Api təhlükəsizliyiSyllabus

Subject code

MS-1424

Credits

6

Student workload

135

Semester

Autumn semester

Academic year

2

Subject type

Elective

Form of education

Full-time

Language of instruction

Azerbaijani

In-class hours

Mühazirə 30 saat Praktiki və laboratoriya məşğələləri 30 saat

Out-of-class hours

Tələbənin sərbəst işi 60 saat

Fənn tətbiqlər və xidmətlər arasında məlumat mübadiləsini təmin edən api-lərin təhlükəsizliyinin nəzəri və praktiki əsaslarını əhatə edir. fənn çərçivəsində API arxitekturası və iş prinsipləri, REST və digər API modelləri, autentifikasiya və avtorizasiya mexanizmləri, girişə nəzarət, məlumatların şifrələnməsi və təhlükəsiz ötürülməsi öyrənilir. həmçinin api-lərdə geniş yayılmış təhlükəsizlik zəiflikləri, icazəsiz giriş, məlumat sızması, parametr manipulyasiyası, injection hücumları, API açarlarının və tokenlərin təhlükəsiz idarə edilməsi, rate limiting və digər müdafiə mexanizmləri nəzərdən keçirilir. fənn tələbələrdə API təhlükəsizlik risklərini müəyyənləşdirmək və qiymətləndirmək, təhlükəsiz autentifikasiya və avtorizasiya mexanizmləri tətbiq etmək, api-ləri təhlükəsizlik baxımından test etmək və müasir veb xidmətlərdə təhlükəsiz məlumat mübadiləsini təmin etmək üzrə nəzəri və praktiki bacarıqlar formalaşdırır.

• lecture
• interactive discussion
• seminar
• project-based learning
• teamwork
• presentations
• case study

1. 1

   CLO 1: Api anlayışını, növlərini, arxitekturasını və müasir tətbiqlərdə rolunu izah edir.

2. 2

   CLO 2: Rest, graphql və HTTP əsaslı api-lərin iş prinsiplərini təhlil edir.

3. 3

   CLO 3: Api-lərdə autentifikasiya, avtorizasiya və girişə nəzarət mexanizmlərini tətbiq edir.

4. 4

   CLO 4: Oauth 2.0, openid connect və JWT texnologiyalarının təhlükəsizlik xüsusiyyətlərini qiymətləndirir.

5. 5

   CLO 5: Owasp API security top 10 çərçivəsində müəyyən edilən əsas təhlükəsizlik risklərini tanıyır və təhlil edir.

6. 6

   CLO 6: Api-lərdə obyekt səviyyəsində avtorizasiya, autentifikasiya və məlumatların ifşası ilə bağlı zəiflikləri müəyyən edir.

7. 7

   CLO 7: Api sorğularında məlumatların yoxlanılması, sürət məhdudlaşdırılması və təhlükəsiz xəta idarəetməsi mexanizmlərini tətbiq edir.

8. 8

   CLO 8: Api təhlükəsizliyinin yoxlanılması üçün uyğun test alətlərindən və metodlarından istifadə edir.

9. 9

   CLO 9: Api-lərin monitorinqi, loqlanması və təhlükəsizlik hadisələrinin aşkarlanması üsullarını izah edir.

10. 10

    CLO 10: Api təhlükəsizliyi üzrə praktiki layihə hazırlayır, nəticələri sənədləşdirir və təqdim edir.

1. 1.
   Api anlayışı və təhlükəsizliyinin əsaslarıLecture

   Api-nin təyinatı, növləri və proqram sistemləri arasında qarşılıqlı əlaqədə rolu. API təhlükəsizliyinin məxfilik, bütövlük və əlçatanlıq prinsipləri ilə əlaqəsi.

2. 2.
   Api arxitekturası və HTTP protokoluLecture

   Rest api, graphql və digər API yanaşmaları. HTTP metodları, status kodları, başlıqlar, sorğu və cavab strukturları, HTTPS və tls-in təhlükəsizlikdə rolu.

3. 3.
   Owasp API security top 10Lecture

   Api-lərdə geniş yayılmış təhlükəsizlik riskləri, risklərin təsnifatı, zəifliklərin təsirləri və müdafiə tədbirlərinin seçilməsi.

4. 4.
   Autentifikasiya və avtorizasiyaLecture

   İstifadəçinin identifikasiyası, autentifikasiya və avtorizasiya arasındakı fərqlər. rol əsaslı və atribut əsaslı girişə nəzarət, ən az səlahiyyət prinsipi.

5. 5.
   Oauth 2.0 və openid connectLecture

   Oauth 2.0-ın əsas komponentləri və avtorizasiya axınları. openid connect-in identifikasiya imkanları, tokenlərin təhlükəsiz idarə edilməsi və yanlış konfiqurasiyalardan yaranan risklər.

6. 6.
   Jwt və API açarlarının təhlükəsizliyiLecture

   Json web token-in strukturu, imzalanması, yoxlanılması, müddət məhdudiyyətləri və təhlükəsiz saxlanılması. API açarlarının yaradılması, ötürülməsi, yenilənməsi və ləğvi.

7. 7.
   Girişə nəzarət zəiflikləriLecture

   Broken object level authorization (bola), broken function level authorization (bfla) və digər girişə nəzarət problemləri. resurslara çıxış hüquqlarının yoxlanılması və müdafiə üsulları.

8. 8.
   Api-lərdə məlumatların yoxlanılması və inyeksiya hücumlarıLecture

   Giriş məlumatlarının validasiyası, SQL inyeksiyası, server tərəfli sorğu saxtalaşdırılması (ssrf) və digər tətbiq səviyyəli risklər. təhlükəsiz sorğu emalı və çıxış məlumatlarının idarə edilməsi.

9. 9.
   Sürət məhdudlaşdırılması və xidmətin əlçatanlığıLecture

   Rate limiting, throttling, sorğuların kvotalarla idarə edilməsi, resursların həddindən artıq istifadəsi və dos hücumları ilə bağlı risklər. müdafiə mexanizmlərinin layihələndirilməsi.

10. 10.
    Həssas məlumatların qorunmasıLecture

    Api cavablarında həddindən artıq məlumat açıqlanması, şəxsi və məxfi məlumatların qorunması, məlumatların minimallaşdırılması, şifrələmə və təhlükəsiz məlumat ötürülməsi.

11. 11.
    Api konfiqurasiyasının təhlükəsizliyiLecture

    Cors, təhlükəsizlik başlıqları, xəta mesajları, standart parametrlər, açıq test interfeysləri və lazımsız API son nöqtələrinin yaratdığı risklər. təhlükəsiz konfiqurasiya prinsipləri.

12. 12.
    Graphql API təhlükəsizliyiLecture

    Graphql sorğularının və sxemlərinin strukturu, introspection, sorğuların mürəkkəbliyi və dərinliyi ilə bağlı risklər. sorğu limitləri, girişə nəzarət və təhlükəsiz konfiqurasiya.

13. 13.
    Api təhlükəsizliyinin test edilməsiLecture

    Api test metodologiyası, funksional və təhlükəsizlik testləri, statik və dinamik analiz, postman, OWASP ZAP və burp suite kimi vasitələrdən istifadə. testlərin yalnız icazəli laboratoriya mühitində aparılması.

14. 14.
    Api monitorinqi və təhlükəsizlik hadisələrinin idarə edilməsiLecture

    Audit jurnalları, monitorinq, anomaliyaların aşkarlanması, şübhəli sorğuların təhlili, xəbərdarlıqların yaradılması və insidentlərə cavab tədbirləri.

15. 15.
    Api təhlükəsizliyinin layihələndirilməsi və yekun layihəLecture

    Təhlükəsiz API arxitekturasının hazırlanması, təhlükəsizlik tələblərinin müəyyən edilməsi, risklərin qiymətləndirilməsi, test ssenarilərinin hazırlanması və nəticələrin təqdim edilməsi.

1. Owasp foundation. OWASP API security top 10.
2. Owasp foundation. OWASP web security testing guide.
3. Hardt, d. the oauth 2.0 authorization framework. RFC 6749.
4. Jones, m., bradley, j., sakimura, n. JSON web token (jwt). RFC 7519.
5. Nist. digital identity guidelines, special publication 800-63.
6. Fielding, r. və başqaları. HTTP semantics. RFC 9110.
7. Postman və OWASP zap-ın rəsmi sənədləri.