Анализ безопасности REST API с помощью автоматизированного сканирования (DAST)

Написание выпускной квалификационной работы (ВКР) по направлению 09.03.02 «Информационные системы и технологии» требует глубокого погружения в предметную область, соблюдения ГОСТ и вузовских стандартов, а также значительных временных затрат. Многие студенты сталкиваются с трудностями: нехваткой времени, сложностью технических расчётов и отсутствием доступа к реальным данным предприятия. Тема «Анализ безопасности REST API с помощью автоматизированного сканирования (DAST)» относится к числу наиболее востребованных в сфере кибербезопасности и требует понимания как теоретических основ, так и практического применения инструментов DAST.

В данной статье представлена полная структура ВКР по теме анализ безопасности REST API с помощью автоматизированного сканирования (DAST), адаптированная под требования университета Синергия. В качестве условного предприятия выступает АО «ДАСТ Сканирование», специализирующееся на тестировании безопасности веб-интерфейсов. Вы найдёте подробное описание содержания каждой главы, примеры формулировок, типичные сложности и ориентировочное время на выполнение. Также приведены шаблоны и чек-листы, которые помогут оценить свои силы перед началом работы.

Введение

Актуальность темы связана с ростом числа кибератак через уязвимости в REST API, которые часто становятся «слабым звеном» в защите информационных систем. Целью ВКР является повышение уровня безопасности REST API АО «ДАСТ Сканирование» за счёт внедрения автоматизированного сканирования методом DAST (Dynamic Application Security Testing). Объектом исследования выступает процесс тестирования безопасности, предметом — методы автоматизированного анализа. Задачи включают анализ текущих практик, выбор инструментов, проектирование решения и расчёт экономической эффективности. Время на написание введения — 6–8 часов. Основные сложности: формулировка научной новизны, подбор источников, соблюдение логики изложения.

ГЛАВА 1. АНАЛИТИЧЕСКАЯ ЧАСТЬ

1.1. Технико-экономическая характеристика предметной области и предприятия

В этом разделе описывается структура, функции и ИТ-инфраструктура АО «ДАСТ Сканирование». Раскрываются направления деятельности, используемые технологии, организационная схема и текущие подходы к обеспечению безопасности. Особое внимание уделяется процессу тестирования REST API: ручные проверки, используемые инструменты, частота аудитов.

Пример содержимого: АО «ДАСТ Сканирование» осуществляет аудит безопасности веб-приложений. На 2025 год компания обслуживает 47 клиентов, ежемесячно проводит до 60 ручных проверок API. Внедрение DAST позволит сократить трудозатраты на 40% и повысить полноту обнаружения уязвимостей.

Сложности: отсутствие реальных данных предприятия, сложность в описании технических процессов без доступа к документации. Время выполнения: 8–10 часов.

1.2. Характеристика комплекса задач и обоснование необходимости автоматизации

Раздел посвящён анализу текущего процесса анализа безопасности REST API. Описываются этапы ручного тестирования, типичные уязвимости (OWASP Top 10), частота ошибок. Обосновывается необходимость автоматизации процесса анализа для повышения скорости, точности и регулярности проверок.

Пример содержимого: Ручное тестирование занимает в среднем 6 часов на один API. При этом 15% уязвимостей упускаются. Автоматизация процесса анализа позволит проводить сканирование ежедневно и сократить время проверки до 1 часа.

Сложности: аргументация выгод автоматизации, построение логической цепочки «проблема — решение». Время выполнения: 10–12 часов.

1.3. Анализ существующих разработок и выбор стратегии автоматизации

Проводится сравнительный анализ инструментов DAST: OWASP ZAP, Burp Suite, Acunetix, Nessus. Оцениваются функциональность, стоимость, интеграция с CI/CD, удобство интерфейса. На основе анализа выбирается стратегия автоматизации: внедрение ZAP с интеграцией в Jenkins.

Пример содержимого: OWASP ZAP выбран как бесплатное, открытого кода решение с поддержкой REST API и возможностью автоматизации через скрипты. Подходит для условий АО «ДАСТ Сканирование» по функционалу и бюджету.

Сложности: объективное сравнение инструментов, необходимость понимания их технических особенностей. Время выполнения: 12–14 часов.

1.4. Обоснование проектных решений

Формулируются технические и архитектурные решения: выбор архитектуры сканирования (локальная или облачная), методы аутентификации, настройка правил сканирования, формат отчётов. Принимаются решения по интеграции с существующей ИТ-инфраструктурой.

Пример содержимого: Предлагается использовать ZAP в режиме headless, запускаемом по расписанию через Jenkins. Отчёты генерируются в формате HTML и отправляются в систему управления задачами (Jira).

Сложности: техническая точность формулировок, необходимость понимания принципов работы DAST-инструментов. Время выполнения: 10–12 часов.

Выводы по главе 1 — обобщаются результаты анализа, подчёркивается необходимость автоматизации процесса анализа безопасности REST API, обосновывается выбор инструмента и стратегии. Время выполнения: 4–6 часов.

ГЛАВА 2. ПРОЕКТИРОВАНИЕ И РЕАЛИЗАЦИЯ ИНФОРМАЦИОННОЙ СИСТЕМЫ

2.1. Разработка проекта автоматизации

Описывается архитектура автоматизированной системы: схема взаимодействия компонентов, потоки данных, сценарии использования. Приводятся диаграммы (например, DFD или UML-диаграммы последовательности).

Пример содержимого: Проект включает ZAP, Jenkins, Jira и базу уязвимостей. При запуске сканирования ZAP отправляет результаты в Jenkins, который формирует отчёт и передаёт его в Jira для регистрации задач.

Сложности: построение корректных диаграмм, соответствие ГОСТу. Время выполнения: 14–16 часов.

2.2. Информационное обеспечение задачи

Определяется состав и структура данных: форматы API-запросов, шаблоны отчётов, структура базы данных с уязвимостями. Приводятся примеры таблиц и схем хранения.

Пример содержимого: Таблица "Уязвимости_API" содержит поля: ID, URL, тип, уровень риска, дата обнаружения, статус устранения.

Сложности: проектирование нормализованной структуры, отсутствие навыков работы с СУБД. Время выполнения: 10–12 часов.

2.3. Программное обеспечение задачи

Описывается состав ПО: ZAP, Jenkins, Python-скрипты для автоматизации, плагины. Приводится обоснование выбора, версии, лицензии.

Пример содержимого: Используется ZAP 2.14.0 (лицензия Apache 2.0), Jenkins 2.414.2, Python 3.11. Плагин "ZAP Jenkins Plugin" обеспечивает интеграцию.

Сложности: корректное описание ПО, соответствие требованиям Синергии. Время выполнения: 8–10 часов.

2.4. Контрольный пример реализации проекта и его описание

Приводится пример сканирования конкретного REST API: исходные данные, настройки ZAP, результаты, интерпретация отчёта. Показывается, как система обнаруживает уязвимость, например, SQL-инъекцию.

Пример содержимого: API сервиса «Личный кабинет» был просканирован ZAP. Обнаружена уязвимость типа "SQL Injection" в методе /api/users. Уровень риска — высокий. Отчёт сохранён в HTML и отправлен в Jira.

Сложности: настройка реального сканирования, оформление примера. Время выполнения: 12–14 часов.

Выводы по главе 2 — подводятся итоги проектирования, подчёркивается соответствие решения поставленным задачам. Время выполнения: 4–6 часов.

ГЛАВА 3. ОБОСНОВАНИЕ ЭКОНОМИЧЕСКОЙ ЭФФЕКТИВНОСТИ ПРОЕКТА

3.1. Выбор и обоснование методики расчёта экономической эффективности

Обосновывается выбор методики: расчёт годового экономического эффекта, срок окупаемости, чистый дисконтированный доход. Учитываются затраты на внедрение (настройка, обучение) и доходы (снижение рисков, экономия времени).

Пример содержимого: Используется методика по Методическим рекомендациям по оценке эффективности инвестиций. Учитываются трудозатраты, стоимость лицензий (в данном случае — нулевая, так как ZAP бесплатен).

Сложности: выбор корректной методики, поиск нормативных источников. Время выполнения: 10–12 часов.

3.2. Расчёт показателей экономической эффективности проекта

Приводятся расчёты: сокращение трудозатрат, экономия на оплате труда, снижение рисков утечек. Рассчитывается годовой экономический эффект и срок окупаемости.

Пример расчёта:

Показатель	До внедрения	После внедрения
Время на сканирование (часы/месяц)	360	60
Стоимость труда (руб./месяц)	432 000	72 000
Годовая экономия	4 320 000 руб.

Сложности: корректность формул, соответствие ГОСТу по экономическим расчётам. Время выполнения: 12–14 часов.

Выводы по главе 3 — подчёркивается высокая экономическая эффективность проекта, его окупаемость менее чем за 3 месяца. Время выполнения: 4–6 часов.

Заключение

В ходе выполнения ВКР по теме «Анализ безопасности REST API с помощью автоматизированного сканирования (DAST)» была разработана и обоснована система автоматизации тестирования безопасности для АО «ДАСТ Сканирование». Работа включает полный цикл: от анализа предметной области до расчёта экономической эффективности. Показано, что внедрение DAST-сканирования на базе OWASP ZAP позволяет значительно повысить безопасность и снизить операционные затраты. Время на написание заключения — 6–8 часов. Основные сложности: краткость и ёмкость формулировок, логическая завершённость.

Список используемой литературы

Включает 40–50 источников: нормативные документы (ГОСТ, приказы), научные статьи, книги по информационной безопасности, документацию по ZAP и OWASP. Время на подбор и оформление — 4–6 часов.

Приложения

Содержат скриншоты интерфейса ZAP, листинги скриптов, примеры отчётов, диаграммы. Время на подготовку — 4–6 часов.

Итоговая трудоёмкость: 158–198 часов. Самостоятельное написание ВКР по теме анализ безопасности REST API с помощью автоматизированного сканирования (DAST) требует не только времени, но и глубоких знаний в области кибербезопасности, проектирования ИС и экономики. Без опыта легко допустить ошибки в расчётах, структуре или оформлении.

Готовые инструменты и шаблоны для Анализ безопасности REST API с помощью автоматизированного сканирования (DAST)

• Актуальность: «Рост числа цифровых сервисов привёл к увеличению числа REST API, уязвимости которых становятся основной целью кибератак. Автоматизированное сканирование (DAST) позволяет своевременно выявлять угрозы и снижать риски».
• Цель: «Повышение уровня безопасности REST API АО «ДАСТ Сканирование» за счёт внедрения автоматизированного сканирования методом DAST».
• Задачи: «Провести анализ существующих подходов, выбрать инструмент DAST, спроектировать систему автоматизации, реализовать контрольный пример, рассчитать экономическую эффективность».

Пример таблицы:

Инструмент	Стоимость	Интеграция с CI/CD	Поддержка REST API
OWASP ZAP	Бесплатно	Да	Полная
Burp Suite	Платно	Да	Частичная

Чек-лист «Оцени свои силы»:

• Есть ли у вас доступ к реальным данным предприятия?
• Понимаете ли вы принципы работы DAST-инструментов?
• Можете ли вы настроить ZAP и провести тестовое сканирование?
• Есть ли у вас 5–7 часов в день на 4–6 недель?
• Готовы ли вы к правкам и замечаниям научного руководителя?

И что же дальше? Два пути к успешной защите

Путь 1. Самостоятельный: Вы получите ценный опыт, но столкнётесь с высокой трудоёмкостью — 150–200 часов, рисками стресса, ошибок в расчётах и многократных правок. Время ограничено, а требования — жёсткие.

Путь 2. Профессиональный: Вы экономите время, получаете работу, соответствующую всем требованиям Синергии, уникальную по «Антиплагиат.ВУЗ», с поддержкой до защиты и гарантией качества.

Если после прочтения вы осознали, что самостоятельное написание отнимет слишком много сил, или вы просто хотите перестраховаться — обращение к нам является взвешенным и профессиональным решением. Мы возьмём на себя все технические сложности, а вы получите готовую, качественную работу и уверенность перед защитой.

Заключение

Написание ВКР по теме «Анализ безопасности REST API с помощью автоматизированного сканирования (DAST)» — сложный, но важный этап обучения. Работа требует глубокого понимания как теоретических основ информационной безопасности, так и практических навыков проектирования и расчётов. Структура ВКР строго регламентирована, а объём — значительный. Выбор за вами: пройти путь самостоятельно или доверить его профессионалам. В любом случае, мы готовы помочь — от консультации до полной реализации проекта.