API təhlükəsizliyiMövzu planı

API-nin təyinatı, növləri və proqram sistemləri arasında qarşılıqlı əlaqədə rolu. API təhlükəsizliyinin məxfilik, bütövlük və əlçatanlıq prinsipləri ilə əlaqəsi.

REST API, GraphQL və digər API yanaşmaları. HTTP metodları, status kodları, başlıqlar, sorğu və cavab strukturları, HTTPS və TLS-in təhlükəsizlikdə rolu.

API-lərdə geniş yayılmış təhlükəsizlik riskləri, risklərin təsnifatı, zəifliklərin təsirləri və müdafiə tədbirlərinin seçilməsi.

İstifadəçinin identifikasiyası, autentifikasiya və avtorizasiya arasındakı fərqlər. Rol əsaslı və atribut əsaslı girişə nəzarət, ən az səlahiyyət prinsipi.

OAuth 2.0-ın əsas komponentləri və avtorizasiya axınları. OpenID Connect-in identifikasiya imkanları, tokenlərin təhlükəsiz idarə edilməsi və yanlış konfiqurasiyalardan yaranan risklər.

JSON Web Token-in strukturu, imzalanması, yoxlanılması, müddət məhdudiyyətləri və təhlükəsiz saxlanılması. API açarlarının yaradılması, ötürülməsi, yenilənməsi və ləğvi.

Broken Object Level Authorization (BOLA), Broken Function Level Authorization (BFLA) və digər girişə nəzarət problemləri. Resurslara çıxış hüquqlarının yoxlanılması və müdafiə üsulları.

Giriş məlumatlarının validasiyası, SQL inyeksiyası, server tərəfli sorğu saxtalaşdırılması (SSRF) və digər tətbiq səviyyəli risklər. Təhlükəsiz sorğu emalı və çıxış məlumatlarının idarə edilməsi.

Rate limiting, throttling, sorğuların kvotalarla idarə edilməsi, resursların həddindən artıq istifadəsi və DoS hücumları ilə bağlı risklər. Müdafiə mexanizmlərinin layihələndirilməsi.

API cavablarında həddindən artıq məlumat açıqlanması, şəxsi və məxfi məlumatların qorunması, məlumatların minimallaşdırılması, şifrələmə və təhlükəsiz məlumat ötürülməsi.

CORS, təhlükəsizlik başlıqları, xəta mesajları, standart parametrlər, açıq test interfeysləri və lazımsız API son nöqtələrinin yaratdığı risklər. Təhlükəsiz konfiqurasiya prinsipləri.

GraphQL sorğularının və sxemlərinin strukturu, introspection, sorğuların mürəkkəbliyi və dərinliyi ilə bağlı risklər. Sorğu limitləri, girişə nəzarət və təhlükəsiz konfiqurasiya.

API test metodologiyası, funksional və təhlükəsizlik testləri, statik və dinamik analiz, Postman, OWASP ZAP və Burp Suite kimi vasitələrdən istifadə. Testlərin yalnız icazəli laboratoriya mühitində aparılması.

Audit jurnalları, monitorinq, anomaliyaların aşkarlanması, şübhəli sorğuların təhlili, xəbərdarlıqların yaradılması və insidentlərə cavab tədbirləri.

Təhlükəsiz API arxitekturasının hazırlanması, təhlükəsizlik tələblərinin müəyyən edilməsi, risklərin qiymətləndirilməsi, test ssenarilərinin hazırlanması və nəticələrin təqdim edilməsi.