Веб-безопасностьSyllabus

Subject code

İF-2205y-RU

Credits

5

Student workload

90

Semester

Spring semester

Academic year

2

Subject type

Mandatory

Form of education

Full-time

Language of instruction

Azerbaijani

In-class hours

Лекции: 30 Лабораторные работы: 30

Out-of-class hours

Самостоятельная работа студента (СРС): 60 Проектная работа / консультационные часы: 30

Дисциплина «веб-безопасность» изучает основные принципы, методы и технологии обеспечения безопасности веб-приложений и веб-сервисов. в рамках курса рассматриваются архитектура веб-приложений, протоколы http/https, механизмы аутентификации и авторизации, управление сессиями, контроль доступа и защита пользовательских данных. изучаются распространённые уязвимости веб-приложений, включая sql-инъекции, xss, csrf, уязвимости контроля доступа и другие угрозы, а также методы их выявления, анализа и предотвращения. особое внимание уделяется безопасной разработке веб-приложений, защите серверной и клиентской части, применению механизмов шифрования, безопасной конфигурации и тестированию защищённости веб-систем.

• lecture
• interactive discussion
• laboratory work
• presentations
• teamwork
• problem-based learning

1. 1

   CLO 1: Знать принципы работы веб-браузеров, а также основные принципы проектирования, разработки и эксплуатации веб-приложений.

2. 2

   CLO 2: Уметь разрабатывать безопасные веб-страницы с использованием современных технологий. знать такие технологии, как html, CSS и javascript.

3. 3

   CLO 3: Знать принципы работы протокола http, а также понимать принцип действия ssl-сертификатов и их роль в обеспечении безопасности веб-страниц.

4. 4

   CLO 4: Иметь представление о природе и основных видах атак на веб-сайты.

5. 5

   CLO 5: Знать принципы работы веб-сервисов и api, включая REST и graphql.

6. 6

   CLO 6: Знать основные уязвимости, представленные в OWASP top 10, уметь идентифицировать соответствующие уязвимости и применять механизмы их предотвращения.

1. 1.
   Введение в веб-безопасность. архитектура браузераLecture
2. 2.
   Сбор информации о веб-системахLecture
3. 3.
   Протокол HTTPLecture
4. 4.
   Архитектура dns; атаки на DNSLecture
5. 5.
   Куки и сессииLecture
6. 6.
   Атаки на сессии, CSRF (cross-site request forgery)Lecture
7. 7.
   Атаки xss; защита от XSSLecture
8. 8.
   Удаленное выполнение кода (rce)Lecture
9. 9.
   Безопасность сервераLecture
10. 10.
    Https; HPKP (http public key pinning)Lecture
11. 11.
    Идентификация и аутентификацияLecture
12. 12.
    Методы аутентификации APILecture
13. 13.
    Атаки на LLMLecture
14. 14.
    Методология тестирования на проникновение OWASPLecture
15. 15.
    Заключительная дискуссияLecture

1. Hoffman a., web application security: exploitation and countermeasures for modern web applications. n.p., o’reilly media, 2020.
2. Elie saad, rick mitchell. OWASP web security testing guide, version 4.2. 2020.
3. Web security academy learning paths (https://portswigger.net/web-security/learning-paths)
4. Owasp web security testing guide(opens in a new tab)
5. Pinto, marcus, and stuttard, dafydd. the web application hacker’s handbook: finding and exploiting security flaws. united kingdom, wiley, 2011.