme.
- • Sürekli Denetim Refleksi: Ekiplere denetlenebilir mimari refleksleri kazandırma.
#9500 Active Directory Attack & Defense (Aktif Dizin Saldırı ve Savunma); Vebende Akademi'nin kurumsal mühendislik kariyer yollarının çekirdek modüllerindendir.
#9500 eğitimini tamamladıktan sonra kariyer ve uzmanlık hedefinize göre doğrudan geçiş yapabileceğiniz ilişkili ileri düzey eğitimler.
Resmi denetim öncesi hazırlık, birlikte çalışma modeli, üretilen çalışma kağıtları ve kurumsal güvence hakkında merak edilenler.
Bu Eğitimi Kurumunuza ve Ekibinize Özel Olarak Alın
Şirketinizin teknoloji yığınına uygun özelleştirilmiş müfredat, kapalı sınıf imkanı ve teknik ekip performans raporlaması ile kurumsal dönüşümünüzü hızlandırın.