gach pull request a chuireas no a dh’atharraicheas ceann-uidhe ris, bidh sin ag atharrachadh uachdar ionnsaigh an API agad. Cha mhothaich a’ mhòr-chuid de dh’innealan tèarainteachd API gus am bi an ceann-uidhe sin beò agus mu thràth a’ gabhail trafaic. Mun àm sin, chan e atharrachadh aon-loidhne ann an lèirmheas còd a th’ anns an fhuasgladh tuilleadh, ’s e còmhradh freagairt tachartais a th’ ann.
’S e tèarainteachd API an cleachdadh a bhith a’ lorg agus a’ dùnadh chunnartan a thaobh mar a nochdas aplacaid a phuingean-crìochnachaidh: cò as urrainn fios a chur thuca, dè an dàta a thilleas iad, agus am bi iad a’ dèanamh na tha an sgrìobhainn ag ràdh a bhios iad a’ dèanamh.
Bidh a’ mhòr-chuid de na h-innealan a chaidh a thogail airson na trioblaid seo a’ dèanamh deuchainn air an API aig àm ruith, bhon taobh a-muigh, san aon dòigh ’s a dhèanadh ionnsaighear. Bidh an dòigh-obrach sin ag obair, ach chan eil e ag obair ach an dèidh don API a bhith air a chleachdadh. Xigin a’ gabhail na slighe na bu tràithe: bidh e a’ leughadh do chòd tùsail agus do shònrachadh API mus ruig aon iarrtas an ceann-uidhe a-riamh.
Na Ceithir Dòighean air API a Dheuchainn, agus Dè a Fhreagras Gach Fear
Bidh a’ mhòr-chuid de phrògraman inbheach a’ ruith barrachd air aon de na leanas:
- Deuchainn statach a’ dèanamh anailis air còd tùsail agus sònrachaidhean API mus tèid a chleachdadh. Bidh e a’ freagairt “dè a nochd sinn an-dràsta?” Is e seo an dòigh-obrach air a bheil an t-artaigil seo ag amas.
- Deuchainn dhinimigeach (DAST) a’ cur fìor thrafaig gu API a tha a’ ruith agus a’ cumail sùil air mar a bhios e a’ freagairt. Bidh e a’ freagairt “dè a tha dha-rìribh ruigsinneach agus ri chleachdadh an-dràsta?”
- Fuadan a’ tilgeil cuir-a-steach mì-chruthaichte no ris nach robh dùil aig puingean-crìochnachaidh gu tubaistean uachdar agus fàilligidhean cùis-imeall. Bidh e a’ freagairt “dè na briseadh fo chuir-a-steach nach robh dùil againn ris?”
- Deuchainn treòrachaidh làimhe cuir breithneachadh daonna ris gus lochdan loidigeach a lorg nach eil innealan fèin-ghluasadach ag ionndrainn. Freagraidh e “dè a chuireadh ionnsaighear snasail ri chèile?”
Chan eil gin de na rudan sin a’ dol an àite nan ceistean eile. Bidh iad a’ freagairt cheistean eadar-dhealaichte aig diofar amannan sa chuairt-beatha, agus is e a’ chiad fhear am beàrn a tha aig a’ mhòr-chuid de phrògraman.
Carson a tha a’ mhòr-chuid de dh’ innealan tèarainteachd API a’ faicinn a’ chunnart ro fhadalach
Bidh deuchainnean tèarainteachd API ruith-ùine a’ cur trafaic aig aplacaid beò agus a’ cumail sùil air mar a bhios e a’ freagairt. Tha e na shreath dligheach is riatanach. Tha e cuideachd, a rèir togail, na chomharradh air dàil: feumaidh ceann-uidhe a bhith ann, a bhith air a chleachdadh, agus a bhith ruigsinneach mus urrainn do sganair ruith-ùine dad a ràdh mu dheidhinn. Ge bith dè a lorgas e, bha e fosgailte mu thràth airson ge bith dè cho fada ’s a thug e air an sganadh ruith.
Tha beàrn eile fon duilgheadas tìm sin. Chan urrainn dha innealan ruith-ùine ach na tha fios aca a tha ann a dhearbhadh. Mura deach crìoch-phuing a chlàradh a-riamh, no mura deach sònrachadh OpenAPI a dhì-cheann-latha an-dràsta a chuir cuideigin slighe ùr a-mach, chan eil dòigh aig sganair ruith-ùine fios a bhith aige gu bheil e ann. Bidh e a’ dèanamh deuchainn air a’ mhapa, chan e an sgìre.
Bidh deuchainnean tèarainteachd API statach a’ dùnadh an dà bheàrn le bhith a’ gluasad an t-seic chun àite far a bheil an ceann-uidhe air a mhìneachadh: do chòd agus sònrachadh an API agad, mus tèid an cur an gnìomh. pull request a tha a’ toirt a-steach crìoch-phuing pull request a tha a’ nochdadh a chunnart.
Dè tha Tèarainteachd API Statach a’ ciallachadh dha-rìribh
Bidh Xygeni a’ togail clàr-stuthan API bho dhà thùs: còd tùsail an aplacaid agad agus sònrachaidhean API, nam measg OpenAPI agus Swagger.
Tha clàr-stuthan sònrachaidh a-mhàin a’ sealltainn na puingean crìochnachaidh a chuimhnich cuideigin a chlàradh. Tha clàr-stuthan còd a-mhàin a’ sealltainn dè a th’ ann ach chan ann mar a bha e an dùil a chleachdadh. Le bhith a’ leughadh an dà chuid gheibh thu an dealbh iomlan: na puingean crìochnachaidh a chlàraich na sgiobaidhean agad, agus an fheadhainn nach do chlàraich duine sam bith.
’S e an clàr-stuthan sin am bunait air a bheil a h-uile càil eile stèidhichte:
- Àireamh iomlan de APIan a chaidh a lorg, agus so-mhaoin ann an cunnart air a thomhas an aghaidh bun-loidhne
- Puingean-crìochnachaidh air am briseadh sìos a rèir modh HTTP
- Cùisean air an cruinneachadh a rèir seirbheis
- Gach ceann-uidhe leis an dòigh, slighe, seirbheis, modúl, staid dearbhaidh agus sgòr cunnairt aige
Chì na stiùirichean innleadaireachd agad cruth uachdar an API agad gun tiogaid singilte fhosgladh.
Gach ceann-phuing a lorg Xygeni, leis an dòigh-obrach, staid dearbhaidh agus sgòr cunnairt aige, air a thogail bho chòd agus sònrachadh còmhla.
Production note Bearr am pannal Triage AI bho sgrìn-sgrìn Tèarainteachd API sam bith.
Air a mhapadh gu na 10 as fheàrr ann an tèarainteachd API OWASP
Tha na co-dhùnaidhean a’ bruidhinn mun fhrèam a bhios na sgiobaidhean tèarainteachd agad agus na luchd-sgrùdaidh agad a’ cleachdadh mu thràth. Bidh Xygeni a’ lorg cunnart air feadh Tèarainteachd API OWASP. Prìomh 10 (2023):
Tha aon roinn a dhìth a dh’aona ghnothach. Feumaidh API6, Cothrom Gun Bhac air Sruthan Gnìomhachais Mothachail, tuigse fhaighinn air dè a tha pròiseas gnìomhachais an dùil a cheadachadh, agus chan eil inneal-anailis statach sam bith a’ lorg sin ann an dòigh chreidsinneach. Tha neach-reic sam bith a tha ag ràdh a chaochladh a’ reic bogsa-seic dhut. Bidh am fear sin a’ fuireach leis a’ mhodaladh bagairt agad agus na luchd-deuchainn treòrachaidh agad.
Chan eil a h-uile lorg co-ionnan: Mothachadh dàta agus measgachadh puinnseanta
Bidh liosta rèidh de thoraidhean a’ làimhseachadh ceann-uidhe sgrùdaidh slàinte neo-dhearbhte san aon dòigh ri ceann-uidhe neo-dhearbhte a thilleas clàran luchd-ceannach. Chan e an aon dhuilgheadas a tha sin, agus bidh modail prìomhachais a bheir sgòran co-ionann gan trèanadh do sgiobaidhean gus an liosta a leigeil seachad.
Bidh Xygeni a’ seòrsachadh an dàta a bhios gach ceann-uidhe a’ làimhseachadh, a’ comharrachadh PII, PCI agus PHI ann am paramadairean iarrtasan agus ann am freagairtean, agus ga cheangal ri staid dearbhaidh a’ cheann-uidhe.
Bidh e cuideachd a’ ceangal ri chèile co-dhùnaidhean a thig air an aon cheann-uidhe agus ag àrdachadh cho dona ‘s a tha iad nuair a bhios iad nas miosa. Tha aodion PII ann am freagairt na lorg cudromach leis fhèin. Tha an aon aodion air ceann-uidhe nach eil feumach air dearbhadh deatamach, agus bidh an àrd-ùrlar ga sgòradh san dòigh sin an àite a bhith a’ fàgail a’ cheangail airson cuideigin a thoirt fa-near le làimh.
Ceann-phuingean Zombaidh is Dìlleachdan: An Drift eadar Còd agus Sònrachadh
Leis gu bheil Xygeni a’ leughadh do chòd agus sònrachadh an API agad taobh ri taobh, chì e far a bheil iad ag eas-aontachadh. Tha an gluasad sin a’ nochdadh mar thrì pàtrain aithnichte:
- Puingean-crìochnachaidh gun sgrìobhainnean. Tha iad a’ fuireach ann an còd agus cha deach an cur ris an t-sònrachadh a-riamh.
- Puingean crìochnachaidh zombie. Tha iad air an comharrachadh mar nach eil iad air an cleachdadh tuilleadh no nach eil iad air an cleachdadh tuilleadh, agus tha iad fhathast ri fhaighinn.
- Puingean-crìochnachaidh dìlleachdan. Chan eil duine sam bith air an sgioba làithreach gan sealbhachadh.
Chan eil gin dhiubh sin a’ nochdadh ann an clàr-seilbhe sònrachaidh a-mhàin, oir is e an sònrachadh dìreach a tha gan dìth.
Fianais air am faod thu gnìomh a dhèanamh, chan e tiogaid airson sgrùdadh
Tha gach lorg a’ comharrachadh an dearbh làimhsichear a tha cunntachail: am faidhle, a’ chlas, an dòigh, agus an loidhne shònraichte a thug a-steach an locht, leis a’ chòd oilbheumach air a thoirt seachad còmhla ris. Tha gach fear cuideachd a’ giùlan a dhroch-chinnteachd, a roinn OWASP API Security Top 10, a CWE, staid dearbhaidh a’ phuing-crìochnachaidh, agus seòrsachadh cugallachd an dàta a tha an sàs.
Ma lorgas tu dìreach ainmicheas tu ceann-uidhe, cuiridh sin leasaiche a’ dol tro stòr-dàta a’ chòd mus urrainn dhaibh eadhon tòiseachadh air dad a chàradh. Ma lorgas tu ainmicheas tu an loidhne, cuiridh sin iad aig an àite ceart sa bhad.
Thèid toraidhean às-phortachadh mar JSON, CSV, Markdown agus SARIF 2.1.0, agus mar sin bidh iad a’ tighinn gu crìch anns an tinnealan anns a bheil na sgiobaidhean agad ag obair mu thràth.
An neach-làimhseachaidh, an loidhne, agus an còd a thug a-steach an nochdadh. Chan e tiogaid airson sgrùdadh a dhèanamh.
Carson a tha seo a’ fuireach ann an aon àrd-ùrlar, chan ann an consol eile
Bidh Xygeni a’ ruith Tèarainteachd API còmhla ri SAST, SCA, Tèarainteachd Dhìomhaireachdan, IaC agus DAST taobh a-staigh aon àrd-ùrlar, co-cheangailte tro ASPM, an àite a bhith ga chur air falbh mar inneal air leth leis fhèin login agus an cùl-stòras aige fhèin.
Tha sin cudromach oir bidh co-dhùnaidhean statach agus co-dhùnaidhean ruith-ùine a’ freagairt cheistean eadar-dhealaichte mun aon cheann-uidhe, agus tha iad nas fheumail còmhla na air leth. Tha statach ag innse dhut gu bheil ceann-uidhe cunnartach mus tèid a chuir air falbh. Bidh DAST a’ dearbhadh dè a tha dha-rìribh ruigsinneach agus so-leònte aon uair ‘s gu bheil e ag obair.
Roinn sin thairis air dà chonsól agus bidh cunnart co-cheangailte a’ fàs gu bhith na dhà chùl-stòr neo-cheangailte. Chan eil duine gan rèiteachadh, agus chan eil an ceann-uidhe aig a bheil an dà chuid gun chlàradh agus gun dearbhadh na shuidhe ann an gin de na ciudha.
Faic uachdar ionnsaigh an API agad fhèin. Tha Tèarainteachd API ri fhaighinn mar Enterprise cuir-ris ris an àrd-ùrlar Xygeni, agus ruithidh sganadh an aghaidh do stòran-dàta fhèin taobh a-staigh do bhun-structair fhèin.
CÀBHA
An urrainn dha innse dè na puingean-crìochnachaidh a bhios a’ làimhseachadh dàta mothachail?
'S e. Bidh Xygeni a' comharrachadh PII, PCI agus PHI ann am paramadairean agus freagairtean crìoch-phuing, agus a' cleachdadh an seòrsachaidh sin gus toraidhean a rangachadh a rèir fìor nochdadh.
An urrainn dha ruith air gach pull request?
'S e. Chan eil sganadh mean air mhean a' dèanamh anailis ach air na crìoch-phuingean a dh'atharraich, agus faodaidh am manifesto a chruthaicheas e sganadh DAST às dèidh sin a chuimseachadh air na crìoch-phuingean sin fhèin, agus mar sin bidh deuchainnean statach is ruith-ùine a' cumail ris na ghluais dha-rìribh.
A bheil mo chòd a’ fàgail na h-àrainneachd agam?
Chan eil. Bidh sganaidhean a’ ruith anns a’ bhun-structar agad fhèin. Chan eil ach toraidhean air an luchdachadh suas, air an dìon fhad ’s a tha iad a’ gluasad agus aig fois.
Ciamar a gheibh mi tèarainteachd API?
Tha Tèarainteachd API ri fhaighinn mar Enterprise cuir-ris. Iarr PoC agus thèid a sgòpadh leat.
