gach pull request a chuireann nó a athraíonn críochphointe leis, athraíonn sé dromchla ionsaithe do API. Ní thugann formhór na n-uirlisí slándála API faoi deara go dtí go mbíonn an críochphointe sin beo agus ag glacadh tráchta cheana féin. Faoin am sin, ní athrú aonlíne amháin in athbhreithniú cóid atá sa réiteach a thuilleadh, is comhrá freagartha teagmhais é.
Is éard is slándáil API ann ná cleachtas chun na rioscaí a bhaineann le nochtadh feidhmchláir a chríochphointí a aimsiú agus a dhúnadh: cé a fhéadfaidh glaoch orthu, cad iad na sonraí a thugann siad ar ais, agus an ndéanann siad an rud a deir an doiciméadacht a dhéanann siad.
Déanann formhór na n-uirlisí atá tógtha don fhadhb seo tástáil ar an API ag am rithe, ón taobh amuigh, ar an mbealach céanna a dhéanfadh ionsaitheoir. Oibríonn an cur chuige sin, ach ní oibríonn sé ach amháin tar éis an API a imscaradh. Xiginí glacann sé an cosán níos luaithe: léann sé do chód foinse agus do shonraíocht API sula mbuaileann iarratas amháin an críochphointe riamh.
Na Ceithre Bhealach chun API a Thástáil, agus Freagraí Gach Ceann
Ritheann formhór na gclár aibí níos mó ná ceann amháin díobh seo:
- Tástáil statach déanann sé anailís ar chód foinse agus sonraíochtaí API roimh imscaradh. Freagraíonn sé “cad a nochtamar díreach?” Is é seo an cur chuige a dhíríonn an t-alt seo air.
- Tástáil dhinimiciúil (DAST) seolann sé trácht fíor chuig API atá ag rith agus breathnaíonn sé ar an gcaoi a bhfreagraíonn sé. Freagraíonn sé “cad atá inrochtana agus inúsáidte faoi láthair?”
- Fuzzing caitheann sé ionchur mífhoirmithe nó gan choinne ag críochphointí le haghaidh tuairteanna dromchla agus teipeanna imeallcháis. Freagraíonn sé “cad iad na briseadh faoin ionchur nár cheapamar a bhí ann?”
- Tástáil treá láimhe cuireann sé breithiúnas daonna leis chun lochtanna loighce a aimsiú a chailleann uirlisí uathoibrithe. Freagraíonn sé “cad a shlabhraíonn ionsaitheoir cliste le chéile?”
Ní chuireann aon cheann díobh seo ionad na gceann eile. Freagraíonn siad ceisteanna difriúla ag pointí difriúla sa saolré, agus is é an chéad cheann an bhearna atá i bhformhór na gclár.
Cén fáth a fheiceann formhór na n-uirlisí slándála API an riosca rómhall
Seolann tástáil slándála API rith-ama trácht chuig feidhmchlár beo agus féachann sé ar an gcaoi a bhfreagraíonn sé. Is ciseal dlisteanach agus riachtanach é. Is táscaire moille é freisin, de réir tógála: ní mór críochphointe a bheith ann, a bheith imscartha, agus a bheith inrochtana sula bhféadann scanóir rith-ama aon rud a rá faoi. Cibé rud a aimsíonn sé, bhí sé nochta cheana féin ar feadh an ama a thóg sé an scanadh a rith.
Tá bearna eile faoin bhfadhb ama sin. Ní féidir le huirlisí rith-ama ach tástáil a dhéanamh ar a bhfuil a fhios acu a bheith ann. Mura ndearnadh críochphointe a dhoiciméadú riamh, nó má chuaigh sonraíocht OpenAPI as dáta an nóiméad a sheol duine bealach nua, níl aon bhealach ag scanóir rith-ama a fhios a bheith aige go bhfuil sé ann. Déanann sé tástáil ar an léarscáil, ní ar an gcríoch.
Dúnann tástáil slándála statach API an dá bhearna tríd an seic a bhogadh go dtí an áit a bhfuil an críochphointe sainmhínithe: do chód agus do shonraíocht API, roimh an imscaradh. pull request a thugann isteach críochphointe ná an pull request a thugann chun solais a riosca.
Cad is brí le Slándáil API Statach i ndáiríre
Tógálann Xygeni d’fhardal API ó dhá fhoinse: cód foinse d’fheidhmchláir agus do shonraíochtaí API, lena n-áirítear OpenAPI agus Swagger.
Taispeánann fardal sonraíochta amháin na críochphointí a chuimhnigh duine a dhoiciméadú. Taispeánann fardal cód amháin cad atá ann ach ní gá go mbeadh sé i gceist é a úsáid. Tugann léamh an dá cheann léargas iomlán duit: na críochphointí nár dhoiciméadaigh do fhoirne, agus na cinn nár dhoiciméadaigh aon duine.
Is é an fardal sin an bunús ar a dtógfar gach rud eile:
- Líon iomlán na nAPIanna a aimsíodh, agus na sócmhainní atá i mbaol tomhaiste i gcoinne bunlíne
- Críochphointí miondealaithe de réir modh HTTP
- Fadhbanna grúpáilte de réir seirbhíse
- Gach críochphointe lena mhodh, cosán, seirbhís, modúl, staid fíordheimhnithe agus scór riosca
Feiceann do cheannairí innealtóireachta cruth dhromchla d’API gan ticéad amháin a oscailt.
Gach críochphointe a aimsíodh ag Xygeni, mar aon lena mhodh, a staid fíordheimhnithe agus a scór riosca, tógtha ó chód agus sonraíocht le chéile.
Production note Bearr an painéal Triage AI ó aon scáileáin de Shlándáil API.
Mapáilte chuig Barr 10 Slándála API OWASP
Léiríonn na torthaí an creat a úsáideann do fhoirne slándála agus d’iniúchóirí cheana féin. Braitheann Xygeni riosca ar fud Slándáil API OWASP. Barr 10 (2023):
Tá catagóir amháin as láthair d'aon ghnó. Éilíonn API6, Rochtain Gan Srian ar Shreabhadh Gnó Íogair, tuiscint ar a bhfuil próiseas gnó ceaptha a cheadú, agus ní bhraitheann aon anailíseoir statach é sin go hinchreidte. Tá aon díoltóir a mhaíonn a mhalairt ag díol bosca seiceála duit. Fanann an ceann sin le do shamhaltú bagairtí agus le do thástálaithe treá.
Ní bhíonn gach toradh cothrom: Íogaireacht sonraí agus teaglaim thocsaineacha
Déileálann liosta comhréidh torthaí le críochphointe seiceála sláinte neamhfhíordheimhnithe ar an mbealach céanna le críochphointe neamhfhíordheimhnithe a thugann taifid chustaiméirí ar ais. Ní hé an fhadhb chéanna iad sin, agus traenálann samhail tosaíochta a thugann scór comhionann dóibh do fhoirne chun neamhaird a dhéanamh den liosta.
Aicmíonn Xygeni na sonraí a láimhseálann gach críochphointe, ag léiriú PII, PCI agus PHI i bparaiméadair iarrata agus i bhfreagraí, agus péireálann sé sin le staid fíordheimhnithe an chríochphointe.
Chomh maith leis sin, cuireann sé torthaí a thagann i dtír ar an gcríochphointe céanna i gcomhghaol agus méadaíonn sé an déine nuair a bhíonn siad níos measa. Is toradh tromchúiseach é sceitheadh PII i bhfreagairt ina aonar. Tá an sceitheadh céanna ar chríochphointe nach dteastaíonn fíordheimhniú uaidh ríthábhachtach, agus déanann an t-ardán scóráil air ar an mbealach sin seachas an nasc a fhágáil le tabhairt faoi deara de láimh ag duine éigin.
Críochphointí Zombaí agus Dílleachtacha: An Drift idir Cód agus Sonraíocht
Ós rud é go léann Xygeni do chód agus do shonraíocht API taobh le taobh, feiceann sé cá bhfuil easaontas eatarthu. Léirítear an claonadh sin mar thrí phatrún aitheanta:
- Críochphointí gan doiciméadú. Tá siad ina gcónaí sa chód agus níor cuireadh leis an tsonraíocht riamh iad.
- Críochphointí zombí. Tá siad marcáilte mar imithe i léig nó ar scor, agus is féidir teacht orthu fós.
- Críochphointí dílleachta. Níl aon duine ar an bhfoireann reatha ina úinéir orthu.
Ní fheictear aon cheann díobh seo i bhfardal sonraíochta amháin, mar is é an tsonraíocht go díreach atá in easnamh orthu.
Fianaise ar féidir leat gníomhú uirthi, ní ticéad le himscrúdú a dhéanamh
Léiríonn gach fionnachtain an láimhseálaí beacht atá freagrach: an comhad, an rang, an modh, agus an líne shonrach a thug isteach an locht, agus an cód maslach rindreáilte in aice leis. Tá a dhéine, a chatagóir OWASP API Security Top 10, a CWE, staid fíordheimhnithe an chríochphointe, agus aicmiú íogaireachta na sonraí lena mbaineann ag gabháil le gach ceann acu freisin.
Má ainmníonn fionnachtain críochphointe amháin, cuirfidh sí forbróir ag cuardach tríd an mbunachar cód sula bhféadann siad fiú tosú ag socrú aon rud. Má ainmníonn fionnachtain an líne, cuirfidh sí an réiteach láithreach.
Easpórtáiltear torthaí mar JSON, CSV, Markdown agus SARIF 2.1.0, ionas go dtiocfaidh siad i dtír sa tUirlisí ina bhfuil do fhoirne ag obair cheana féin.
An láimhseálaí, an líne, agus an cód a thug isteach an nochtadh. Ní ticéad le himscrúdú.
Cén Fáth a bhfuil sé seo ina chónaí in aon ardán amháin, ní i gconsól eile
Ritheann Xygeni Slándáil API taobh le taobh SAST, SCA, Slándáil Rúin, IaC agus DAST laistigh d'ardán aonair, comhghaolmhar trí ASPM, in ionad é a sheoladh mar uirlis ar leithligh lena chuid féin login agus a chúlghairm féin.
Tá tábhacht leis sin mar go bhfreagraíonn torthaí statach agus torthaí rith-ama ceisteanna difriúla faoin gcríochphointe céanna, agus tá siad níos úsáidí le chéile ná óna chéile. Insíonn statach duit go bhfuil críochphointe rioscach sula seoltar é. Deimhníonn DAST cad is féidir a bhaint amach agus a shaothrú i ndáiríre nuair a bhíonn sé ag rith.
Roinntear sin idir dhá chonsól agus bíonn an riosca comhghaolmhar ina dhá riaráiste neamhghaolmhara. Ní dhéanann aon duine iad a réiteach, agus ní bhíonn an críochphointe atá gan doiciméadú agus gan fhíordheimhniú i gceachtar scuaine.
Féach ar dhromchla ionsaithe do API fíor. Tá Slándáil API ar fáil mar Enterprise breiseán leis an ardán Xygeni, agus ritheann scanadh i gcoinne do stórtha féin laistigh de do bhonneagar féin.
Ceisteanna Coitianta
An féidir leis a rá cé na críochphointí a láimhseálann sonraí íogaire?
Sea. Déanann Xygeni comharthaí PII, PCI agus PHI a léiriú i bparaiméadair agus i bhfreagairtí críochphointe, agus úsáideann sé an t-aicmiú sin chun torthaí a rangú de réir fíor-nochtadh.
An féidir é a rith ar gach pull request?
Sea. Ní dhéanann scanadh incriminteach ach na críochphointí a d'athraigh a anailísiú, agus is féidir leis an manifíl a tháirgeann sé scanadh DAST ina dhiaidh sin a dhíriú ar na críochphointí céanna sin, ionas go bhfanann tástáil statach agus tástáil rith-ama ailínithe leis an méid a bhog i ndáiríre.
An bhfágann mo chód mo thimpeallacht?
Ní hea. Ritheann scananna i do bhonneagar féin. Ní uaslódáiltear ach torthaí, agus ní chosnaítear iad le linn iompair agus nuair a bhíonn siad ar foscadh.
Conas a gheobhaidh mé Slándáil API?
Tá Slándáil API ar fáil mar Enterprise breiseán. Iarr PoC agus déanfar é a scrúdú leat.
