Исследование методов защиты от атак на API

Это пошаговое руководство поможет вам написать ВКР по теме «Исследование методов защиты от атак на API» в Синергии. Здесь вы найдёте структуру, примеры, требования к оформлению и ошибки, которых стоит избегать. Если вы застряли — в конце статьи есть бесплатная консультация от практиков.

Диплом (ВКР) по теме Исследование методов защиты от атак на API

Нужен разбор вашей темы Исследование методов защиты от атак на API? Получите бесплатную консультацию: @Diplomit | +7 (987) 915-99-32 (WhatsApp)

Актуальность темы

Цель и задачи

Объект и предмет

Ожидаемые результаты и практическая значимость

Пример введения для Синергия

С ростом числа цифровых сервисов увеличивается зависимость от API, которые интегрируют системы между собой. В 2023 году 74% веб-приложений использовали REST API, из них 68% не имели полноценной защиты (источник: Positive Technologies, 2024). В условиях, когда утечки данных стоят компаний в среднем 3.5 млн рублей, безопасность API становится критической.

В рамках выпускной квалификационной работы проводится исследование методов защиты от атак на API на примере системы управления заявками в IT-отделе. Объектом исследования выступает процесс обработки заявок, предметом — методы защиты API от атак OWASP Top 10.

Целью работы является разработка и внедрение механизмов защиты API, обеспечивающих конфиденциальность, целостность и доступность данных. Задачи включают анализ уязвимостей, проектирование защищённой архитектуры, реализацию и тестирование.

Как написать заключение по Разработка, сопровождение и обеспечение безопасности информационных систем

В ходе выполнения ВКР была проанализирована проблема уязвимостей API на примере системы обработки заявок. Были выявлены ключевые риски: отсутствие валидации входных данных, слабая аутентификация, отсутствие rate limiting.

Разработан и реализован защищённый API с использованием JWT-токенов, middleware-валидации и механизма ограничения запросов. Тестирование с помощью OWASP ZAP показало снижение числа критических уязвимостей с 11 до 2.

Работа подтвердила, что применение стандартов OWASP позволяет существенно повысить безопасность API. Рекомендуется использовать предложенную архитектуру в других проектах, особенно при работе с персональными данными.

Требования к списку литературы Синергия

Список литературы оформляется по ГОСТ Р 7.0.100-2018. Обязательно включать:

• Официальные документы (OWASP, ФСТЭК, NIST)
• Научные статьи из eLibrary, CyberLeninka
• Документацию вендоров (например, Auth0, AWS API Gateway)

Примеры источников:

1. OWASP Foundation. API Security Top 10 2023. — URL: https://owasp.org/www-project-api-security/ (проверено: 2026-03-15)
2. ФСТЭК России. Руководство по защите API в корпоративных информационных системах. — М., 2024. — URL: https://fstec.ru/dokumenty/normativnye-dokumenty

Пример схемы архитектуры API с защитой

Ниже — уникальный пример, который вы можете адаптировать под свою работу:

[Клиент] 
   ↓ HTTPS
[API Gateway] ← Rate Limiting, CORS, JWT Validation
   ↓
[Auth Service] ← Проверка токена
   ↓
[Business Logic] ← Валидация входных данных (Joi, Zod)
   ↓
[Database] ← Шифрование полей, RBAC

Пояснение: Каждый слой добавляет защиту. API Gateway — первый рубеж. Auth Service — проверка прав. Валидация — защита от инъекций. БД — шифрование и роли.

Пример кода защиты от BOLA (Node.js + Express)

const jwt = require('jsonwebtoken');
const User = require('../models/User');

// Middleware проверки владельца ресурса
const checkOwnership = async (req, res, next) => {
  const token = req.headers['authorization']?.split(' ')[1];
  if (!token) return res.status(401).json({ error: 'Токен отсутствует' });

  try {
    const decoded = jwt.verify(token, process.env.JWT_SECRET);
    const user = await User.findById(decoded.userId);
    
    // Проверка: пользователь — владелец заявки?
    if (user.role !== 'admin' && req.params.userId !== decoded.userId) {
      return res.status(403).json({ error: 'Доступ запрещён: BOLA' });
    }
    req.user = user;
    next();
  } catch (err) {
    res.status(401).json({ error: 'Неверный токен' });
  }
};

// Пример использования
app.get('/api/requests/:userId', checkOwnership, (req, res) => {
  // Только владелец или админ могут получить данные
});
  

Важно: В приложении к ВКР должны быть фрагменты ключевого кода с комментариями. Не вставляйте весь проект — только критически важные части.