Veb təhlükəsizlikSillabus

Fənn kodu

İF-2205y

Kredit

5

Tələbənin iş yükü

90

Semestr

Yaz semestri

Akademik il

2

Fənnin tipi

Məcburi

Təhsil forması

Əyani

Tədris dili

Azərbaycan

Auditoriyadaxili saatlar

a) 30 saat - mühazirə b) 30 saat - laboratoriya

Auditoriyadan kənar saatlar

a) 60 saat - TSİ b) 30 saat - MRTSİ

Fənn veb tətbiqlərin və veb xidmətlərin işləmə prinsiplərini, brauzer tərəfindən vizuallaşdırılmasını və serverlə qarşılıqlı əlaqə mexanizmlərini əhatə edir. Fənn çərçivəsində veb tətbiqlərdə geniş yayılmış təhlükəsizlik zəifliklərinin yaranma səbəbləri, aşkarlanması və istismar üsulları öyrənilir. Tələbələr müxtəlif veb hücumlarını, bu hücumlarda istifadə olunan üsul və vasitələri, eləcə də müvafiq əks tədbirləri nəzəri və praktiki şəkildə mənimsəyirlər. Tədris prosesində veb tətbiq zəifliklərinin aradan qaldırılması və təhlükəsizliyin təmin olunması üzrə qabaqcıl yanaşmalara xüsusi diqqət yetirilir. Laboratoriya işləri vasitəsilə tələbələr veb tətbiqlərin təhlükəsizlik qiymətləndirilməsi, zəifliklərin istismarı və müvafiq müdafiə tədbirlərinin tətbiqi üzrə praktiki bacarıqlar əldə edirlər. Tədrisin sonunda tələbələr veb tətbiqlərdə təhlükəsizlik risklərini müəyyənləşdirmək, qiymətləndirmək və onların aradan qaldırılması üçün uyğun təhlükəsizlik tədbirlərini tətbiq etmək bacarığına yiyələnirlər.

• mühazirə
• laboratoriya işi
• layihə əsaslı öyrənmə
• problem-based learning
• komanda işi
• təqdimatlar
• interaktiv müzakirə

1. 1

   CLO 1: Veb brauzerlərin iş prinsiplərini, veb tətbiqlərin layihələndirilməsi, yaradılması və istismarı qaydalarını bilməlidir.

2. 2

   CLO 2: Müasir texnologiyalardan istifadə edərək təhlükəsiz veb səhifələr hazırlamağı bacarır. HTML, CSS, JavaScript kimi texnologiyaları bilməlidir.

3. 3

   CLO 3: HTTP protokolunun necə çalışdığını bilir. SSL sertifikatlarının necə çalışdığını və veb səhifələrin təhlükəsizliyini necə qoruduğunu bilir.

4. 4

   CLO 4: Veb saytlarda hücumların təbiəti haqqında məlumatlıdır.

5. 5

   CLO 5: REST və GraphQL kimi veb xidmətlərin necə çalışdığını bilir.

6. 6

   CLO 6: OWASP Top 10 təhlükəsizlik zəiflikləri ilə tanışdır, o siyahıları müəyyənləşdirməyi, onların qarşısının alınması mexanizmlərini bacarır.

1. 1.
   Veb təhlükəsizliyə giriş və brauzer arxitekturasıMühazirə

   Mövzu veb təhlükəsizliyin əsas anlayışlarını, fənnin məqsədini, strukturunu və praktiki tapşırıqların təşkilini əhatə edir. Brauzer arxitekturası çərçivəsində proseslər və ipliklər, veb səhifələrin vizuallaşdırılması məntiqi və brauzerin əsas işləmə mexanizmləri izah olunur. Parsing prosesi və Document Object Model (DOM) strukturunun formalaşması və veb səhifələrin emalındakı rolu nəzərdən keçirilir. Mövzu çərçivəsində veb tətbiqlərin təhlükəsizliyinə təsir edən əsas risklər və zəifliklər haqqında ilkin təsəvvür formalaşdırılır. Həmçinin OWASP Top 10 əsasında veb tətbiqlərdə ən geniş yayılmış təhlükəsizlik risklərinə ümumi baxış verilir.

2. 2.
   Veb sistemlər haqqında məlumatların toplanması və kəşfiyyatMühazirə

   Mövzu veb sistemlərin təhlükəsizlik qiymətləndirilməsi üçün ilkin məlumatların toplanması və kəşfiyyat proseslərini əhatə edir. Axtarış motorlarından istifadə etməklə açıq mənbələr əsasında veb sistemlər haqqında məlumatların müəyyənləşdirilməsi üsulları izah olunur. Metafaylların və digər açıq məlumat mənbələrinin nəzərdən keçirilməsi yolu ilə sistem haqqında əlavə məlumatların əldə edilməsi yanaşmaları öyrənilir. Veb serverdə mövcud tətbiqlərin inventarlaşdırılması və sistemin potensial hücum səthinin müəyyənləşdirilməsi prinsipləri nəzərdən keçirilir. Həmçinin veb tətbiqlərdə istifadəçi məlumatlarını qəbul edən və sistemlə qarşılıqlı əlaqə yaradan giriş nöqtələrinin müəyyənləşdirilməsi üsulları öyrənilir.

3. 3.
   HTTP protokolu və veb kommunikasiya mexanizmləriMühazirə

   Mövzu HTTP protokolunun veb sistemlərdə məlumat mübadiləsinin təşkilindəki rolunu və əsas işləmə prinsiplərini əhatə edir. HTTP əsaslı sistemlərin əsas komponentləri və müştəri-server qarşılıqlı əlaqəsi izah olunur. HTTP sessiyalarının yaradılması və idarə edilməsi, həmçinin HTTP başlıqlarının məlumat mübadiləsindəki funksiyaları nəzərdən keçirilir. Müxtəlif HTTP sorğu üsulları və onların veb resurslarla qarşılıqlı əlaqədə istifadəsi öyrənilir. Server cavabının strukturu, status kodları, başlıqlar və cavab məzmununun əsas xüsusiyyətləri təhlil olunur.

4. 4.
   DNS arxitekturası və DNS əsaslı veb təhlükəsizlik təhdidləriMühazirə

   Mövzu DNS sisteminin arxitekturasını, əsas komponentlərini və domen adlarının IP ünvanlarına çevrilməsi prosesini əhatə edir. DNS infrastrukturunu və veb tətbiqləri hədəf alan əsas hücum növləri və onların təhlükəsizlik təsirləri nəzərdən keçirilir. DNS Rebinding hücumlarının işləmə prinsipi və bu hücumların brauzerin təhlükəsizlik mexanizmlərindən yan keçmək üçün istifadəsi izah olunur. Brauzerlərin DNS Rebinding hücumlarından qorunması üçün tətbiq olunan əsas müdafiə yanaşmaları öyrənilir. Həmçinin Şəxsi Şəbəkə Girişi (Private Network Access) mexanizminin daxili şəbəkə resurslarına icazəsiz veb girişlərinin məhdudlaşdırılmasındakı rolu təhlil olunur.

5. 5.
   Kukilər, sessiyalar və brauzerdə məlumatların saxlanılmasıMühazirə

   Mövzu veb tətbiqlərdə istifadəçi vəziyyətinin və sessiyaların idarə olunması üçün kukilərdən istifadə prinsiplərini əhatə edir. Kukilərin yaradılması, saxlanılması, ötürülməsi və silinməsindən ibarət həyat dövrü, həmçinin kukilərə girişin məhdudlaşdırılması üçün tətbiq olunan təhlükəsizlik mexanizmləri izah olunur. İstifadəçilərin veb mühitində izlənilməsi, bunun məxfilik baxımından yaratdığı risklər və üçüncü tərəf kukilərinin rolu nəzərdən keçirilir. Brauzerlərdə kukilərdən başqa məlumatların saxlanılması üçün istifadə olunan digər mexanizmlər və onların əsas xüsusiyyətləri öyrənilir. Bu mexanizmlərin veb tətbiqlərin funksionallığına, təhlükəsizliyinə və istifadəçi məxfiliyinə təsiri təhlil olunur.

6. 6.
   Sessiya hücumları və CSRF zəiflikləriMühazirə

   Mövzu veb tətbiqlərdə sessiyaların idarə olunması ilə bağlı təhlükəsizlik risklərini və sessiya əsaslı hücumları əhatə edir. Saytlararası sorğu saxtakarlığı (Cross-Site Request Forgery – CSRF) hücumunun işləmə prinsipi və istifadəçinin aktiv sessiyasından icazəsiz əməliyyatların həyata keçirilməsi üçün necə istifadə oluna bilməsi izah olunur. SameSite kuki atributunun saytlararası sorğuların məhdudlaşdırılmasında və CSRF riskinin azaldılmasındakı rolu nəzərdən keçirilir. CSRF hücumlarının qarşısının alınması üçün təhlükəsizlik tokenləri, sorğuların yoxlanılması və digər müdafiə mexanizmləri öyrənilir. Həmçinin CSRF Prevention Cheat Sheet əsasında veb tətbiqlərdə tətbiq olunan əsas təhlükəsizlik tövsiyələri təhlil edilir.

7. 7.
   XSS hücumları və veb tətbiqlərdə müdafiə mexanizmləriMühazirə

   Mövzu saytlararası skriptləmə (Cross-Site Scripting – XSS) zəifliklərinin yaranma səbəblərini, əsas növlərini və veb tətbiqlərin təhlükəsizliyinə təsirini əhatə edir. XSS hücumlarında zərərli skriptlərin veb səhifələrə daxil edilməsi və istifadəçi brauzerində icra olunması prinsipləri izah olunur. XSS zəifliklərinin qarşısının alınması üçün giriş məlumatlarının yoxlanılması, çıxış məlumatlarının kodlaşdırılması və digər müdafiə üsulları nəzərdən keçirilir. XSS Prevention Cheat Sheet əsasında təhlükəsiz proqramlaşdırma üzrə əsas tövsiyələr öyrənilir. Həmçinin Məzmun Təhlükəsizliyi Siyasətinin (Content Security Policy – CSP) icazəsiz skriptlərin icrasını məhdudlaşdırmaqla XSS risklərinin azaldılmasındakı rolu təhlil olunur.

8. 8.
   Kod, komanda və SQL inyeksiyası hücumlarıMühazirə

   Mövzu veb tətbiqlərdə istifadəçi tərəfindən daxil edilən məlumatların təhlükəsiz emal olunmaması nəticəsində yaranan inyeksiya zəifliklərini əhatə edir. Kod inyeksiyası hücumlarının yaranma səbəbləri və icazəsiz kodun tətbiq mühitində icra olunması prinsipləri izah olunur. Komanda inyeksiyası vasitəsilə əməliyyat sistemi komandalarının icrası və bunun sistem təhlükəsizliyinə təsiri nəzərdən keçirilir. SQL inyeksiyası hücumlarının verilənlər bazası sorğularının manipulyasiyası yolu ilə həyata keçirilməsi və yarada biləcəyi təhlükəsizlik riskləri öyrənilir. Həmçinin giriş məlumatlarının yoxlanılması, parametrli sorğular və təhlükəsiz proqramlaşdırma üsulları əsasında inyeksiya hücumlarına qarşı müdafiə yanaşmaları təhlil olunur.

9. 9.
   Server təhlükəsizliyi, SSRF və fayl yükləmə zəiflikləriMühazirə

   Mövzu veb tətbiqlərin server tərəfində yaranan əsas təhlükəsizlik zəifliklərini və onların sistemlərə təsirini əhatə edir. Server tərəfindəki boşluqların yaranma səbəbləri və bu zəifliklərin icazəsiz giriş, məlumat sızması və digər təhlükəsizlik risklərinə səbəb olması izah olunur. Server Tərəfli Sorğu Saxtakarlığı (Server-Side Request Forgery – SSRF) hücumlarının işləmə prinsipi və serverin daxili və ya xarici resurslara icazəsiz sorğular göndərmək üçün necə istifadə oluna bilməsi nəzərdən keçirilir. Fayl yükləmə funksiyalarında yaranan zəifliklər və zərərli və ya icazəsiz faylların serverə yüklənməsi ilə bağlı risklər öyrənilir. Həmçinin server tərəfli zəifliklərin və fayl yükləmə risklərinin azaldılması üçün əsas təhlükəsizlik tədbirləri təhlil olunur.

10. 10.
    HTTPS və HTTP Public Key Pinning (HPKP)Mühazirə

    Mövzu HTTPS protokolunun veb kommunikasiyasında məlumatların şifrələnməsi və təhlükəsiz ötürülməsindəki rolunu əhatə edir. Veb trafikin şifrələnməsi prinsipləri və şifrələnmiş trafikin qorunmasında rəqəmsal sertifikatların rolu izah olunur. Google üzərindən şifrələnmiş trafik nümunəsi və DigiNotar insidenti əsasında sertifikat infrastrukturunda etibar problemləri və onların təhlükəsizlik təsirləri nəzərdən keçirilir. Açıq açarın saxlanması (public key pinning) anlayışı və HPKP mexanizminin saxta və ya etibarsız sertifikatlarla bağlı risklərin azaldılmasındakı məqsədi öyrənilir. Həmçinin HPKP vasitəsilə açıq açar məlumatlarının brauzerdə saxlanılması və sonrakı bağlantılarda yoxlanılması prinsipləri təhlil olunur.

11. 11.
    İdentifikasiya və autentifikasiya mexanizmləriMühazirə

    Mövzu veb tətbiqlərdə istifadəçilərin identifikasiyası və autentifikasiyası üçün tətbiq olunan əsas mexanizmləri əhatə edir. İstifadəçi qeydiyyatı, hesabın yaradılması və hesabların inventarlaşdırılması prosesləri, həmçinin təxmin edilə bilən istifadəçi hesabları ilə bağlı təhlükəsizlik riskləri nəzərdən keçirilir. Etimadnamələrin şifrələnmiş rabitə kanalları üzərindən təhlükəsiz ötürülməsi, daxilolma hadisələrinin qeydiyyatı və monitorinqi prinsipləri izah olunur. Parol tələb etməyən autentifikasiya protokollarının xüsusiyyətləri və onların təhlükəsiz girişin təmin edilməsindəki rolu öyrənilir. Həmçinin JSON Web Token (JWT) əsaslı autentifikasiyanın işləmə prinsipləri və veb tətbiqlərdə istifadəsi təhlil olunur.

12. 12.
    API təhlükəsizliyi, autentifikasiya və kəşfiyyatMühazirə

    Mövzu API-lərin təhlükəsizliyinin təmin edilməsi üçün istifadə olunan əsas autentifikasiya metodlarını və təhlükəsizlik mexanizmlərini əhatə edir. API kəşfiyyatı (API recon) vasitəsilə mövcud API xidmətlərinin və onların xüsusiyyətlərinin müəyyənləşdirilməsi üsulları nəzərdən keçirilir. API endpointlərinin aşkarlanması, onların funksiyalarının müəyyən edilməsi və müxtəlif sorğular vasitəsilə qarşılıqlı əlaqə prinsipləri izah olunur. API-lərdə autentifikasiya, avtorizasiya, giriş məlumatlarının yoxlanılması və digər təhlükəsizlik zəifliklərinin yaranma səbəbləri öyrənilir. Həmçinin API zəifliklərinin qarşısının alınması üçün təhlükəsiz layihələndirmə və müdafiə yanaşmaları təhlil olunur.

13. 13.
    Böyük Dil Modellərinin (LLM) təhlükəsizliyi və LLM əsaslı hücumlarMühazirə

    Mövzu Böyük Dil Modellərinin (Large Language Models – LLM) əsas anlayışlarını, işləmə prinsiplərini və müasir veb tətbiqlərdə istifadə sahələrini əhatə edir. LLM API-ləri, funksiyaları və plaginləri vasitəsilə xarici sistemlər və məlumat mənbələri ilə qarşılıqlı əlaqə prinsipləri izah olunur. LLM əsaslı sistemləri hədəf alan əsas hücum növləri və bu hücumların məlumatların məxfiliyinə, sistem davranışına və inteqrasiya olunmuş xidmətlərə təsiri nəzərdən keçirilir. LLM komponentlərindən istifadə zamanı yaranan təhlükəsizlik risklərinin müəyyənləşdirilməsi və qiymətləndirilməsi üsulları öyrənilir. Həmçinin LLM əsaslı hücumların qarşısının alınması üçün giriş və çıxış məlumatlarının yoxlanılması, girişə nəzarət və digər müdafiə yanaşmaları təhlil olunur.

14. 14.
    OWASP sızma testi metodologiyası, standartları və alətləriMühazirə

    Mövzu veb tətbiqlərin təhlükəsizlik qiymətləndirilməsində istifadə olunan OWASP sızma testi metodologiyasını və əsas sızma testi standartlarını əhatə edir. Sızma testinin planlaşdırılması, məlumatların toplanması, zəifliklərin müəyyənləşdirilməsi, istismar və nəticələrin hesabatlaşdırılması kimi əsas mərhələləri izah olunur. Müxtəlif metodologiya və standartların sızma testi prosesinin sistemli və ardıcıl şəkildə həyata keçirilməsindəki rolu nəzərdən keçirilir. Veb tətbiqlərin və əlaqəli sistemlərin təhlükəsizlik qiymətləndirilməsində istifadə olunan əsas sızma testi alətləri və onların funksiyaları öyrənilir. Həmçinin metodologiya, mərhələ və alətlərin konkret təhlükəsizlik qiymətləndirilməsi məqsədlərinə uyğun seçilməsi prinsipləri təhlil olunur.

1. Hoffman A., Web Application Security: Exploitation and Countermeasures for Modern Web Applications. N.p., O’Reilly Media,
2. Elie Saad, Rick Mitchell. OWASP Web Security Testing Guide, version 4.2. 2020.
3. Web Security Academy Learning Paths(yeni pəncərədə açılır)
4. OWASP Web Security Testing Guide(yeni pəncərədə açılır)
5. Pinto, Marcus, and Stuttard, Dafydd. The Web Application Hacker’s Handbook: Finding and Exploiting Security Flaws. United Kingdom, Wiley, 2011.