Bidh uachdar ionnsaigh an API agad a’ fàs le gach pull request, agus chan fhaic a’ mhòr-chuid de dh’innealan tèarainteachd API e ach aon uair ‘s gu bheil e beò agus a’ gabhail trafaic. Lorgaidh Xygeni a h-uile ceann-uidhe agus na cunnartan a tha an lùib a’ chòd, mus tèid a leigeil ma sgaoil.
Ri fhaighinn mar Enterprise tuilleadan
Uachdar Ionnsaigh API, air a mhapadh agus air a rangachadh.
Bidh Xygeni a’ togail clàr-stuthan API bhon chòd tùsail tagraidh agus bhon API agad, a’ gabhail a-steach OpenAPI agus Swagger, gus am faic thu an uachdar slàn: na puingean-crìochnachaidh a chlàraich na sgiobaidhean agad, agus an fheadhainn nach do chlàraich duine sam bith.
Tha na co-dhùnaidhean air am mapadh gu OWASP API Security Top 10 (2023): ùghdarras ìre nì is gnìomh briste, puingean-crìochnachaidh gun dearbhadh, cus nochdadh dàta, sònrachadh mòr, mì-rèiteachadh JWT agus CORS, crìochan ìre a dhìth, SSRF, agus puingean-crìochnachaidh zombie.
Bidh staid dearbhaidh an àite-deireadh agus cugallachd an dàta a bhios e a’ làimhseachadh a’ giùlan gach lorg, agus mar sin bidh sgiobaidhean a’ càradh na as urrainn do ionnsaighear a ruighinn an àite a bhith ag obair le liosta neo-eadar-dhealaichte.
A h-uile Ceann-uidhe. A h-uile Cunnart. Ro Riochdachadh.
APIan iomlan, so-mhaoin ann an cunnart an aghaidh bun-loidhne, puingean-crìche a rèir modh, agus cùisean a rèir seirbheis. Gach puingean-crìche air an liostadh leis a’ mhodh, slighe, seirbheis, modúl, staid dearbhaidh, agus sgòr cunnairt aige.
Lorgaireachd air feadh OWASP API Security Top 10 (2023), agus mar sin tha na co-dhùnaidhean a’ nochdadh an fhrèam a bhios an sgioba tèarainteachd agad agus na luchd-sgrùdaidh agad a’ cleachdadh mu thràth.
Bidh Xygeni a’ seòrsachadh an dàta a bhios gach ceann-uidhe a’ làimhseachadh, a’ comharrachadh PII, PCI, agus PHI an dà chuid ann am paramadairean agus ann am freagairtean. Chan eil ceann-uidhe neo-dhearbhte a thilleas dàta pearsanta an aon dhuilgheadas ri ceann-sgrìobhaidh CORS ceadaichte, agus cha bu chòir dha a bhith coltach ri fear.
Leis gu bheil Xygeni a’ leughadh an dà chuid a’ chòd agus sònrachaidhean an API agad, bidh e a’ nochdadh an gluasad eatorra: tha puingean-crìochnachaidh beò sa chòd ach a dhìth bhon t-sònrachadh, slighean seann-fhasanta fhathast ruigsinneach, agus puingean-crìochnachaidh dìlleachdan nach eil aig duine sam bith.
Bidh Xygeni a’ ceangal co-dhàimhean ri toraidhean air an aon cheann-uidhe agus ag àrdachadh dèinead nuair a bhios iad a’ fàs nas miosa. Tha aodion PII ann am freagairt dona. Tha aodion PII air ceann-uidhe nach eil feumach air dearbhadh deatamach, agus tha Xygeni ag ràdh sin.
Tha gach lorg a’ comharrachadh an làimhsichear mionaideach: faidhle, clas, modh, agus a’ chòd a thug a-steach e, leis an locht air a’ chùis. Gheibh luchd-leasachaidh rudeigin as urrainn dhaibh a chàradh, chan e tiogaid a dh’ fheumas iad a sgrùdadh an toiseach.
Lorg agus ceartaich cunnartan API ann an còd mus ruig iad cinneasachadh.
Tha tèarainteachd API ruith-ùine ag innse dhut gu bheil ceann-uidhe fosgailte aon uair ‘s gu bheil e mu thràth a’ frithealadh trafaic. Lorgaidh Xygeni e anns a’ chòd, anns an pull request, ged a tha e fhathast a’ cosg aon rud a chàradh commit.
Tha tèarainteachd API ri taobh SAST, SCA, dìomhaireachdan, IaC, agus DAST ann an aon àrd-ùrlar, agus mar sin bidh cunnart an API agad a’ fuireach còmhla ri cunnart an tagraidh agad an àite a bhith ann an inneal air leth leis fhèin login.
Statach. Bidh Xygeni a’ dèanamh anailis air còd an tagraidh agad agus air sònrachaidhean API gus nochdaidhean a lorg mus tèid an cur an gnìomh. Airson deuchainnean ruith-ùine air tagradh a tha a’ ruith, bidh Xygeni DAST a’ còmhdach sin, agus bidh an dithis ag obair còmhla.
Bho dhà thùs: còd tùsail an aplacaid agad, agus sònrachaidhean an API agad, nam measg OpenAPI agus Swagger. Le bhith a’ leughadh an dà chuid, faodaidh Xygeni puingean-crìochnachaidh neo-sgrìobhte agus dìlleachdan a thoirt am follais.
Cunnartan thar 10 Tèarainteachd API OWASP (2023), a’ gabhail a-steach ùghdarras ìre nì briste (BOLA), ùghdarras ìre gnìomh briste (BFLA), puingean-crìochnachaidh gun dearbhadh, cus nochdadh dàta, sònrachadh tomad, mì-rèiteachadh JWT agus CORS, cuingealachadh ìre a dhìth, SSRF, agus puingean-crìochnachaidh zombie.
'S e. Bidh Xygeni a' comharrachadh PII, PCI, agus PHI ann am paramadairean agus freagairtean crìoch-phuing, agus ga chleachdadh gus toraidhean a rangachadh a rèir fìor nochdadh.
'S e. Chan eil sganadh mean air mhean a' dèanamh anailis ach air na crìoch-phuingean a dh'atharraich, agus faodaidh am manifesto a chruthaicheas e sganadh DAST às dèidh sin a chuimseachadh air na crìoch-phuingean sin fhèin.
Chan eil. Bidh sganaidhean a’ ruith anns a’ bhun-structar agad fhèin. Chan eil ach toraidhean air an luchdachadh suas, air an dìon fhad ’s a tha iad a’ gluasad agus aig fois.
Tha e ri fhaighinn mar Enterprise cuir-ris. Bruidhinn rinn agus nì sinn sgrùdadh air còmhla riut.
leis an Àrd-ùrlar AppSec Uile-ann-aon Xygeni
leis an Àrd-ùrlar AppSec Uile-ann-aon Xygeni
