OSCP (Offensive Security Certified Professional)
OSCP (Offensive Security Certified Professional) alanında kurumların resmi teftiş ve bağımsız denetimler öncesinde tam hazırlık yapmasını sağlayan, denetim bulgularını sıfırlayan ve yasal regülasyon uyumunu temin eden 8 modüllü stratejik tamamlayıcı eğitim.
#9520 OSCP (Offensive Security Certified Professional) Denetimler Öncesinde Kurumunuza Ne Kazandırır?
Regülasyonlar (BDDK, SPK, PCI-DSS, ISO 27001), kurumların yılda en az bir kez bağımsız yetkili sızma testi yaptırmasını zorunlu kılar. Dışarıdan gelen pentest heyetlerinin kritik açıklar bulup teftiş raporlarına yazmaması için, kurum içi ekiplerin saldırgan zihniyetine (Offensive Mindset) sahip olması ve zafiyetleri önceden kapatması şarttır. OffSec PEN-200 müfredatına dayalı bu eğitim; kuruma canlı exploit geliştirme, ağ sızma testleri, ayrıcalık yükseltme ve denetim öncesi sızma testi simülasyonu yetkinliğini kazandıran en üst düzey uygulamalı programdır.
Uluslararası Standartlar & Denetim Güvencesi
Eğitim süresince Offensive Security PEN-200, PTES Sızma Testi Standardı, BDDK Yetkili Sızma Testi Şartları, PCI-DSS Sızma Testi Tebliği, NIST SP 800-115 regülasyon çerçeveleri ekseninde; denetim iz kayıtları, konfigürasyon çalışma kağıtları, RACI yönetişim matrisleri ve bulgu kapatma ve risk azaltma mekanizmaları canlı kurumsal vaka laboratuvarlarıyla incelenir.
Kurumsal Hazırlık & Denetim Dosyası
Müfettiş ve bağımsız denetçilere sunulacak çalışma kağıtları, log telemetrisi, yetki matrisleri ve 16 denetim laboratuvar ödevi ile 3 denetim odaklı bitirme projesiyle kurumsal uyum somut olarak belgelenir.
Resmi Teftiş ve Regülasyon Denetimleri Öncesinde Kurumsal Güvence
Bu eğitim; kurumların yaklaşan resmi teftişler (BDDK, TCMB, KVKK, SPK) ve uluslararası bağımsız denetimler (ISO/IEC, SOC 2, DORA, EU AI Act) öncesinde bilgi sistemleri altyapılarını regülasyon gereksinimlerine göre eksiksiz tamamlaması, kritik bulguları sıfırlaması ve denetim heyetlerine sunulacak kanıt dosyalarını eksiksiz üretmesi için yapılandırılmış tamamlayıcı kurumsal hazırlık programıdır.
Bu program yalnızca klasik bir eğitim değildir; resmi denetim ve teftiş öncesinde kurumun ilgili paydaşlarıyla (Teftiş Kurulu, C-Level, Uyum, Mühendislik) birlikte çalışma (co-working) metodolojisiyle yürütülen, canlı sistemler üzerinde denetim çalışma kağıtları (workpapers), kanıt paketleri ve açık bulguların mümkün olan en yüksek oranda kapatılmasını hedefleyen kapsamlı bir kurumsal hazırlık çalışmasıdır.
Denetim Öncesi Kurum İçi Sızma Testi Simülasyonu
Resmi pentest firması veya denetim heyeti gelmeden önce tüm dış ve iç ağ varlıklarını saldırgan gözüyle test eder.
Kritik Zafiyetlerin Önceden Kökten Onarılması
Web, sunucu ve ağ bileşenlerindeki uzaktan kod çalıştırma (RCE), SQLi ve yetki yükseltme açıklarını denetim öncesi sıfırlar.
BDDK ve PCI-DSS Uyumlu Sızma Testi Raporlaması
Yasal denetim otoritelerine sunulacak resmi formatta, doğrulanabilir ve aksiyon odaklı sızma testi raporları üretir.
Kırmızı Takım (Red Team) ile Mavi Takımı (Defenders) Eğitme
Saldırgan tekniklerini simüle ederek SOC ve siber savunma ekiplerinin gerçek saldırı anındaki tespit kabiliyetini sınar.
Eğitim Yol Haritası (5 Temel Aşama)
Regülasyonlar (BDDK, SPK, PCI-DSS, ISO 27001), kurumların yılda en az bir kez bağımsız yetkili sızma testi yaptırmasını zorunlu kılar. Dışarıdan gelen pentest heyetlerinin kritik açıklar bulup teftiş raporlarına yazmaması için, kurum içi ekiplerin saldırgan zihniyetine (Offensive Mindset) sahip olması ve zafiyetleri önceden kapatması şarttır. OffSec PEN-200 müfredatına dayalı bu eğitim; kuruma canlı exploit geliştirme, ağ sızma testleri, ayrıcalık yükseltme ve denetim öncesi sızma testi simülasyonu yetkinliğini kazandıran en üst düzey uygulamalı programdır.
- OSCP (Offensive Security Certified Professional) mimarisini ilgili yasal çerçeveler (Offensive Security PEN-200, PTES Sızma Testi Standardı, BDDK Yetkili Sızma Testi Şartları) ile %100 uyumlu hale getirmek
- Resmi teftişler ve bağımsız denetimler öncesinde kritik bulguları önceden tespit edip sıfırlayarak kurumsal denetim başarısını güvenceye almak
- Denetim heyetlerine ve müfettişlere sunulacak uluslararası standartta denetim kanıtları, iz kayıtları ve çalışma kağıtları (workpapers) üretmek
- Kurum içi RACI yetki matrislerini, politika ve operasyonel prosedürleri regülasyon gereksinimlerine göre eksiksiz yapılandırmak
- Olası idari para cezaları, lisans iptali yaptırımları ve itibar kayıplarına karşı proaktif kurumsal koruma kalkanı oluşturmak
- Kurumsal Sızma Testi Uzmanları & Red Team Ekipleri: Kurumsal Sızma Testi Raporu & Zafiyet Kapatma Planı (Kurum altyapısını dünyanın en zorlu sızma testi standardında test edip güvenlik açıklarını önceden kapatmak için.)
- Teftiş Kurulu Müfettişleri & Güvenlik Denetçileri: Sızma Testi Denetim Doğrulama & İnceleme Kılavuzu (Dış sızma testi firmalarının sunduğu raporların teknik doğruluğunu ve test derinliğini sorgulayabilmek için.)
- Siber Savunma & SOC Liderleri: Saldırı Vektörleri & Tespit Kuralları Haritası (Saldırganın izlediği adımları anlayarak savunma katmanlarını (EDR, SIEM, Firewall) tam yerinde konumlandırmak için.)
- CISO ve Bilgi Güvenliği Direktörleri: Kurumsal Teknik Siber Dayanıklılık Karnesi (Kurumun teknik güvenlik duruşunu bağımsız sertifikasyon seviyesinde kanıtlamak ve denetim risklerini sıfırlamak için.)
#9520 OSCP (Offensive Security Certified Professional) programı; resmi teftiş ve bağımsız denetimler öncesinde kurumsal sorumluluk taşıyan liderlerin ve teknik uzmanların masasında bulunması gereken stratejik bir yatırımdır.
Kurumsal Sızma Testi Uzmanları & Red Team Ekipleri
Kurum altyapısını dünyanın en zorlu sızma testi standardında test edip güvenlik açıklarını önceden kapatmak için.
Teftiş Kurulu Müfettişleri & Güvenlik Denetçileri
Dış sızma testi firmalarının sunduğu raporların teknik doğruluğunu ve test derinliğini sorgulayabilmek için.
Siber Savunma & SOC Liderleri
Saldırganın izlediği adımları anlayarak savunma katmanlarını (EDR, SIEM, Firewall) tam yerinde konumlandırmak için.
CISO ve Bilgi Güvenliği Direktörleri
Kurumun teknik güvenlik duruşunu bağımsız sertifikasyon seviyesinde kanıtlamak ve denetim risklerini sıfırlamak için.
Resmi denetim raporuna girecek tek bir 'Kritik Düzeyde Sızma Zafiyeti' üst yönetimin performans notunu doğrudan düşürür ve regülasyon cezası getirir. Bu eğitim kurumunuzu gerçek saldırılara karşı hazırlar.
Programımız; kurumsal yetkinlik ve mühendislik kalitesinin tüm kritik katmanlarını kapsayan 6 stratejik yetkinlik sütunu üzerine inşa edilmiştir.
Yasal & Sektörel Regülasyon Standartları
Offensive Security PEN-200, PTES Sızma Testi Standardı, BDDK Yetkili Sızma Testi Şartları çerçevelerindeki zorunlu kontrol maddelerinin mimariye ve süreçlere eksiksiz entegrasyonu.
Denetim Kanıtları & Çalışma Kağıtları
Resmi denetim heyetlerine ve müfettişlere sunulacak denetim iz kayıtları, konfigürasyon belgeleri ve çalışma kağıdı (workpaper) üretimi.
Pre-Audit Hardening & Bulgu Kapatma
Teftiş kurulu gelmeden önce sistemlerin saldırgan ve denetçi gözüyle taranması ve kritik bulguların proaktif olarak kapatılması.
Kurumsal Yönetişim, RACI & Politika
Görevler ayrılığı (SoD), yetkilendirme matrisleri ve kurumsal politika dokümanlarının regülasyon standartlarında inşası.
Denetçi Savunması & Mülakat Hazırlığı
Denetim heyetlerinin yönelteceği teknik ve idari sorulara karşı savunulabilir hukuki ve mühendislik argümanlarının oluşturulması.
Sürekli Uyum & Otomatize Denetim İzleri
Uyumun bir kereye mahsus değil, kurum bünyesinde sürekli çalışan otomatik izleme ve raporlama mekanizmasına dönüştürülmesi.
Katılımcılar, eğitim sonunda portföylerine ekleyebilecekleri ve kurumlarında doğrudan şablon olarak kullanabilecekleri 3 gerçek dünya projesi geliştirirler.
Bitirme Projesi 1: Kurumsal Güvenlik Denetimi ve Zafiyet Yönetimi Platformu
Bu bitirme projesi, katılımcılara OSCP kapsamında kazanılan sızma testi ve zafiyet analizi yetkinliklerini, kurumsal bir güvenlik denetimi ve zafiyet yönetimi platformu geliştirme sürecinde somut bir şekilde uygulamalarına olanak tanır. Proje, FAANG ve Fortune 500 standartlarında bir güvenlik operasyon merkezi (SOC) ve denetim ekibinin ihtiyaç duyduğu, zafiyet taramalarının planlanmasından raporlamasına kadar tüm yaşam döngüsünü kapsayan bir sistem mimarisi sunar. Katılımcılar, bu projeyi tamamladığında uluslararası iş ilanlarında doğrudan kullanılabilecek, GitHub portföylerinde yer alabilecek ve teknik mülakatlarda "sistem tasarım" ve "güvenlik mimarisi" konularında yetkinliklerini kanıtlayabilecek bir eser elde ederler.
Bitirme Projesi 2: Dağıtık Güvenlik Tarama ve Otomasyon Boru Hattı
Bu bitirme projesi, katılımcılara OSCP eğitiminde kazanılan zafiyet taraması, ağ keşfi ve sızma testi yetkinliklerini, dağıtık sistemler ve cloud-native mimariler kapsamında bir güvenlik tarama otomasyon platformu olarak uygulamalarına olanak tanır. Proje, Fortune 500 standartlarında bir güvenlik operasyon ekibinin, geniş çaplı altyapıda paralel zafiyet taramaları yapabilmesi, sonuçları toplayabilmesi ve otomatize düzeltici faaliyet tetikleyebilmesi için tasarlanmıştır. Katılımcılar, bu projeyi tamamladığında uluslararası iş ilanlarında doğrudan kullanılabilecek, GitHub portföylerinde yer alabilecek ve teknik mülakatlarda "dağıtık sistem tasarım" ve "DevSecOps otomasyonu" konularında yetkinliklerini kanıtlayabilecek bir eser elde ederler.
Bitirme Projesi 3: Yüksek Performanslı Güvenlik İzleme ve Olay Müdahale Sistemi
Bu bitirme projesi, katılımcılara OSCP eğitiminde kazanılan sızma testi, zafiyet analizi ve olay müdahale yetkinliklerini, yüksek performanslı ve dayanıklı bir güvenlik izleme ve olay müdahale sistemi olarak uygulamalarına olanak tanır. Proje, FAANG standartlarında bir güvenlik operasyon merkezi (SOC) ve olay müdahale ekibinin, gerçek zamanlı güvenlik olaylarını izleyebilmesi, tehditleri analiz edebilmesi ve hızlıca müdahale edebilmesi için tasarlanmıştır. Katılımcılar, bu projeyi tamamladığında uluslararası iş ilanlarında doğrudan kullanılabilecek, GitHub portföylerinde yer alabilecek ve teknik mülakatlarda "gerçek zamanlı sistem tasarım" ve "güvenlik operasyonları" konularında yetkinliklerini kanıtlayabilecek bir eser elde ederler.
Kurumlar ve Satın Alma Departmanları İçin Neden Bu Eğitim Vazgeçilmezdir?
Geleneksel bireysel eğitimlerin aksine Vebende Akademi, kurumların operasyonel sürekliliğini, yazılım mimarisi güvenliğini ve bütçe verimliliğini esas alır. Tuncer KARAARSLAN'ın 35 yılı aşan bilgisayar mühendisliği ve 25 yılı aşkın uluslararası teknoloji eğitmenliği birikimiyle sunulan bu program; teorik anlatım yerine kurumunuzun gerçek iş süreçlerine doğrudan etki eden ölçülebilir çıktılar üretir.
Fiyatlandırma kişi başı değil, sınıf fiyatıdır. Ekibinizden 5 veya 15 kişi katılsın, bütçeniz değişmez; kişi başına düşen maliyet sektördeki en avantajlı kurumsal seviyeye iner.
Yeni işe başlayan veya farklı teknolojilerden geçiş yapan mühendislerin kurumsal kod ve mimari standartlarına hızla uyum sağlamasını ve üretime katkı verme süresini kısaltır.
Spagetti kod ve kontrolsüz altyapı yerine endüstri standardı mimari yaklaşımlar öğretilir. Güvenlik açıkları ve teknik borç birikimi ilk günden engellenir.
Eğitim süresince her katılımcının laboratuvar ödevleri, GitHub pratikleri ve bitirme projeleri şeffaf bir yetkinlik karnesi olarak yönetiminize raporlanır.
Dünya çapında önde gelen 24+ platform (Coursera, edX, O'Reilly, Pluralsight, MIT vb.) ve 17+ kariyer portalının son 3 yıllık iş ilanı verileri konsolide edilerek yapılandırılmış, sıfırdan kurumsal mimariye uzanan 8 uygulamalı modül.
-
Kurumsal Pentest Projelerinin Planlanması ve Kapsam Belirleme:Sızma testi projelerinin başlangıç aşamasında, kurumun hedefleri, bütçesi ve risk toleransı doğrultusunda projenin kapsamının nasıl belirleneceği detaylı olarak ele alınacaktır. Bu süreçte, projenin yasal ve etik sınırları da göz önünde bulundurulacaktır.
-
PTES (Penetration Testing Execution Standard) ve OSSTMM standartlarının kurumsal entegrasyonu:Sızma testi süreçlerinde uluslararası kabul görmüş PTES ve OSSTMM standartlarının temel prensipleri, aşamaları ve kurumsal güvenlik stratejilerine nasıl entegre edileceği uygulamalı örneklerle açıklanacaktır.
-
Sızma testi sözleşmeleri, kapsam sınırlamaları, kuralları (Rules of Engagement) ve yetkilendirme süreçleri:Sızma testi projelerinde yasal sorumlulukları ve operasyonel sınırları belirleyen sözleşmelerin hazırlanması, kapsam dışı bırakılacak sistemler, test saatleri ve yetkilendirme mekanizmaları detaylı olarak incelenecektir.
-
Kurumsal Hedef Analizi ve OSINT Yöntemleri:Hedef kurum hakkında açık kaynaklardan (OSINT) bilgi toplama teknikleri, bu bilgilerin analizi ve sızma testi için nasıl kullanılacağı öğretilecektir. Bu kapsamda, sosyal medya, web siteleri, forumlar ve resmi belgeler gibi kaynaklardan veri toplama yöntemleri ele alınacaktır.
-
DNS enumeration, WHOIS, subdomain keşfi ve açık kaynak istihbaratı toplama teknikleri:DNS kayıtları, WHOIS veritabanları ve alt alan adı keşif araçları kullanılarak hedef ağ ve sistemler hakkında detaylı bilgi toplama yöntemleri uygulamalı olarak gösterilecektir.
-
Nmap ve Masscan ile ağ keşfi, port tarama ve canlı host/servis tespiti:Ağ keşfi için Nmap ve Masscan gibi güçlü araçların kullanımı, açık portların tespiti, canlı hostların belirlenmesi ve ağ topolojisinin çıkarılması pratik senaryolarla öğretilecektir.
-
Banner Grabbing ve Versiyon Analizi:Hedef sistemlerde çalışan servislerin versiyon bilgilerini (banner grabbing) elde etme teknikleri ve bu bilgilerin zafiyet analizi için nasıl kullanılacağı açıklanacaktır.
-
Çalışan servislerin versiyonlarının tespit edilmesi ve bilinen zafiyet veritabanlarıyla (CVE/Exploit-DB) eşleştirilmesi:Tespit edilen servis versiyonlarının CVE ve Exploit-DB gibi zafiyet veritabanlarıyla karşılaştırılarak potansiyel güvenlik açıklarının belirlenmesi ve istismar kodlarının bulunması öğretilecektir.
Bu modül sonunda katılımcılar, sızma testi projelerinin temelini oluşturan metodolojileri ve etik çerçeveleri derinlemesine anlayacaklardır. Kurumsal düzeyde bir pentest projesini planlama, kapsamını belirleme ve yasal süreçleri yönetme becerisi kazanacaklardır. Pasif ve aktif bilgi toplama tekniklerini (OSINT, Nmap, Masscan) kullanarak hedef sistemler hakkında kapsamlı istihbarat edinebilecek, servis versiyonlarını tespit ederek bilinen zafiyetlerle eşleştirebileceklerdir. Bu yetkinlikler, katılımcıların siber güvenlik kariyerlerinde sağlam bir temel oluşturmalarını sağlayacak, kurumları için proaktif güvenlik önlemleri geliştirmelerine ve potansiyel tehditleri erken aşamada tespit etmelerine olanak tanıyacaktır. Kurumsal düzeyde, bu modül sayesinde güvenlik ekipleri, sızma testi süreçlerini daha metodik ve verimli bir şekilde yürütebilecek, güvenlik denetimlerinin kalitesini artırarak kurumsal riskleri minimize edebilecektir.
-
Kurumsal Zafiyet Tarayıcılarının Etkin Kullanımı:Nessus gibi endüstri standardı zafiyet tarayıcılarının kurulumu, yapılandırılması ve kurumsal ağlarda etkin bir şekilde kullanılması öğretilecektir.
-
Nessus veya benzeri araçlarla ağ ve host taramalarının gerçekleştirilmesi:Ağ ve host tabanlı zafiyet taramalarının nasıl başlatılacağı, tarama profillerinin özelleştirilmesi ve tarama sonuçlarının yorumlanması uygulamalı olarak gösterilecektir.
-
False Positive (Yanlış Pozitif) tespiti ve tarama sonuçlarının manuel olarak doğrulanması:Otomatize tarayıcıların ürettiği yanlış pozitif bulguların nasıl tespit edileceği ve gerçek zafiyetlerin manuel yöntemlerle nasıl doğrulanacağı öğretilecektir.
-
Kimlik Doğrulama Mekanizmalarının Test Edilmesi:Kurumsal sistemlerdeki kimlik doğrulama mekanizmalarının zayıflıkları, varsayılan kimlik bilgileri ve zayıf parola politikaları gibi konular ele alınacaktır.
-
Varsayılan (default) credential tespiti, zayıf parola analizi:Varsayılan kullanıcı adı ve şifrelerin tespiti, yaygın kullanılan zayıf parolaların analizi ve bu tür zafiyetlerin nasıl istismar edileceği öğretilecektir.
-
Hydra ve Medusa gibi araçlarla servis tabanlı brute-force ve credential stuffing testleri:Hydra ve Medusa gibi parola kırma araçları kullanılarak SSH, FTP, HTTP gibi servislerde brute-force ve credential stuffing saldırılarının nasıl gerçekleştirileceği uygulamalı olarak gösterilecektir.
-
Temel Ağ Zafiyetlerinin Test Edilmesi:SMB, FTP, SSH ve SNMP gibi yaygın ağ protokollerindeki konfigürasyon hataları ve bilinen zafiyetler ele alınacaktır.
-
SMB, FTP, SSH ve SNMP servislerindeki konfigürasyon hatalarının tespiti ve istismarı:Bu protokollerdeki zayıf yapılandırmaların, yetkisiz erişim ve bilgi sızdırma için nasıl istismar edileceği pratik senaryolarla öğretilecektir.
Bu modül sonunda katılımcılar, kurumsal ağ ve host zafiyetlerini otomatize araçlarla tarama ve bu tarama sonuçlarını manuel olarak doğrulama becerisi kazanacaklardır. Nessus gibi profesyonel zafiyet tarayıcılarını etkin bir şekilde kullanarak yanlış pozitifleri ayıklayabilecek ve gerçek güvenlik açıklarını tespit edebileceklerdir. Parola ve kimlik doğrulama mekanizmalarındaki zafiyetleri (varsayılan kimlik bilgileri, zayıf parolalar) Hydra ve Medusa gibi araçlarla test edebilecek, brute-force ve credential stuffing saldırılarını gerçekleştirebileceklerdir. Ayrıca, SMB, FTP, SSH ve SNMP gibi temel ağ protokollerindeki konfigürasyon hatalarını ve zafiyetlerini tespit ederek istismar etme yetkinliği kazanacaklardır. Bu yetkinlikler, katılımcıların kurumlarının ağ altyapısını daha güvenli hale getirmelerine, potansiyel saldırı vektörlerini proaktif olarak kapatmalarına ve güvenlik denetimlerinde daha derinlemesine analizler yapmalarına olanak tanıyacaktır.
-
Kritik Web Zafiyetlerinin Test Edilmesi:OWASP Top 10 listesinde yer alan en kritik web uygulama zafiyetleri (SQL Injection, XSS, LFI, RFI vb.) detaylı olarak incelenecektir.
-
SQL Injection (SQLi) zafiyetlerinin tespiti ve manuel istismarı (veri tabanı dump işlemleri):SQL Injection zafiyetlerinin manuel olarak nasıl tespit edileceği, veritabanı yapısının çıkarılması ve veri sızdırma (dump) işlemleri uygulamalı olarak gösterilecektir.
-
Cross-Site Scripting (XSS), Remote File Inclusion (RFI) ve Local File Inclusion (LFI) testleri:XSS, RFI ve LFI zafiyetlerinin farklı türleri, tespit yöntemleri ve istismar senaryoları pratik örneklerle ele alınacaktır.
-
Broken Authentication ve IDOR Testleri:Kırık kimlik doğrulama (Broken Authentication) ve güvenli olmayan doğrudan nesne referansları (IDOR) zafiyetlerinin tespiti ve istismarı öğretilecektir.
-
Oturum yönetimi zaafları, yetki atlama (Privilege Escalation - Web) ve Insecure Direct Object References (IDOR) analizi:Oturum jetonlarının manipülasyonu, yetki atlama senaryoları ve IDOR zafiyetlerinin kurumsal web uygulamaları üzerindeki etkileri analiz edilecektir.
Bu modül sonunda katılımcılar, web uygulama sızma testi metodolojilerine hakim olacak, HTTP trafiğini Burp Suite gibi araçlarla analiz edip manipüle edebileceklerdir. OWASP Top 10'da yer alan kritik web zafiyetlerini (SQL Injection, XSS, RFI, LFI) manuel ve otomatize yöntemlerle tespit edip istismar etme becerisi kazanacaklardır. Özellikle SQL Injection zafiyetlerinde veritabanı dump işlemleri gibi ileri seviye istismar tekniklerini uygulayabileceklerdir. Ayrıca, kırık kimlik doğrulama, oturum yönetimi zaafları ve IDOR gibi yetkilendirme zafiyetlerini analiz ederek web tabanlı yetki atlama senaryolarını gerçekleştirebileceklerdir. Bu yetkinlikler, katılımcıların kurumlarının web uygulamalarını siber saldırılara karşı daha dirençli hale getirmelerine, geliştirme süreçlerinde güvenlik açıklarını önceden tespit etmelerine ve web tabanlı tehditlere karşı proaktif savunma stratejileri geliştirmelerine olanak tanıyacaktır.
-
Yerel Sistem Bilgilerinin Toplanması:Windows işletim sistemlerinde yerel bilgi toplama teknikleri, sistem yapılandırması, kurulu yazılımlar ve güvenlik ayarları hakkında bilgi edinme yöntemleri ele alınacaktır.
-
Windows komut satırı ve PowerShell araçları ile sistem yapılandırmasının incelenmesi:Windows komut satırı (cmd) ve PowerShell kullanılarak sistem bilgileri, çalışan süreçler, ağ bağlantıları ve kullanıcı hesapları hakkında detaylı bilgi toplama uygulamalı olarak gösterilecektir.
-
Yerel kullanıcılar, gruplar, yama seviyeleri ve çalışan süreçlerin analizi:Yerel kullanıcı ve grup izinleri, sistemin yama seviyeleri ve çalışan servislerin analizi ile potansiyel zafiyetlerin tespiti öğretilecektir.
-
Yetki Yükseltme Vektörleri:Windows sistemlerde ayrıcalık yükseltme için kullanılabilecek yaygın konfigürasyon hataları ve zafiyet vektörleri (Unquoted Service Paths, zayıf dosya/klavye izinleri vb.) incelenecektir.
-
Unquoted Service Paths, yamanmamış servisler ve zayıf dosya/klavye izinleri:Bu tür konfigürasyon hatalarının nasıl tespit edileceği ve SYSTEM veya yönetici yetkilerine erişim için nasıl istismar edileceği uygulamalı olarak gösterilecektir.
-
Kayıt defteri (Registry) zafiyetleri, AlwaysInstallElevated ve saklı parolalar (Registry secrets):Windows kayıt defterindeki zayıf izinler, AlwaysInstallElevated ayarı ve kayıt defterinde saklanan hassas bilgilerin (parolalar) nasıl istismar edileceği öğretilecektir.
-
WinPEAS ve PowerUp Kullanımı:Windows sistemlerde yerel ayrıcalık yükseltme zafiyetlerini otomatik olarak tespit etmek için WinPEAS ve PowerUp gibi araçların kullanımı öğretilecektir.
-
Otomasyon betikleri ile yerel zafiyetlerin hızlı tespiti ve istismar doğrulaması:Bu otomasyon araçları kullanılarak zafiyetlerin hızlı bir şekilde tespiti, analiz edilmesi ve istismar senaryolarının doğrulanması pratik uygulamalarla gösterilecektir.
Bu modül sonunda katılımcılar, Windows sistemlerde yerel bilgi toplama ve sistem yapılandırmasını analiz etme konusunda uzmanlaşacaklardır. Windows komut satırı ve PowerShell araçlarını etkin bir şekilde kullanarak sistem bilgileri, kullanıcılar, gruplar ve yama seviyeleri hakkında detaylı istihbarat edinebileceklerdir. Unquoted Service Paths, zayıf dosya/klavye izinleri, kayıt defteri zafiyetleri ve AlwaysInstallElevated gibi Windows konfigürasyon hatalarını tespit edip istismar ederek ayrıcalık yükseltme (Privilege Escalation) tekniklerini uygulayabileceklerdir. Ayrıca, WinPEAS ve PowerUp gibi otomasyon araçlarını kullanarak yerel zafiyetleri hızlıca belirleyip istismar senaryolarını doğrulama becerisi kazanacaklardır. Bu yetkinlikler, katılımcıların kurumlarının Windows tabanlı altyapılarındaki güvenlik açıklarını proaktif olarak tespit etmelerine, sistemleri sıkılaştırmalarına ve potansiyel saldırıların önüne geçmelerine olanak tanıyacaktır.
-
Yerel Linux Ortamının İncelenmesi:Linux işletim sistemlerinde yerel bilgi toplama teknikleri, dosya sistemi yapısı, kurulu yazılımlar ve güvenlik ayarları hakkında bilgi edinme yöntemleri ele alınacaktır.
-
Linux dosya izinleri, `/etc/passwd` ve `/etc/shadow` erişim kontrolleri:Linux dosya izinleri (rwx), SUID/SGID bitleri, `/etc/passwd` ve `/etc/shadow` dosyalarının güvenlik açısından analizi öğretilecektir.
-
SUID/SGID bitine sahip dosyaların ve yetkisiz komut çalıştırma izinlerinin (SUDO) tespiti:SUID/SGID bitine sahip dosyaların tespiti, bu dosyaların yetki yükseltme için nasıl kullanılabileceği ve SUDO yapılandırma hatalarının analizi uygulamalı olarak gösterilecektir.
-
Linux Yerel Zafiyet Vektörleri:Linux sistemlerde ayrıcalık yükseltme için kullanılabilecek yaygın konfigürasyon hataları ve zafiyet vektörleri (cron job zafiyetleri, yazılabilir konfigürasyon dosyaları vb.) incelenecektir.
-
Cron job (zamanlanmış görev) zafiyetleri ve yazıla bilir konfigürasyon dosyaları:Cron job'lardaki zayıf izinler, yazılabilir konfigürasyon dosyaları ve bu tür zafiyetlerin root yetkilerine erişim için nasıl istismar edileceği uygulamalı olarak gösterilecektir.
-
Yerel kernel exploit lerinin güvenli ortamlarda test edilmesi ve doğrulanması:Linux çekirdek zafiyetlerinin tespiti, bilinen kernel exploit'lerinin güvenli laboratuvar ortamlarında nasıl test edileceği ve doğrulanacağı öğretilecektir.
-
LinPEAS ve Linux Exploit Suggester Kullanımı:Linux sistemlerde yerel ayrıcalık yükseltme zafiyetlerini otomatik olarak tespit etmek için LinPEAS ve Linux Exploit Suggester gibi araçların kullanımı öğretilecektir.
-
Linux sistemlerde hızlı zafiyet analizi ve kök (root) haklarına erişim sağlama:Bu otomasyon araçları kullanılarak zafiyetlerin hızlı bir şekilde tespiti, analiz edilmesi ve root yetkilerine erişim senaryolarının doğrulanması pratik uygulamalarla gösterilecektir.
Bu modül sonunda katılımcılar, Linux sistemlerde yerel bilgi toplama ve sistem yapılandırmasını analiz etme konusunda uzmanlaşacaklardır. Linux dosya izinleri, SUID/SGID bitleri, /etc/passwd, /etc/shadow ve SUDO yapılandırmalarını analiz ederek potansiyel zafiyetleri tespit edebileceklerdir. Cron job zafiyetleri, yazılabilir konfigürasyon dosyaları ve kernel exploit'leri gibi Linux konfigürasyon hatalarını ve zafiyetlerini istismar ederek ayrıcalık yükseltme (Privilege Escalation) tekniklerini uygulayabileceklerdir. Ayrıca, LinPEAS ve Linux Exploit Suggester gibi otomasyon araçlarını kullanarak yerel zafiyetleri hızlıca belirleyip root yetkilerine erişim senaryolarını doğrulama becerisi kazanacaklardır. Bu yetkinlikler, katılımcıların kurumlarının Linux tabanlı altyapılarındaki güvenlik açıklarını proaktif olarak tespit etmelerine, sistemleri sıkılaştırmalarına ve potansiyel saldırıların önüne geçmelerine olanak tanıyacaktır.
-
Ağ İçi Sızma ve Komuta Kontrol:İlk sisteme erişim sağlandıktan sonra ağ içindeki diğer sistemlere geçiş yapma (lateral movement) teknikleri ve komuta kontrol (C2) altyapılarının kullanımı ele alınacaktır.
-
Credential harvesting (kimlik bilgisi avı), Pass-the-Hash ve PSExec teknikleri ile ağ içinde ilerleme:Kimlik bilgisi avı (credential harvesting), Pass-the-Hash saldırıları ve PSExec gibi araçlar kullanılarak ağ içinde yanal hareketin nasıl gerçekleştirileceği uygulamalı olarak gösterilecektir.
-
Profesyonel Pentest Raporunun Hazırlanması:Sızma testi bulgularının yönetime ve teknik ekiplere sunulacak profesyonel bir rapor formatında nasıl hazırlanacağı öğretilecektir.
-
Yönetici özeti (Executive Summary), teknik bulgular, risk derecelendirmesi (CVSS) ve istismar adımlarının belgelendirilmesi:Raporun yönetici özeti, tespit edilen teknik bulgular, CVSS puanlamasına göre risk derecelendirmesi ve istismar adımlarının detaylı belgelendirilmesi konuları ele alınacaktır.
-
Bulguların Kapatılması ve Doğrulanması:Tespit edilen zafiyetlerin giderilmesi (remediation) için alınacak önlemler, yama yönetimi ve güvenlik sıkılaştırma (hardening) süreçleri öğretilecektir.
-
Tespit edilen zafiyetlerin yama yönetimi ve sıkılaştırma (Hardening) ile giderilmesi:Zafiyetlerin giderilmesi için uygulanacak teknik adımlar, güvenlik politikalarının güncellenmesi ve sistemlerin sıkılaştırılması uygulamalı olarak gösterilecektir.
-
Sızma testi bulgularının re-test (yeniden test) süreçleriyle doğrulanması:Düzeltici faaliyetlerin ardından zafiyetlerin gerçekten giderildiğinin doğrulanması için yeniden test (re-test) süreçlerinin nasıl yürütüleceği öğretilecektir.
Bu modül sonunda katılımcılar, bir sisteme sızdıktan sonra ağ içinde yanal hareket (lateral movement) tekniklerini uygulayarak diğer sistemlere erişim sağlama ve komuta kontrol (C2) altyapılarını kullanma becerisi kazanacaklardır. Credential harvesting, Pass-the-Hash ve PSExec gibi ileri seviye saldırı tekniklerini kullanarak ağ içi yayılım senaryolarını gerçekleştirebileceklerdir. Ayrıca, sızma testi bulgularını uluslararası standartlara uygun, profesyonel bir rapor formatında (Executive Summary, teknik bulgular, CVSS risk derecelendirmesi) belgeleme yetkinliği edineceklerdir. Tespit edilen zafiyetlerin giderilmesi (remediation), yama yönetimi, güvenlik sıkılaştırma (hardening) ve yeniden test (re-test) süreçlerini yöneterek kurumsal güvenlik duruşunu sürekli iyileştirme becerisi kazanacaklardır. Bu yetkinlikler, katılımcıların kurumlarının siber güvenlik operasyonlarında lider rol oynamalarına, karmaşık saldırı senaryolarına karşı savunma stratejileri geliştirmelerine ve güvenlik denetimlerinin tüm yaşam döngüsünü etkin bir şekilde yönetmelerine olanak tanıyacaktır.
-
Pivotlama ve Port Yönlendirme Teknikleri:Ele geçirilen bir sistem üzerinden iç ağlara erişim sağlamak için pivotlama ve port yönlendirme (SSH tünelleme, Chisel, Meterpreter) teknikleri öğretilecektir.
-
Ağ Segmentasyonu Atlatma ve Güvenlik Duvarı Kural İhlalleri:Ağ segmentasyonunu atlatma yöntemleri, güvenlik duvarı kural ihlalleri ve IDS/IPS sistemlerini bypass etme teknikleri uygulamalı olarak gösterilecektir.
-
DNS Tünelleme ve HTTP/S C2 Kanalları:Güvenlik kontrollerini atlatmak için DNS tünelleme ve HTTP/S tabanlı Komuta Kontrol (C2) kanallarının oluşturulması ve kullanılması ele alınacaktır.
-
Active Directory Keşfi ve Zafiyet Analizi:Active Directory ortamlarında bilgi toplama, kullanıcı ve grup enumerasyonu, zayıf yapılandırmaların tespiti (AS-REP Roasting, Kerberoasting) öğretilecektir.
-
Golden Ticket ve Silver Ticket Saldırıları:Active Directory ortamlarında kalıcılık sağlamak ve yetki yükseltmek için Golden Ticket ve Silver Ticket saldırılarının nasıl gerçekleştirileceği uygulamalı olarak gösterilecektir.
-
GPO (Group Policy Object) Zafiyetleri ve İstismarı:Grup İlkesi Nesnelerindeki (GPO) zayıf yapılandırmaların tespiti ve bu zafiyetlerin yetki yükseltme veya ağ içinde yayılma için nasıl kullanılabileceği ele alınacaktır.
-
Red Teaming Metodolojisi ve Operasyonel Planlama:Red Teaming operasyonlarının planlanması, hedeflerin belirlenmesi, senaryo geliştirme ve operasyonel güvenlik (OpSec) prensipleri öğretilecektir.
-
Evasion Teknikleri ve Anti-Virüs/EDR Atlatma:Güvenlik yazılımlarını (Anti-Virüs, EDR) atlatmak için kullanılan evasion teknikleri, zararlı yazılım gizleme ve bellek içi istismar yöntemleri ele alınacaktır.
-
Kalıcılık (Persistence) Mekanizmaları ve Savunma Atlatma:Ele geçirilen sistemlerde kalıcılık sağlamak için kullanılan teknikler (başlangıç öğeleri, zamanlanmış görevler, WMI) ve bu mekanizmaların savunma tarafından nasıl tespit edileceği öğretilecektir.
Bu modül sonunda katılımcılar, gelişmiş sızma testi teknikleri ve Red Teaming yaklaşımları konusunda derinlemesine bilgi sahibi olacaklardır. Pivotlama, port yönlendirme, DNS tünelleme ve HTTP/S C2 kanalları gibi gelişmiş ağ istismarı tekniklerini uygulayarak ağ segmentasyonunu atlatabilecek ve güvenlik duvarı kural ihlallerini gerçekleştirebileceklerdir. Active Directory ortamlarında keşif ve zafiyet analizi yaparak Golden Ticket ve Silver Ticket saldırıları gibi ileri seviye istismar tekniklerini uygulayabileceklerdir. Ayrıca, Red Teaming operasyonlarının planlanması, operasyonel güvenlik (OpSec) prensipleri, Anti-Virüs/EDR atlatma (evasion) teknikleri ve kalıcılık (persistence) mekanizmaları konusunda yetkinlik kazanacaklardır. Bu yetkinlikler, katılımcıların kurumlarının siber güvenlik savunmasını en üst seviyeye çıkarmalarına, gelişmiş tehditlere karşı proaktif stratejiler geliştirmelerine ve Red Teaming operasyonlarını başarıyla yürütmelerine olanak tanıyacaktır.
-
Bulut Bilişim Temelleri ve Servis Modelleri (IaaS, PaaS, SaaS):Bulut bilişimin temel kavramları, farklı servis modelleri ve bu modellerin güvenlik üzerindeki etkileri ele alınacaktır.
-
Paylaşılan Sorumluluk Modeli (Shared Responsibility Model):Bulut sağlayıcıları (AWS, Azure, GCP) ile müşteri arasındaki güvenlik sorumluluklarının nasıl paylaşıldığı detaylı olarak incelenecektir.
-
Bulut Ortamlarında Kimlik ve Erişim Yönetimi (IAM) Zafiyetleri:Bulut ortamlarındaki IAM (Identity and Access Management) yapılandırma hataları, zayıf izinler ve yetki yükseltme senaryoları öğretilecektir.
-
AWS Sızma Testi:AWS ortamlarında keşif (S3 bucket enumerasyonu, EC2 instance zafiyetleri), IAM zafiyetleri ve Lambda fonksiyon istismarları uygulamalı olarak gösterilecektir.
-
Azure Sızma Testi:Azure ortamlarında keşif (Blob storage, VM zafiyetleri), Azure AD istismarları ve Azure Functions güvenlik açıkları ele alınacaktır.
-
GCP Sızma Testi:Google Cloud Platform ortamlarında keşif (Cloud Storage, Compute Engine zafiyetleri), IAM zafiyetleri ve Cloud Functions istismarları öğretilecektir.
-
DevSecOps Prensipleri ve Güvenlik Entegrasyonu:DevSecOps'un temel prensipleri, güvenlik kontrollerinin yazılım geliştirme yaşam döngüsüne (SDLC) nasıl entegre edileceği ele alınacaktır.
-
Güvenli Kodlama Pratikleri ve Otomatize Güvenlik Testleri (SAST, DAST, IAST):Güvenli kodlama pratikleri, Statik Uygulama Güvenlik Testi (SAST), Dinamik Uygulama Güvenlik Testi (DAST) ve İnteraktif Uygulama Güvenlik Testi (IAST) araçlarının kullanımı öğretilecektir.
-
CI/CD Süreçlerinde Güvenlik Kontrolleri ve Otomasyon:Sürekli Entegrasyon/Sürekli Dağıtım (CI/CD) boru hatlarına güvenlik kontrollerinin (güvenlik taramaları, yapılandırma denetimleri) nasıl entegre edileceği ve otomatize edileceği gösterilecektir.
-
Eğitimin tüm modülleri tamamlandıktan sonra, katılımcıların edindikleri tüm kazanımları somut bir kurumsal başarıya dönüştürmeleri amacıyla 3 farklı kulvarda seçmeli bitirme projesi sunulmaktadır:
-
Seçmeli Proje 1 (Kurumsal Temel Mimari & Standartlar)::Derin iş mantığı, katmanlı mimari, veri bütünlüğü ve en iyi pratikler.
-
Seçmeli Proje 2 (Dağıtık Sistemler, Ölçeklenebilirlik & Otomasyon)::Cloud-Native mimariler, asenkron akışlar ve otomasyon boru hatları.
-
Seçmeli Proje 3 (Yüksek Performans, Dayanıklılık & Modern Entegrasyon)::Gerçek zamanlı veri akışı, resiliency, gözlemlenebilirlik ve modern servis entegrasyonu.
-
Her katılımcı ilgi alanına uygun projeyi seçerek; mimari şemaları (Mermaid), kapsamlı geliştirme yol haritaları ve GitHub README standartları doğrultusunda uluslararası portföy kalitesinde bir proje teslim edecektir.
-
Eğitimin Ötesinde:Kurumunuzla Birlikte Çalışıyor, Denetimlere Hazırlıyor ve Eksiklikleri Gideriyoruz
-
Vebende Akademi olarak, kurumsal regülasyon ve denetim uyumluluğunu yalnızca teorik eğitimlerle sınırlı değerlendirmiyoruz. Kurumunuzun faaliyet alanına, tabi olduğu yasal düzenlemelere (BDDK, TCMB, KVKK, SPK, ISO/IEC, SOC 2, EU AI Act), teknolojik altyapısına, organizasyonel yapısına ve mevcut kontrol mekanizmalarına göre kapsamlı bir ortak mühendislik çalışması yürütüyoruz.
-
İhtiyaç duyulması halinde ilgili eğitim programıyla birlikte veya bağımsız bir kurumsal hizmet kapsamında; denetim ve teftiş öncesinde kurumunuzun ilgili ekipleriyle birlikte çalışıyor, mevcut durumunuzu analiz ediyor, regülasyonlara uygunluk kontrollerini gerçekleştiriyor ve tespit edilen eksikliklerin giderilmesi için teknik ve organizasyonel iyileştirme çalışmalarını yürütüyoruz.
-
1. Kurumsal Yetkinlik Geliştirme (Eğitim Modeli):40 saatlik modüler uzmanlık eğitimi, canlı uygulamalı laboratuvarlar, hands-on workshoplar, kurumsal mimari aktarımı ve ekip yetkinlik değerlendirmesi.
-
2. Kurumsal Denetim, Uyum ve Birlikte Mühendislik Çalışması (Danışmanlık ve Birlikte Çalışma):360° mevcut durum analizi, denetim simülasyonları, teknik kontroller, kurum ekipleriyle birlikte mühendislik ve altyapı iyileştirmesi, yeniden test ve 13 kurumsal rapor paketi.
-
(Bu iki çalışma modeli kurumun ihtiyacına göre bağımsız olarak veya birbiriyle entegre bir program olarak tercih edilebilir).
-
1. 01 – Kurumsal Keşif ve Kapsam Analizi:Kurumun faaliyet alanı, iş modeli, tabi olduğu yasal düzenlemeler ve teknolojik envanterin incelenmesi. (Çıktı: Kapsam ve Mevcut Durum Raporu)
-
2. 02 – 360° Kurumsal Olgunluk ve Gap Analysis:Politika, prosedür, süreç ve teknik altyapının regülasyon standartlarına göre incelenmesi. (Çıktı: Kurumsal Olgunluk ve Eksiklik Analizi)
-
3. 03 – Denetim ve Kontrol Simülasyonu:Gerçekçi denetçi soru setleri, teknik test senaryoları ve mülakat simülasyonları. (Çıktı: Denetim Simülasyonu ve Bulgu Raporu)
-
4. 04 – Birlikte Geliştirme ve İyileştirme:Tespit edilen eksikliklerin kurumun teknik ve yönetim ekipleriyle birlikte kapatılması, kodlama ve altyapı iyileştirmeleri. (Çıktı: İyileştirilmiş Kontrol ve Altyapı Yapısı)
-
5. 05 – Yeniden Test ve Uygunluk Doğrulaması:Kapatılan bulguların yeniden kontrolü, kontrol etkinliği testleri ve kalan risk değerlendirmesi. (Çıktı: Retest ve Uygunluk Doğrulama Raporu)
-
6. 06 – Nihai Kurumsal 360° Raporlama:Yönetim kurulu ve teknik ekipler için kanıt dosyaları, sorumluluk matrisleri ve sürekli uyum planı. (Çıktı: Kurumsal 360° Sonuç ve İyileştirme Raporu)
#9520 OSCP (Offensive Security Certified Professional) İçin Kurumsal Çalışma ve Denetim Hazırlık Haritası mimarisi, pratik kullanım detayları ve kurumsal standartlar.
-
| Çalışma Alanı | Yapılacak Kapsamlı Çalışmalar |
-
|---|---|
-
| Pentest Yönetişimi ve Kapsam | Test kuralları, kapsam belirleme (Rules of Engagement - RoE) ve yasal izinler |
-
| Saldırı Yüzeyi ve Varlık Keşfi | Dışa açık IP, domain, servis, bulut varlıkları ve DNS envanterinin çıkarılması |
-
| Ağ ve Altyapı Güvenliği | Ağ servis zafiyetleri, açık portlar, yanlış konfigürasyonlar ve protokol açıkları |
-
| Web ve API Güvenliği | OWASP Top 10 (SQLi, XSS, SSRF, IDOR, Broken Authentication) testleri |
-
| Kimlik ve Yetkilendirme | Parola kırma, kimlik bilgisi toplama ve yetki atlatma tekniklerinin analizi |
-
| Yetki Yükseltme (Privilege Escalation) | Linux (SUID, Kernel, Sudoers) ve Windows (Token, Service, DLL) istismarları |
-
| Active Directory Saldırı Yolları | Kerberoasting, AS-REP Roasting, DCSync, Pass-the-Hash, ACL istismarları |
-
| Yanal Hareket (Lateral Movement) | İç ağda yayılma, WMI/SMB/WinRM protokolleri ile pivoting analizleri |
-
| Defans Atlatma (Defense Evasion) | AV/EDR atlatma teknikleri, korumalı süreçler ve loglama kontrolleri |
-
| Raporlama ve Doğrulama | Teknik bulguların CVSS risk puanlaması ve yeniden test (Retest) süreçleri |
-
Kurumsal dış ağ IP bloklarına yönelik kapsamlı sızma testi (External Pentest) simülasyonu
-
Kurum içi ağa fiziksel/VPN erişim varsayımıyla iç ağ sızma testi (Internal Pentest) tatbikatı
-
Çekirdek kurumsal web uygulamaları ve REST/GraphQL API'leri üzerinde saldırı simülasyonu
-
Active Directory ortamında standart kullanıcı hesabından Domain Admin yetkisine ulaşma tatbikatı
-
Kritik veri tabanı sunucusuna yetkisiz erişim ve veri sızdırma senaryosu testi
-
Tespit edilen güvenlik zafiyetlerinin teknik olarak doğrulanması (Proof-of-Concept)
-
İyileştirme (patching/hardening) sonrası bulguların kapandığını doğrulayan Retest uygulaması
-
Kurumsal Zafiyet Yönetimi (Vulnerability Management) ve Yama Yönetimi (Patching) standartları
-
Ağ segmentasyonu, DMZ yapılandırması ve Güvenlik Duvarı kural temizliği
-
Güvenli Yazılım Geliştirme Yaşam Döngüsü (SSDLC) ve kod güvenliği kontrolleri
-
Active Directory Tiered Administration ve LAPS kurulumları
-
Uç nokta EDR/XDR koruması ve WAF sıkılaştırma politikalarının devreye alınması
-
Sürekli güvenlik testi ve periyodik sızma testi programının takvime bağlanması
-
İncelenecek Sistemler:Kurumsal ağ omurgası, güvenlik duvarları, WAF, VPN ağ geçitleri, Active Directory, Linux/Windows sunucular, Kubernetes kümeleri, web uygulamaları, API ağ geçitleri ve dışa açık tüm dijital varlıklar
-
Kurumsal Sızma Testi Raporu (Penetration Test Report - Yönetici ve Teknik Özet):
-
Saldırı Yolu Analizi (Attack Path Analysis & BloodHound Çıktıları):
-
Zafiyet Kütüğü (Vulnerability Register - CVSS v3.1 Skorlu):
-
Bulgular Teknik Kanıt Dosyası (PoC - Proof of Concept):
-
Zafiyet Giderme ve İyileştirme Yol Haritası (Remediation Roadmap):
-
İyileştirme Sonrası Yeniden Test (Retest) Raporu:
-
1. Executive Summary:Üst yönetim için genel durum, kritik riskler ve yönetim özeti
-
2. Regulatory Compliance Assessment:Tabi olunan regülasyon ve standart bazında detaylı uygunluk analizi
-
3. Gap Analysis:Eksik, yetersiz veya henüz uygulanmamış kontrollerin ayrıntılı dökümü
-
4. Risk Assessment:Olasılık, etki, risk seviyesi ve kontrol sonrası kalıntı (residual) risk analizi
-
5. Technical Infrastructure Audit:Sistem, ağ, bulut, uygulama ve güvenlik altyapısının teknik inceleme raporu
-
6. Governance Assessment:Yönetim organizasyonu, kurumsal politikalar, süreçler ve görev sorumlulukları incelemesi
-
7. Control Effectiveness Report:Kontrollerin tasarımı ile fiili çalışma etkinliğinin ölçüm raporu
-
8. Audit Simulation Report:Gerçekleştirilen denetim senaryoları, simülasyonlar ve teknik test sonuçları
-
9. Evidence Register:Teftiş kuruluna sunulacak kanıtlar, dokümanlar, loglar ve doğrulama kayıtları kütüğü
-
10. Remediation Roadmap:Tespit edilen eksikliklerin giderilmesi için önceliklendirilmiş mühendislik planı
-
11. Retest Report:İyileştirme çalışmaları sonrasında gerçekleştirilen yeniden doğrulama test sonuçları
-
12. Competency Assessment:Kurumsal ekiplerin denetim ve regülasyon farkındalık ve yetkinlik değerlendirmesi
-
13. Continuous Compliance Plan:Denetim sonrasında sürdürülebilir, yaşayan sürekli uyumluluk ve izleme takvimi
-
Her kontrol bulgusu için şu kurumsal yapı kullanılır:Bulgu ID, Regülasyon, Kontrol Referansı, Mevcut Durum, Beklenen Durum, Kanıt, Risk Seviyesi, İş Etkisi, İyileştirme Çözümü, Sorumlu, Hedef Tarih, Yeniden Test Sonucu, Nihai Durum (Açık, İyileştirildi, Doğrulandı, Kabul Edilmiş Risk).
-
> Sorumlu Güvence Beyanı:Denetim öncesinde tespit edilen uygunsuzlukların giderilmesi, kritik risklerin azaltılması ve ilgili kontrollerin doğrulanması için kapsamlı hazırlık çalışmaları yürütülür. Hedef, açık bulguların mümkün olan en yüksek oranda kapatılması ve denetlenebilir bir kontrol ortamının oluşturulmasıdır. Nihai denetim sonucu, yetkili denetim heyetinin takdirindedir.
-
>
-
> Yetkili Denetim Sınırları:Bütün testler kurumun yazılı yetkilendirmesi, belirlenmiş kapsamı ve güvenli test ortamı içinde yürütülür. Eğitim kapsamında yapılan laboratuvar uygulaması, bağımsız ve yetkili sızma testi raporuyla aynı şey değildir.
-
Denetim öncesinde yapılan hazırlık çalışmasıyla sınırlı kalmayıp; kurumlar için yıllık veya dönemsel kontrol etkinliği takibi, regülasyon ve mevzuat değişikliklerinin değerlendirilmesi, üçüncü taraf tedarikçi denetimleri ve periyodik teknik güvenlik kontrolleri düzenli olarak sunulmaktadır.
Bu modül sonunda katılımcılar, bulut bilişim ortamlarının (AWS, Azure, GCP) güvenlik modellerini ve paylaşılan sorumluluk prensiplerini derinlemesine anlayacaklardır. Bulut ortamlarındaki Kimlik ve Erişim Yönetimi (IAM) zafiyetlerini tespit edip istismar etme becerisi kazanacaklardır. AWS, Azure ve GCP gibi önde gelen bulut sağlayıcılarında keşif, zafiyet analizi ve istismar tekniklerini (S3 bucket enumerasyonu, Azure AD istismarları, Lambda fonksiyon zafiyetleri vb.) uygulamalı olarak gerçekleştirebileceklerdir. Ayrıca, DevSecOps prensiplerini, güvenli kodlama pratiklerini ve yazılım geliştirme yaşam döngüsüne (SDLC) güvenlik kontrollerini entegre etme konusunda yetkinlik kazanacaklardır. SAST, DAST, IAST gibi otomatize güvenlik test araçlarını kullanarak CI/CD süreçlerinde güvenlik açıklarını erken aşamada tespit edebileceklerdir. Bu yetkinlikler, katılımcıların kurumlarının bulut altyapılarını ve yazılım geliştirme süreçlerini siber saldırılara karşı daha dirençli hale getirmelerine, güvenlik açıklarını proaktif olarak kapatmalarına ve modern DevSecOps yaklaşımlarını benimsemelerine olanak tanıyacaktır.
Eğitime Ek Olarak Alabileceğiniz Kapsamlı Hizmet ve Çalışmalarımız
Kurumsal Regülasyon Uyumluluğu, Denetim Hazırlığı ve Birlikte Mühendislik Çözümleri
Eğitimin Ötesinde: Kurumunuzla Birlikte Çalışıyor, Denetimlere Hazırlıyor ve Eksiklikleri Gideriyoruz
Vebende Akademi, kurumları bağımsız denetimlere ve resmi regülasyonlara hazırlayan, mevcut kurumsal uyumluluk ve olgunluk seviyelerini 360° ölçen, teknik ve organizasyonel eksiklikleri ekiplerinizle birlikte gideren ve uygulanan iyileştirmeleri doğrulayan bir yetkinlik ve mühendislik çözüm ortağıdır.
Bu yaklaşımda eğitim, kurumsal dönüşümün ve yetkinlik inşasının yalnızca bir bileşenidir. Kurumun talebine göre regülasyon kapsamının belirlenmesinden gap analizine, denetçi simülasyonlarından canlı sistemlerde iyileştirme mühendisliğine, yeniden test (retest) kanıtlarından C-Level yönetim raporlarına kadar tüm süreç kurumunuzla birlikte çalışma (co-working) prensibiyle yürütülür.
Kurumsal Yetkinlik Geliştirme (Eğitim Modeli)
Ekiplerinizin bağımsız denetim standartlarına, regülasyon maddelerine ve mimari sıkılaştırma gereksinimlerine tam hakimiyet kazanması için yapılandırılmış 40 saatlik modüler yetkinlik programı.
- 40 Saatlik Kapsamlı Uygulamalı Müfredat
- Canlı Kurumsal Vaka Laboratuvarları ve Atölyeler
- Mimari Tasarım ve Kod / Konfigürasyon İncelemeleri
- 3 Gerçek Dünya Bitirme Projesi ve Seviye 3 Bröve
- Kıdemli Mentörle 1-1 Kariyer ve Mimari Oturumu
Kurumsal Denetim, Uyum ve Birlikte Mühendislik Çalışması
Kurumun gerçek sistemleri ve süreçleri üzerinde çalışarak uyumluluk seviyesini ölçen, eksiklikleri ekiplerinizle birlikte gideren ve 13 kurumsal rapor sunan mühendislik çözüm ortaklığı.
- 360° Mevcut Durum Analizi ve Gap Analysis
- Gerçekçi Denetçi Soru Setleri ve Denetim Simülasyonu
- Kurum Ekipleriyle Birlikte Mühendislik ve İyileştirme
- İyileştirme Sonrası Yeniden Test (Retest) Doğrulaması
- Yönetim ve Teftiş İçin 13 Kapsamlı Sonuç Raporu
* Kurumlar bu iki çalışma modelini ihtiyaca göre bağımsız bir danışmanlık hizmeti olarak veya eğitimle entegre hibrit bir program halinde tercih edebilirler.
Assessment
Kurumsal keşif, mevzuat kapsamı ve altyapı envanterinin tespiti.
Çıktı: Kapsam RaporuGap Analysis
Politika, prosedür ve teknik kontrollerin olgunluk analizi.
Çıktı: Eksiklik AnaliziAudit Sim
Gerçekçi denetçi soru setleri ve teknik simülasyonlar.
Çıktı: Bulgu RaporuEngineering
Tespit edilen eksikliklerin birlikte kapatılması ve kodlama.
Çıktı: İyileştirilmiş YapıVerification
Kapatılan bulguların yeniden testi ve kanıt doğrulaması.
Çıktı: Retest RaporuReporting
C-Level ve teftiş kurulu için 360° sonuç ve yol haritası.
Çıktı: 360° Sonuç RaporuDenetim Hazırlığı ve Odak Çalışma Alanları
| Çalışma Alanı | Yapılacak Kapsamlı Teknik ve Mevzuatsal Çalışmalar |
|---|---|
| Pentest Yönetişimi ve Kapsam | Test kuralları, kapsam belirleme (Rules of Engagement - RoE) ve yasal izinler |
| Saldırı Yüzeyi ve Varlık Keşfi | Dışa açık IP, domain, servis, bulut varlıkları ve DNS envanterinin çıkarılması |
| Ağ ve Altyapı Güvenliği | Ağ servis zafiyetleri, açık portlar, yanlış konfigürasyonlar ve protokol açıkları |
| Web ve API Güvenliği | OWASP Top 10 (SQLi, XSS, SSRF, IDOR, Broken Authentication) testleri |
| Kimlik ve Yetkilendirme | Parola kırma, kimlik bilgisi toplama ve yetki atlatma tekniklerinin analizi |
| Yetki Yükseltme (Privilege Escalation) | Linux (SUID, Kernel, Sudoers) ve Windows (Token, Service, DLL) istismarları |
| Active Directory Saldırı Yolları | Kerberoasting, AS-REP Roasting, DCSync, Pass-the-Hash, ACL istismarları |
| Yanal Hareket (Lateral Movement) | İç ağda yayılma, WMI/SMB/WinRM protokolleri ile pivoting analizleri |
| Defans Atlatma (Defense Evasion) | AV/EDR atlatma teknikleri, korumalı süreçler ve loglama kontrolleri |
| Raporlama ve Doğrulama | Teknik bulguların CVSS risk puanlaması ve yeniden test (Retest) süreçleri |
Denetim ve Kontrol Simülasyonları
Denetçilerin soracağı sorular ve gerçek denetim senaryoları öncesinde uygulanan teknik testler:
- Kurumsal dış ağ IP bloklarına yönelik kapsamlı sızma testi (External Pentest) simülasyonu
- Kurum içi ağa fiziksel/VPN erişim varsayımıyla iç ağ sızma testi (Internal Pentest) tatbikatı
- Çekirdek kurumsal web uygulamaları ve REST/GraphQL API'leri üzerinde saldırı simülasyonu
- Active Directory ortamında standart kullanıcı hesabından Domain Admin yetkisine ulaşma tatbikatı
- Kritik veri tabanı sunucusuna yetkisiz erişim ve veri sızdırma senaryosu testi
- Tespit edilen güvenlik zafiyetlerinin teknik olarak doğrulanması (Proof-of-Concept)
- İyileştirme (patching/hardening) sonrası bulguların kapandığını doğrulayan Retest uygulaması
Birlikte Geliştirme ve İyileştirme Yönergeleri
Tespit edilen eksikliklerin kurumun teknik ve yönetim ekipleriyle birlikte kapatılma adımları:
- Kurumsal Zafiyet Yönetimi (Vulnerability Management) ve Yama Yönetimi (Patching) standartları
- Ağ segmentasyonu, DMZ yapılandırması ve Güvenlik Duvarı kural temizliği
- Güvenli Yazılım Geliştirme Yaşam Döngüsü (SSDLC) ve kod güvenliği kontrolleri
- Active Directory Tiered Administration ve LAPS kurulumları
- Uç nokta EDR/XDR koruması ve WAF sıkılaştırma politikalarının devreye alınması
- Sürekli güvenlik testi ve periyodik sızma testi programının takvime bağlanması
Altyapı ve Mimari Kontrol Kapsamı
İncelenecek Sistem, Ağ, Bulut, Uygulama ve Güvenlik Altyapıları:
Bu Eğitime ve Çalışmaya Özel Kurumsal Teslimatlar
Tüm kurumsal çalışmalarımızın sonunda yönetim kademesine, iç denetim birimlerine ve bağımsız denetçilere sunulmak üzere uluslararası denetim standartlarına uyumlu 13 ayrı kurumsal rapor paketi üretilir:
Executive Summary
Üst yönetim için genel durum, kritik riskler ve yönetim özeti
Regulatory Compliance Assessment
Tabi olunan regülasyon ve standart bazında detaylı uygunluk analizi
Gap Analysis
Eksik, yetersiz veya henüz uygulanmamış kontrollerin ayrıntılı dökümü
Risk Assessment
Olasılık, etki, risk seviyesi ve kontrol sonrası kalıntı (residual) risk analizi
Technical Infrastructure Audit
Sistem, ağ, bulut, uygulama ve güvenlik altyapısının teknik inceleme raporu
Governance Assessment
Yönetim organizasyonu, kurumsal politikalar, süreçler ve görev sorumlulukları incelemesi
Control Effectiveness Report
Kontrollerin tasarımı ile fiili çalışma etkinliğinin ölçüm raporu
Audit Simulation Report
Gerçekleştirilen denetim senaryoları, simülasyonlar ve teknik test sonuçları
Evidence Register
Teftiş kuruluna sunulacak kanıtlar, dokümanlar, loglar ve doğrulama kayıtları kütüğü
Remediation Roadmap
Tespit edilen eksikliklerin giderilmesi için önceliklendirilmiş mühendislik planı
Retest Report
İyileştirme çalışmaları sonrasında gerçekleştirilen yeniden doğrulama test sonuçları
Competency Assessment
Kurumsal ekiplerin denetim ve regülasyon farkındalık ve yetkinlik değerlendirmesi
Continuous Compliance Plan
Denetim sonrasında sürdürülebilir, yaşayan sürekli uyumluluk ve izleme takvimi
Denetim simülasyonlarında ve teknik analizlerde tespit edilen her uygunsuzluk, uluslararası iç denetim ve regülasyon metodolojisine uygun olarak aşağıdaki 11 bileşenli formatta raporlanır:
| Bulgu Kodu | İlgili Standart / Madde | Bulgu Tanımı | Kök Neden | Risk Seviyesi | Etki & Olasılık | İyileştirme Aksiyonu | Sorumlu Birim | Hedef Tarih | Doğrulama Yöntemi | Durum |
|---|---|---|---|---|---|---|---|---|---|---|
FIND-001 |
BDDK / ISO Kontrol No | Açık ve net bulgu açıklaması | Süreç / Mimari eksiklik | Kritik | Yüksek / Orta | Birlikte mühendislik adımı | Altyapı / Güvenlik | GG.AA.YYYY | Retest / Log İncelemesi | Açık |
FIND-002 |
Yetkilendirme / Şifreleme | Sıkılaştırma eksikliği | Konfigürasyon zaafı | Yüksek | Kritik / Düşük | Sıkılaştırma scripti & GPO | DevSecOps / Sistem | GG.AA.YYYY | Doğrulandı | Kapatıldı |
Sorumlu Güvence İlkesi ve Önemli Yasal / Denetim Sınırları
Sorumlu Güvence Beyanı: Denetim öncesinde tespit edilen uygunsuzlukların giderilmesi, kritik risklerin azaltılması ve ilgili kontrollerin doğrulanması için kapsamlı hazırlık çalışmaları yürütülür. Hedef, açık bulguların mümkün olan en yüksek oranda kapatılması ve denetlenebilir bir kontrol ortamının oluşturulmasıdır. Nihai denetim sonucu, yetkili denetim heyetinin takdirindedir.
Yetkili Denetim Sınırları: Bütün testler kurumun yazılı yetkilendirmesi, belirlenmiş kapsamı ve güvenli test ortamı içinde yürütülür. Eğitim kapsamında yapılan laboratuvar uygulaması, bağımsız ve yetkili sızma testi raporuyla aynı şey değildir.
Tuncer KARAARSLAN
Bilgisayar mühendisliğindeki 35 yılı aşan mühendislik ve teknoloji deneyimi ile 25 yılı aşkın uluslararası kurumsal teknoloji eğitmenliği ve danışmanlık kariyeriyle Tuncer KARAARSLAN, Türkiye'nin önde gelen teknoloji ve yazılım otoritelerindendir. Kurumsal yazılım mimarileri, bulut altyapıları, DevOps, DevSecOps ve yapay zeka entegrasyonlarında derinlemesine uzmanlığa sahiptir.
Hackathon Tadında Eğitim Yaklaşımı: Teorik bilginin ötesine geçerek bol senaryolu, interaktif ve katılımcıların projelerini canlı inceleyen (Code Review & Architecture Review) bir öğrenme deneyimi sunar.
Kurumunuzun ihtiyacına, ekibinizin kıdemine ve takvimine göre özelleştirilmiş 4 farklı çalışma formatı sunuyoruz.
Detaylı Kapalı Sınıf (3-5 Hafta)
Teknolojinin tüm detaylarının bol laboratuvar ve hands-on pratiklerle incelendiği kurumsal standart formatımızdır.
Hackathon Formatı
Teknik ekiplerin gruplar halinde projeler inşa ettiği, oyunlaştırılmış ve sinerjiyi artıran interaktif modeldir.
İleri Düzey Workshoplar
Mimarlar seviyesinde sistemlerin ve operasyonel modellerin tartışıldığı danışmanlık formatındaki oturumlardır.
Yönetim Seminerleri (1-2 Hafta)
C-Level ve mühendislik yöneticilerinin stratejik karar alma süreçlerini destekleyen farkındalık seminerleridir.
Bu programı tamamlayan katılımcılar aşağıdaki kritik teknik yetkinlikleri sahada uygulama becerisi kazanır.
- Kurumsal projelerde aranan elit mühendislik ve uzmanlık unvanına sahip olma
- Teknik liderlik, çözüm mimarlığı ve kıdemli uzmanlık pozisyonlarına geçişte belirleyici avantaj
- Büyük ölçekli kurumsal altyapılarda ve kritik sistemlerde güvenilir karar alma yetkinliği
- Sektörel standartlarda problem çözme, optimizasyon ve hata giderme refleksleri kazanma
- Global ölçekte geçerli teknik bilgi birikimi ve LinkedIn üzerinde doğrulanabilir dijital rozetler
- Sektörün duayen eğitmeni Tuncer KARAARSLAN liderliğinde 35+ yıllık tecrübeyle mentorluk
- Slayt okumak yerine; yoğun canlı kodlama, mimari analizler ve interaktif laboratuvar yaklaşımı
- Eğitim süresince 16 hands-on laboratuvar ödevi ve birebir eğitmen geri bildirimi
- 3 gerçek dünya bitirme projesiyle 3. Seviye Uzmanlık Brövesi kazanımı
- Katılımcı sayısı sınırlaması olmaksızın sınıf bazlı kurumsal sabit fiyat modeli
Liderlik ve Yönetim Kademeleri İçin Değer Matrisi
Bu eğitim; yetkinliği proje, code review ve ölçülebilir çıktılarla görünür hale getirerek teknik ve idari karar vericilerin mühendislik kalitesini güçlendirmesi için kurgulanmıştır.
Denetim Güvencesi & Bulgu Önleme
- • Kapsamlı Bulgu Kapatma: BDDK, KVKK, ISO 27001 denetimleri öncesinde kritik zafiyetleri proaktif kapatma.
- • Denetlenebilir Mimari: Sistemleri uluslararası güvenlik tebliğlerine göre sıkılaştırıp belgelendirme.
- • Teftiş Kalkanı: Dış denetçi ve müfettişlerin inceleme testlerinde tam uyum sağlama.
- • Ceza Riski Koruması: Olası regülasyon para cezaları ve lisans risklerini engelleme.
Denetim Kanıtı & Çalışma Kağıdı
- • Çalışma Kağıdı Hazırlığı: Denetim heyetlerine sunulacak uluslararası standartta çalışma kağıtları.
- • CISA/CRISC Uyumu: İç denetim süreçlerini global ISACA standartlarına göre işletme.
- • Kanıt Bütünlüğü: Örnekleme yerine tüm sistemlerde doğrulanabilir log telemetrisi.
- • Şeffaf Teftiş Karnesi: Yönetim kuruluna sunulacak temiz denetim raporu üretimi.
Yasal Koruma & Ceza Kalkanı
- • Regülasyon Dokunulmazlığı: KVKK, GDPR, EU AI Act ve tebliğ yükümlülüklerine eksiksiz uyum.
- • Yönetim Kurulu Güvencesi: Karar vericilerin yasal ve cezai sorumluluklarını koruma altına alma.
- • RACI & Yönetişim: Şirket içi görevler ayrılığı ve veri saklama prosedürlerini kurma.
- • Hukuki Argümantasyon: Düzenleyici kurumlara karşı savunulabilir teknik dokümantasyon.
Mimari Standartlar & Kesintisiz Uyum
- • Pre-Audit Hardening: Sistemleri teftiş öncesinde CIS Benchmarks seviyesinde sıkılaştırma.
- • Sıfır Teknik & Uyum Borcu: Regülasyona aykırı gölge BT unsurlarını ve açıkları yok etme.
- • Zero Trust Mimarisi: En az ayrıcalık ve katmanlı erişim modellerini hayata geçirme.
- • Sürekli Denetim Refleksi: Ekiplere denetlenebilir mimari refleksleri kazandırma.
#9520 OSCP (Offensive Security Certified Professional); Vebende Akademi'nin kurumsal mühendislik kariyer yollarının çekirdek modüllerindendir.
#9520 eğitimini tamamladıktan sonra kariyer ve uzmanlık hedefinize göre doğrudan geçiş yapabileceğiniz ilişkili ileri düzey eğitimler.
Resmi denetim öncesi hazırlık, birlikte çalışma modeli, üretilen çalışma kağıtları ve kurumsal güvence hakkında merak edilenler.
Bu Eğitimi Kurumunuza ve Ekibinize Özel Olarak Alın
Şirketinizin teknoloji yığınına uygun özelleştirilmiş müfredat, kapalı sınıf imkanı ve teknik ekip performans raporlaması ile kurumsal dönüşümünüzü hızlandırın.