Altyapı · Orta seviye

Bulut ve Konteyner Güvenliği

Bulut hesabını, konteyner imajını ve Kubernetes kümesini kimlik merkezli düşünerek savunursun.

İlk ders: Paylaşılan sorumluluk modeli

Modül: 5
Ders: 20; 4,5 saat anlatım
Etkinlik: 137; uygulamalı soru
Lab: 5; +6 ek lab
Toplam süre: 7 saat; kendi hızında
Belge: ASBL-201; Orta seviye

Bulut olaylarının büyük bölümü açık kova, geniş IAM politikası ya da üstveri servisinden çalınan geçici anahtar üstünden yürür. Bu yol paylaşılan sorumluluktan başlar, IAM ve depolama üstünden konteyner ve Kubernetes sertleştirmesine çıkar.

Bu yolun sonunda

Yolu bitirdiğinde elinde olacak üç somut beceri ve derslerde çalışacağın konular.

01
Bir IAM politikasını okur, en az yetkiye göre daraltırsın.
02
Açık kovayı, sızan anahtarı ve rol üstlenme zincirini tespit edersin.
03
Konteyner imajını ve Kubernetes kümesini RBAC ve ağ politikasıyla sertleştirirsin.

Derslerde çalışacağın konular

Paylaşılan sorumluluk ve bulut ağ temelleri
IAM politikası okuma ve en az yetki
Rol üstlenme ve yetki yükseltme yollarını görme
Depolama, şifreleme ve anahtar yönetimi
Konteyner imajı sertleştirme ve tarama
Kubernetes RBAC ve ağ politikaları
Üstveri servisi istismarına karşı savunma

Kimler için

Bulut altyapısını yöneten sistem ve DevOps mühendisleri
Bulut güvenliği mühendisi olmayı hedefleyenler
Konteyner ve Kubernetes kullanan yazılım ekipleri

Seviye: Orta
Dil: Türkçe
Tempo: Kendi hızında
Ücret: Ücretsiz
Önerilen hazırlık: Önce Siber Güvenlik Temelleri yolunu bitirmeni öneririz. Zorunlu değil; bu yolun dersleri onsuz da açılır.

Müfredat

5 modül, 20 ders, 137 etkinlik. Dersler sırayla açılır; her modül bir labla kapanır. Modüle dokununca derslerini, kazanımlarını ve labını görürsün.

Bu modülün sonunda
- Bir ayarın sağlayıcıya mı sana mı düştüğünü ayırt edersin.
- İnternete açık SSH kuralını güvenlik grubunda bulursun.
- CloudTrail JSON kaydından kök hesap olaylarını jq ile süzersin.
1. Paylaşılan sorumluluk modeli. Sıradaki ders14 dk · 45 XP
  Paylaşılan sorumluluk modelini, IaaS'tan SaaS'a kayan sınırı, KVKK'daki payını ve devraldığın bulut hesabında ilk denetimi öğren. Bulut sağlayıcısı altyapıyı korur, sen o altyapının üstüne koyduğunu korursun. Sınırın nerede çizildiği seçtiğin servis türüne göre kayar. Yanlış varsayım en sık görülen bulut bulgusunun kökeninde durur: kimsenin sahiplenmediği ayar.
  7 etkinlik: Terminal · Sınıflandırma · Çıktı tahmini · Sıralama
2. Kimlik merkezli güvenlik. Kilitli: önceki dersleri bitirince açılır13 dk · 50 XP
  Bulutta sınırın neden kimlik olduğunu, kalıcı anahtar ile geçici kimlik farkını, OIDC federasyonunu ve kimlik odaklı tespit adımlarını öğren. Klasik ağda sınır duvardır, bulutta sınır kimliktir. Servislerin çoğuna imzalı API çağrısıyla erişilir ve karar politikada verilir. Kalıcı anahtar yerine kısa ömürlü kimlik, bulut güvenliğinin ana refleksidir.
  7 etkinlik: Kayıt tarama · Kısa yazım · Kod okuma · Çıktı tahmini
3. Bölge, VPC ve ağ temelleri. Kilitli: önceki dersleri bitirince açılır13 dk · 50 XP
  VPC alt ağlarını, yönlendirme tablosunu, güvenlik grubu ile ağ erişim listesi farkını, oturum yöneticisini ve VPC uç noktalarını okumayı öğren. Bölge coğrafi konumdur, erişilebilirlik alanı o bölgedeki ayrı veri merkezidir. VPC kendi özel ağındır; alt ağın genel olup olmadığını yönlendirme tablosu belirler. Güvenlik grubu ile ağ erişim listesi ayrı katmanlardır ve farklı davranır.
  7 etkinlik: Terminal · Kod okuma · Sınıflandırma · Çıktı tahmini
4. Bulut günlükleri: CloudTrail ve eşdeğerleri. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP
  CloudTrail kaydını alan alan okumayı, yönetim ve veri olayı farkını, günlük bütünlüğünü, VPC akış günlüklerini ve Azure ile GCP karşılıklarını öğren. Bulutta her eylem bir API çağrısıdır, yani her eylemin bir kaydı olabilir. Yönetim olayları varsayılan gelir, veri olayları ayrıca açılmazsa hiç kaydedilmez. Kanıtın, izlediği hesabın kontrolü dışında durması gerekir.
  7 etkinlik: Komut zinciri · Kod okuma · Sınıflandırma · Çıktı tahmini
5. Lab · Bulut hesabında kimlik izi. Kilitli: modülün derslerini bitirince açılır100 XP
  Altay Kargo yeni bir AWS hesabını devraldı ve seni kısa bir denetime çağırdı. Bir dış tedarikçi hattının beklenenden fazla veri okuduğu şüphesi var.
  Kanıt dosyalı lab · isteğe bağlı
Bu modülün sonunda
- İzin ile açık ret çakışınca kararın neden ret olduğunu söylersin.
- Politikada en az yetkiyi kıran yıldızlı satırı bulursun.
- Güven politikasında yıldızlı Principal ve eksik harici kimliği yakalarsın.
1. IAM: kullanıcı, rol ve politika. Kilitli: önceki dersleri bitirince açılır15 dk · 50 XP
  Bulutta kullanıcı ile rolün farkını öğren. Bir politikanın dört alanını oku. Açık ret, açık izin ve örtük ret kurallarının bir isteği nasıl etkilediğini gör. Kullanıcı kalıcı bir kimliktir, rol ise üstlenilen geçici bir kimliktir. Karar sırası sabittir: açık ret, sonra açık izin, hiçbiri yoksa örtük ret.
  7 etkinlik: Terminal · Sınıflandırma · Çıktı tahmini · Sıralama
2. En az yetki ve politika okuma. Kilitli: önceki dersleri bitirince açılır12 dk · 55 XP
  En az yetki ilkesini pratiğe dök: yıldızları okuma, geniş ile dar politikayı ayırma ve kullanılmayan yetkiyi kullanım geçmişiyle ölçüp kaldırma. Politikayı okumanın yolu yıldızları saymak ve eylem ile kaynağı birlikte düşünmektir. Kullanım geçmişinden üretilen politika, tahminle yazılandan hem dar hem doğru çıkar.
  6 etkinlik: Terminal · Kısa yazım · Kod okuma · Sınıflandırma
3. Rol üstlenme ve güven zincirleri. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP
  Rol üstlenmeyi baştan sona kur: iki kapı modeli, geçici kimliğin parçaları, güven politikasındaki yıldız hatası ve zincirlerin yetki haritasını gizlemesi. İki kapı birden açık olmalıdır: çağıranın izni ve rolün güven politikası. Zincirler işi kolaylaştırır ama yetki haritasını görünmez hale getirir.
  7 etkinlik: Kod okuma · Çıktı tahmini · Sıralama · Eşleştirme
4. Yetki yükseltme yolları. Kilitli: önceki dersleri bitirince açılır13 dk · 60 XP
  Bu derste bulut izinlerinin birleşerek nasıl fazla yetki verebildiğini öğren. Yazılım açığı gerektirmeyen iki yaygın yolu ve savunmalarını incele. iam:PassRole ve yıldızlı politikalar en bilinen iki kapıdır. Yetkili testte yöntem denemek değil, yetkiyi sorgulayıp haritayı çıkarmaktır.
  8 etkinlik: Terminal · Kod okuma · Sınıflandırma · Sıralama
5. Lab · Politika Labirenti. Kilitli: modülün derslerini bitirince açılır100 XP
  Altay Kargo'nun bulut hesabında üç politika ve üç güven belgesi var. Denetçi sana yalnız bu iki dosyayı bıraktı.
  Kanıt dosyalı lab · zorunlu
Ek lablar: Kendine Yetki Ekleyen Kullanıcı, Açılmayan Kova, Açık Kalan Kapı. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.
Bu modülün sonunda
- SecureTransport koşulunda ters yazılmış değeri düzeltirsin.
- KMS anahtar silme penceresini ve otomatik dönüşün etkisini açıklarsın.
- Sızan anahtarı önce iptal eder, sonra geçmişi temizlersin.
1. Açık kova sorunu. Kilitli: önceki dersleri bitirince açılır14 dk · 50 XP
  S3 kovasının erişimini belirleyen katmanları, genel erişim engelini, açık kovayı bulup kapatmayı ve kovayı açmadan paylaşmayı öğren. Açılma yolu genelde tek bir satırdır: Principal alanına yazılan yıldız. Koruma ad gizliliğinde değil, katmanlı erişim ayarlarındadır.
  7 etkinlik: Terminal · Kayıt tarama · Kod okuma · Sınıflandırma
2. Şifreleme: duran ve aktarılan veri. Kilitli: önceki dersleri bitirince açılır13 dk · 50 XP
  Duran ve aktarılan veri şifrelemesinin neye karşı koruduğunu, S3 şifreleme seçeneklerini, TLS zorunluluğunu ve şifrelemeyi doğrulamayı öğren. İkisi ayrı denetimdir ve birini açmak diğerini kapatmaz. Şifreleme yetkiyi kaldırmaz: yetkili süreç veriyi çözülmüş görür.
  7 etkinlik: Terminal · Kod okuma · Sınıflandırma · Çıktı tahmini
3. Anahtar yönetimi ve KMS. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP
  KMS'in anahtarı nasıl koruduğunu, zarf şifrelemeyi, anahtar politikasını, dönüş ve silme kurallarını ve kötüye kullanımı kayıttan yakalamayı öğren. KMS ana anahtarı donanımda tutar ve kullanımını kayda geçirir. Anahtarın kapısı kendi politikasıdır; IAM tek başına yetmez.
  7 etkinlik: Terminal · Kayıt tarama · Çıktı tahmini · Sıralama
4. Sızdırılan sırlar: kodda ve imajda. Kilitli: önceki dersleri bitirince açılır13 dk · 60 XP
  Sırların kod deposundan, imaj katmanından ve boru hattından nasıl sızdığını, gerçek sırrı tanımayı, BuildKit sırlarını ve sızıntıda doğru sırayı öğren. Git geçmişi ve imaj katmanları silinmiş sanılan sırrı saklar. Tek gerçek düzeltme sırrı iptal etmektir; temizlik ikinci adımdır.
  7 etkinlik: Terminal · Düzenli ifade · Kayıt tarama · Kısa yazım
5. Lab · Açık Kova Avı. Kilitli: modülün derslerini bitirince açılır100 XP
  Altay Kargo dört depolama kovası işletir. Elinde kova politikaları, kova ayarları ve bir konteyner imajının katman geçmişi var.
  Kanıt dosyalı lab · zorunlu
Ek lab: İki Kapılı Anahtar. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.
Bu modülün sonunda
- Silinen dosyanın alt katmanda neden kaldığını açıklarsın.
- USER yönergesi eksik Dockerfile'ı kök olmayan kullanıcıya geçirirsin.
- Konteyneri tüm yetenekleri düşürüp salt okunur kökle başlatırsın.
1. İmaj katmanları ve saldırı yüzeyi. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP
  Konteyner imajı değişmez katmanlardan kurulur; silinen dosya alt katmanda kalır ve fazladan her araç saldırganın işini kolaylaştırır. Katmanların değişmez olması silinen dosyayı imajdan çıkarmaz, yalnız görünmez kılar. Saldırı yüzeyi imajın adıyla değil içeriğiyle ölçülür.
  7 etkinlik: Terminal · Sınıflandırma · Çıktı tahmini · Boşluk doldurma
2. Dockerfile hataları ve kök çalışma. Kilitli: önceki dersleri bitirince açılır12 dk · 55 XP
  USER yönergesi eksik bir Dockerfile süreci kök olarak başlatır; sahiplikli kopyalama ve çok aşamalı derleme bu riski belirgin biçimde daraltır. USER, COPY --chown ve çok aşamalı derleme üç temel düzeltmedir. Küçük bir Dockerfile değişikliği, kod çalıştırma açığının etkisini belirgin daraltır.
  7 etkinlik: Kod okuma · Çıktı tahmini · Sıralama · Çoktan seçmeli
3. Konteyner kaçışı: ayrıcalıklı mod ve bağlar. Kilitli: önceki dersleri bitirince açılır13 dk · 60 XP
  Çoğu konteyner kaçışı bir çekirdek açığından değil, ayrıcalıklı mod ya da Docker soketi gibi gevşek bırakılmış bir yapılandırmadan doğar. Ayrıcalıklı mod, Docker soketi ve ana makine bağları üç klasik kapıdır. Savunma yetenek düşürme, salt okunur kök ve kullanıcı ad alanı eşlemesidir.
  8 etkinlik: Terminal · Kod okuma · Sınıflandırma · Çoktan seçmeli
4. İmaj tarama ve imzalama. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP
  Tarama imajdaki bilinen açıkları bulur; imza ise imajın beklenen boru hattından geldiğini ve sonradan değişmediğini kanıtlar. İki denetim farklı soruya yanıt verir ve birbirinin yerine geçmez. Kapıyı hem derlemede hem kümede kurmak, atlanan her kontrolü son anda yakalar.
  8 etkinlik: Terminal · Sınıflandırma · Çıktı tahmini · Boşluk doldurma
5. Lab · Konteyner imajında zayıf halka. Kilitli: modülün derslerini bitirince açılır100 XP
  Altay Kargo'nun depo-servisi konteyner imajı üretime çıkmadan önce senin masana geldi. Ekip Dockerfile'ı, katman listesini ve tarama sonucunu birlikte incelemeni istiyor.
  Kanıt dosyalı lab · isteğe bağlı
Bu modülün sonunda
- Secret nesnesinin etcd'de neden yalnız base64 ile durduğunu açıklarsın.
- Sırlar üstünde tüm fiilleri açan rol satırını bulursun.
- Pod tanımında yetki yükseltmeyi açık bırakan ayarı yakalarsın.
1. Küme mimarisi ve API sunucusu. Kilitli: önceki dersleri bitirince açılır13 dk · 50 XP
  Kubernetes'te her istek API sunucusundan geçer; kimlik, yetki ve kabul kararları orada verilir, küme durumu ise etcd'de durur. Küme durumu etcd'de tutulur ve sırlar orada varsayılan olarak şifrelenmez. Yönetim düzlemini genel internete açmak ilk daraltılacak ayardır.
  5 etkinlik: Şema okuma · Çıktı tahmini · Eşleştirme · Çoktan seçmeli
2. RBAC ve ServiceAccount jetonu. Kilitli: önceki dersleri bitirince açılır12 dk · 60 XP
  RBAC dört nesneden kurulur ve her pod bir ServiceAccount kimliğiyle API sunucusuna konuşur; yetkiyi denemeden sorabilirsin. Her pod bir hizmet hesabıyla çalışır ve jetonu dosya olarak taşır. Yetkiyi denemeden sormanın yolu kubectl auth can-i komutudur.
  6 etkinlik: Terminal · Kod okuma · Çıktı tahmini · Eşleştirme
3. Ağ politikaları ve pod güvenlik standartları. Kilitli: önceki dersleri bitirince açılır13 dk · 60 XP
  Küme ağı varsayılan olarak düzdür; ağ politikası önce her şeyi kapatır, pod güvenlik standartları üç seviyede sertleştirir. Ağ politikası önce her şeyi kapatır, sonra gereken yolu açar. Pod güvenlik standartları üç seviyede sertleştirme tanımlar.
  6 etkinlik: Terminal · Kod okuma · Sınıflandırma · Çıktı tahmini
4. Üstveri servisi, SSRF ve IMDSv2. Kilitli: önceki dersleri bitirince açılır12 dk · 60 XP
  Bulut makinesi kimliğini 169.254.169.254 üstveri servisinden alır; IMDSv2 ve pod çıkış kuralı, SSRF'in bu adrese uzanan yolunu kapatır. Sunucu tarafı istek sahteciliği bu adrese ulaşırsa geçici anahtarlar dışarı çıkar. IMDSv2 jeton şartı, sıçrama sınırı ve pod çıkış kuralı bu zinciri kırar.
  6 etkinlik: HTTP isteği · Sınıflandırma · Çıktı tahmini · Sıralama
5. Lab · Küme Sertleştirme. Kilitli: modülün derslerini bitirince açılır100 XP
  Bir Kubernetes kümesinin dört manifesti elinde. Ekip kümeyi sertleştirdiğini söylüyor, sen kontrol edeceksin.
  Kanıt dosyalı lab · zorunlu
Ek lablar: Sır Şifreleme Denetimi, Unutulan Geçici Küme Bağı, Sızan Örnek Kimliği. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.

Bilgi sınavı ve belge

Yolun dörtte üçünü bitirince sınav açılır. Geçersen numaralı belgen hesabına düzenlenir ve doğrulama sayfasında sorgulanır. İlk geçişin XP kazandırır ve lige sayılır. Belge bilgi düzeyini gösterir, akredite bir kurum diploması değildir.

ALTAYSECAkademi

BELGE NO

ALT-XXXXXXXXXX

ASBL-201 · ORTA SEVİYE

AltaySec Bulut Güvenliği Temel Bilgi Belgesi

Bu belge, aşağıda adı belirtilen katılımcının program kapsamındaki Yol Bilgisi Sınavı'nı başarıyla tamamladığını onaylar.

Ad Soyad

AltaySec adına düzenlenir Doğrulanabilir

Program: ASBL-201 · AltaySec Bulut Güvenliği Temel Bilgi Belgesi
Sınav: 25 soru · 40 dakika
Geçme notu: 75 / 100
Açılma şartı: Yolun dörtte üçünü bitirmek. Yerleştirme testiyle atlanan dersler sayılmaz
Deneme hakkı: 24 saatte en fazla üç
Belge: Belge numarasıyla doğrulama sayfasında sorgulanır

Sınav hesapla açılır. Sorular yolun modüllerine dengeli dağılır. Belge akredite bir kurum diploması değildir, kapsamı bu müfredattır. Belge doğrulama

Kariyer rotaları

Bu yol, kariyer haritasındaki 1 rolün önerilen rotasında yer alır. Rota, rolün izlemeni önerdiği yol sırasıdır.

Bulut Güvenliği Mühendisi
Bulut ortamının yapılandırmasını güvenli tutarsın. Kimlik ve erişim politikasını sıkılaştırır, yanlış yapılandırmayı yakalar, konteyner ve altyapı-kod hattını denetlersin. Ölçek büyüdükçe hata payı küçülür.
1. Siber Güvenlik Temelleri
2. Ağ Güvenliği
3. Bulut ve Konteyner Güvenliği

Pekiştir

Yolun konularını derslerin dışında da çalıştıran sayfalar.

Sertifika hazırlık

Bu yolun derslerine dayanan uluslararası sertifika soruları

Kopya kâğıtları

Komut ve sorgu özetleri, yazdırılabilir

Bulut güvenlik denetimi (AWS, salt okunur)Bulut güvenliği

Saha görevleri

Tarayıcıdaki terminalde komutla çözülen görevler

Bulut ve konteyner11 görev

Okuma listesi

Konuya giriş ve derinleşme için blog rehberleri

Sık sorulanlar

Bulut ve Konteyner Güvenliği yolu ne kadar sürer?

Derslerin toplamı 4,5 saat. Labları da çözersen yaklaşık 7 saat. Haftada beş saat ayırırsan yaklaşık 1 haftada biter; kendi hızında ilerlersin.

Ön koşul var mı?

Zorunlu değil. Dersler ağ, web ve Linux temellerini bildiğini varsayar; bu yüzden önce Siber Güvenlik Temelleri yolunu bitirmeni öneririz.

Ücretli mi?

Hayır. Dersler, lablar ve bilgi sınavı ücretsizdir. Belge de ücretsizdir. Kart bilgisi istenmez.

Belgeyi nasıl alırım?

Yolun dörtte üçünü bitirince ASBL-201 sınavı açılır: 25 soru, 40 dakika, geçme notu 75. Sınav hesapla açılır. Yerleştirme testiyle atlanan dersler bu eşiğe sayılmaz. Geçersen numaralı belgen hesabına düzenlenir ve doğrulama sayfasında sorgulanır. İlk geçişin XP kazandırır ve lige sayılır. Belge bilgi düzeyini gösterir, akredite bir kurum diploması değildir.

Lablar nasıl çözülür?

Her modül bir labla kapanır: 3 zorunlu lab kanıt dosyası üzerinden soru-cevapla çözülür; isteğe bağlı lablar bir vakanın kanıt dosyalarını inceletir.

Bu yolla birlikte izlenenler

Aynı kariyer rotalarında bu yolun yanında en sık geçen yollar.