Veb təhlükəsizlikMövzu planı

Mövzu veb təhlükəsizliyin əsas anlayışlarını, fənnin məqsədini, strukturunu və praktiki tapşırıqların təşkilini əhatə edir. Brauzer arxitekturası çərçivəsində proseslər və ipliklər, veb səhifələrin vizuallaşdırılması məntiqi və brauzerin əsas işləmə mexanizmləri izah olunur. Parsing prosesi və Document Object Model (DOM) strukturunun formalaşması və veb səhifələrin emalındakı rolu nəzərdən keçirilir. Mövzu çərçivəsində veb tətbiqlərin təhlükəsizliyinə təsir edən əsas risklər və zəifliklər haqqında ilkin təsəvvür formalaşdırılır. Həmçinin OWASP Top 10 əsasında veb tətbiqlərdə ən geniş yayılmış təhlükəsizlik risklərinə ümumi baxış verilir.

Mövzu veb sistemlərin təhlükəsizlik qiymətləndirilməsi üçün ilkin məlumatların toplanması və kəşfiyyat proseslərini əhatə edir. Axtarış motorlarından istifadə etməklə açıq mənbələr əsasında veb sistemlər haqqında məlumatların müəyyənləşdirilməsi üsulları izah olunur. Metafaylların və digər açıq məlumat mənbələrinin nəzərdən keçirilməsi yolu ilə sistem haqqında əlavə məlumatların əldə edilməsi yanaşmaları öyrənilir. Veb serverdə mövcud tətbiqlərin inventarlaşdırılması və sistemin potensial hücum səthinin müəyyənləşdirilməsi prinsipləri nəzərdən keçirilir. Həmçinin veb tətbiqlərdə istifadəçi məlumatlarını qəbul edən və sistemlə qarşılıqlı əlaqə yaradan giriş nöqtələrinin müəyyənləşdirilməsi üsulları öyrənilir.

Mövzu HTTP protokolunun veb sistemlərdə məlumat mübadiləsinin təşkilindəki rolunu və əsas işləmə prinsiplərini əhatə edir. HTTP əsaslı sistemlərin əsas komponentləri və müştəri-server qarşılıqlı əlaqəsi izah olunur. HTTP sessiyalarının yaradılması və idarə edilməsi, həmçinin HTTP başlıqlarının məlumat mübadiləsindəki funksiyaları nəzərdən keçirilir. Müxtəlif HTTP sorğu üsulları və onların veb resurslarla qarşılıqlı əlaqədə istifadəsi öyrənilir. Server cavabının strukturu, status kodları, başlıqlar və cavab məzmununun əsas xüsusiyyətləri təhlil olunur.

Mövzu DNS sisteminin arxitekturasını, əsas komponentlərini və domen adlarının IP ünvanlarına çevrilməsi prosesini əhatə edir. DNS infrastrukturunu və veb tətbiqləri hədəf alan əsas hücum növləri və onların təhlükəsizlik təsirləri nəzərdən keçirilir. DNS Rebinding hücumlarının işləmə prinsipi və bu hücumların brauzerin təhlükəsizlik mexanizmlərindən yan keçmək üçün istifadəsi izah olunur. Brauzerlərin DNS Rebinding hücumlarından qorunması üçün tətbiq olunan əsas müdafiə yanaşmaları öyrənilir. Həmçinin Şəxsi Şəbəkə Girişi (Private Network Access) mexanizminin daxili şəbəkə resurslarına icazəsiz veb girişlərinin məhdudlaşdırılmasındakı rolu təhlil olunur.

Mövzu veb tətbiqlərdə istifadəçi vəziyyətinin və sessiyaların idarə olunması üçün kukilərdən istifadə prinsiplərini əhatə edir. Kukilərin yaradılması, saxlanılması, ötürülməsi və silinməsindən ibarət həyat dövrü, həmçinin kukilərə girişin məhdudlaşdırılması üçün tətbiq olunan təhlükəsizlik mexanizmləri izah olunur. İstifadəçilərin veb mühitində izlənilməsi, bunun məxfilik baxımından yaratdığı risklər və üçüncü tərəf kukilərinin rolu nəzərdən keçirilir. Brauzerlərdə kukilərdən başqa məlumatların saxlanılması üçün istifadə olunan digər mexanizmlər və onların əsas xüsusiyyətləri öyrənilir. Bu mexanizmlərin veb tətbiqlərin funksionallığına, təhlükəsizliyinə və istifadəçi məxfiliyinə təsiri təhlil olunur.

Mövzu veb tətbiqlərdə sessiyaların idarə olunması ilə bağlı təhlükəsizlik risklərini və sessiya əsaslı hücumları əhatə edir. Saytlararası sorğu saxtakarlığı (Cross-Site Request Forgery – CSRF) hücumunun işləmə prinsipi və istifadəçinin aktiv sessiyasından icazəsiz əməliyyatların həyata keçirilməsi üçün necə istifadə oluna bilməsi izah olunur. SameSite kuki atributunun saytlararası sorğuların məhdudlaşdırılmasında və CSRF riskinin azaldılmasındakı rolu nəzərdən keçirilir. CSRF hücumlarının qarşısının alınması üçün təhlükəsizlik tokenləri, sorğuların yoxlanılması və digər müdafiə mexanizmləri öyrənilir. Həmçinin CSRF Prevention Cheat Sheet əsasında veb tətbiqlərdə tətbiq olunan əsas təhlükəsizlik tövsiyələri təhlil edilir.

Mövzu saytlararası skriptləmə (Cross-Site Scripting – XSS) zəifliklərinin yaranma səbəblərini, əsas növlərini və veb tətbiqlərin təhlükəsizliyinə təsirini əhatə edir. XSS hücumlarında zərərli skriptlərin veb səhifələrə daxil edilməsi və istifadəçi brauzerində icra olunması prinsipləri izah olunur. XSS zəifliklərinin qarşısının alınması üçün giriş məlumatlarının yoxlanılması, çıxış məlumatlarının kodlaşdırılması və digər müdafiə üsulları nəzərdən keçirilir. XSS Prevention Cheat Sheet əsasında təhlükəsiz proqramlaşdırma üzrə əsas tövsiyələr öyrənilir. Həmçinin Məzmun Təhlükəsizliyi Siyasətinin (Content Security Policy – CSP) icazəsiz skriptlərin icrasını məhdudlaşdırmaqla XSS risklərinin azaldılmasındakı rolu təhlil olunur.

Mövzu veb tətbiqlərdə istifadəçi tərəfindən daxil edilən məlumatların təhlükəsiz emal olunmaması nəticəsində yaranan inyeksiya zəifliklərini əhatə edir. Kod inyeksiyası hücumlarının yaranma səbəbləri və icazəsiz kodun tətbiq mühitində icra olunması prinsipləri izah olunur. Komanda inyeksiyası vasitəsilə əməliyyat sistemi komandalarının icrası və bunun sistem təhlükəsizliyinə təsiri nəzərdən keçirilir. SQL inyeksiyası hücumlarının verilənlər bazası sorğularının manipulyasiyası yolu ilə həyata keçirilməsi və yarada biləcəyi təhlükəsizlik riskləri öyrənilir. Həmçinin giriş məlumatlarının yoxlanılması, parametrli sorğular və təhlükəsiz proqramlaşdırma üsulları əsasında inyeksiya hücumlarına qarşı müdafiə yanaşmaları təhlil olunur.

Mövzu veb tətbiqlərin server tərəfində yaranan əsas təhlükəsizlik zəifliklərini və onların sistemlərə təsirini əhatə edir. Server tərəfindəki boşluqların yaranma səbəbləri və bu zəifliklərin icazəsiz giriş, məlumat sızması və digər təhlükəsizlik risklərinə səbəb olması izah olunur. Server Tərəfli Sorğu Saxtakarlığı (Server-Side Request Forgery – SSRF) hücumlarının işləmə prinsipi və serverin daxili və ya xarici resurslara icazəsiz sorğular göndərmək üçün necə istifadə oluna bilməsi nəzərdən keçirilir. Fayl yükləmə funksiyalarında yaranan zəifliklər və zərərli və ya icazəsiz faylların serverə yüklənməsi ilə bağlı risklər öyrənilir. Həmçinin server tərəfli zəifliklərin və fayl yükləmə risklərinin azaldılması üçün əsas təhlükəsizlik tədbirləri təhlil olunur.

Mövzu HTTPS protokolunun veb kommunikasiyasında məlumatların şifrələnməsi və təhlükəsiz ötürülməsindəki rolunu əhatə edir. Veb trafikin şifrələnməsi prinsipləri və şifrələnmiş trafikin qorunmasında rəqəmsal sertifikatların rolu izah olunur. Google üzərindən şifrələnmiş trafik nümunəsi və DigiNotar insidenti əsasında sertifikat infrastrukturunda etibar problemləri və onların təhlükəsizlik təsirləri nəzərdən keçirilir. Açıq açarın saxlanması (public key pinning) anlayışı və HPKP mexanizminin saxta və ya etibarsız sertifikatlarla bağlı risklərin azaldılmasındakı məqsədi öyrənilir. Həmçinin HPKP vasitəsilə açıq açar məlumatlarının brauzerdə saxlanılması və sonrakı bağlantılarda yoxlanılması prinsipləri təhlil olunur.

Mövzu veb tətbiqlərdə istifadəçilərin identifikasiyası və autentifikasiyası üçün tətbiq olunan əsas mexanizmləri əhatə edir. İstifadəçi qeydiyyatı, hesabın yaradılması və hesabların inventarlaşdırılması prosesləri, həmçinin təxmin edilə bilən istifadəçi hesabları ilə bağlı təhlükəsizlik riskləri nəzərdən keçirilir. Etimadnamələrin şifrələnmiş rabitə kanalları üzərindən təhlükəsiz ötürülməsi, daxilolma hadisələrinin qeydiyyatı və monitorinqi prinsipləri izah olunur. Parol tələb etməyən autentifikasiya protokollarının xüsusiyyətləri və onların təhlükəsiz girişin təmin edilməsindəki rolu öyrənilir. Həmçinin JSON Web Token (JWT) əsaslı autentifikasiyanın işləmə prinsipləri və veb tətbiqlərdə istifadəsi təhlil olunur.

Mövzu API-lərin təhlükəsizliyinin təmin edilməsi üçün istifadə olunan əsas autentifikasiya metodlarını və təhlükəsizlik mexanizmlərini əhatə edir. API kəşfiyyatı (API recon) vasitəsilə mövcud API xidmətlərinin və onların xüsusiyyətlərinin müəyyənləşdirilməsi üsulları nəzərdən keçirilir. API endpointlərinin aşkarlanması, onların funksiyalarının müəyyən edilməsi və müxtəlif sorğular vasitəsilə qarşılıqlı əlaqə prinsipləri izah olunur. API-lərdə autentifikasiya, avtorizasiya, giriş məlumatlarının yoxlanılması və digər təhlükəsizlik zəifliklərinin yaranma səbəbləri öyrənilir. Həmçinin API zəifliklərinin qarşısının alınması üçün təhlükəsiz layihələndirmə və müdafiə yanaşmaları təhlil olunur.

Mövzu Böyük Dil Modellərinin (Large Language Models – LLM) əsas anlayışlarını, işləmə prinsiplərini və müasir veb tətbiqlərdə istifadə sahələrini əhatə edir. LLM API-ləri, funksiyaları və plaginləri vasitəsilə xarici sistemlər və məlumat mənbələri ilə qarşılıqlı əlaqə prinsipləri izah olunur. LLM əsaslı sistemləri hədəf alan əsas hücum növləri və bu hücumların məlumatların məxfiliyinə, sistem davranışına və inteqrasiya olunmuş xidmətlərə təsiri nəzərdən keçirilir. LLM komponentlərindən istifadə zamanı yaranan təhlükəsizlik risklərinin müəyyənləşdirilməsi və qiymətləndirilməsi üsulları öyrənilir. Həmçinin LLM əsaslı hücumların qarşısının alınması üçün giriş və çıxış məlumatlarının yoxlanılması, girişə nəzarət və digər müdafiə yanaşmaları təhlil olunur.

Mövzu veb tətbiqlərin təhlükəsizlik qiymətləndirilməsində istifadə olunan OWASP sızma testi metodologiyasını və əsas sızma testi standartlarını əhatə edir. Sızma testinin planlaşdırılması, məlumatların toplanması, zəifliklərin müəyyənləşdirilməsi, istismar və nəticələrin hesabatlaşdırılması kimi əsas mərhələləri izah olunur. Müxtəlif metodologiya və standartların sızma testi prosesinin sistemli və ardıcıl şəkildə həyata keçirilməsindəki rolu nəzərdən keçirilir. Veb tətbiqlərin və əlaqəli sistemlərin təhlükəsizlik qiymətləndirilməsində istifadə olunan əsas sızma testi alətləri və onların funksiyaları öyrənilir. Həmçinin metodologiya, mərhələ və alətlərin konkret təhlükəsizlik qiymətləndirilməsi məqsədlərinə uyğun seçilməsi prinsipləri təhlil olunur.