Kowane pull request wanda ke ƙara ko canza ƙarshen yana canza saman harin API ɗinku. Yawancin kayan aikin tsaro na API ba sa lura har sai ƙarshen ya kasance kai tsaye kuma ya riga ya ɗauki zirga-zirga. A lokacin, gyaran ba shine canjin layi ɗaya ba a cikin sake duba lambar, ni; tattaunawa ce ta amsawar abin da ya faru.
Tsaron API shine aikin gano da kuma rufe haɗarin da ke tattare da yadda aikace-aikacen ke fallasa ƙarshensa: wa zai iya kiran su, waɗanne bayanai ne suka dawo da su, da kuma ko sun yi abin da takaddun suka ce suna yi.
Yawancin kayan aikin da aka gina don wannan matsalar suna gwada API ɗin a lokacin aiki, daga waje, kamar yadda mai hari zai yi. Wannan hanyar tana aiki, amma tana aiki ne kawai bayan an tura API ɗin. Xygeni yana ɗaukar hanyar da ta gabata: yana karanta lambar tushe da kuma bayanin API ɗinka kafin buƙata ɗaya ta taɓa isa ƙarshen.
Hanyoyi Huɗu Don Gwada API, da Abin da Kowannensu Ya Amsa
Yawancin shirye-shiryen da suka tsufa suna gudanar da fiye da ɗaya daga cikin waɗannan:
- Gwaji na tsaye yana nazarin lambar tushe da ƙayyadaddun bayanai na API kafin a fara aiki. Yana amsa "me muka fallasa kawai?" Wannan ita ce hanyar da wannan labarin ya mayar da hankali a kai.
- Gwajin da ke aiki da ƙarfi (DAST) yana aika zirga-zirgar gaske zuwa ga API mai gudana kuma yana lura da yadda yake amsawa. Yana amsa "menene ainihin abin da za a iya isa gare shi da kuma abin da za a iya amfani da shi a yanzu?"
- Haushi yana jefa kuskuren shigarwa ko shigarwar da ba a zata ba a ƙarshen maki ga faɗar saman da gazawar layin gefe. Yana amsa "wane fashewa ne a ƙarƙashin shigarwar da ba mu yi tsammani ba?"
- Gwajin shigar da hannu Yana ƙara hukunci na ɗan adam don gano kurakuran dabaru kayan aikin atomatik sun ɓace. Yana amsa "mene ne haɗin kai mai wayo zai haɗa?"
Babu ɗaya daga cikin waɗannan da ya maye gurbin sauran. Suna amsa tambayoyi daban-daban a wurare daban-daban na zagayowar rayuwa, kuma gibin da yawancin shirye-shirye ke da shi shine na farko.
Me yasa Yawancin Kayan Aikin Tsaro na API ke Ganin Hadarin Ya Makara Too
Gwajin tsaro na Runtime API yana aika zirga-zirga zuwa aikace-aikacen kai tsaye kuma yana kallon yadda yake amsawa. Yana da halal kuma dole ne. Hakanan, ta hanyar gini, alamar jinkiri ce: dole ne a wanzu, a tura shi, kuma a iya isa gare shi kafin na'urar daukar hoto ta gudu ta faɗi wani abu game da shi. Duk abin da ya samu an riga an fallasa shi tsawon lokacin da aka ɗauka ana duba shi.
Akwai wani gibi na biyu a ƙarƙashin wannan matsalar lokaci. Kayan aikin lokacin gudu za su iya gwada abin da suka san akwai kawai. Idan ba a taɓa rubuta ma'anar ƙarshe ba, ko kuma takamaiman OpenAPI ya ɓace da zarar wani ya aika sabuwar hanya, na'urar daukar hoto ta gudu ba ta da hanyar sanin cewa tana nan. Yana gwada taswirar, ba yankin ba.
Gwajin tsaro na API mai tsauri yana rufe gibin biyu ta hanyar matsar da binciken zuwa inda aka ayyana ƙarshen: lambar ku da ƙayyadaddun API ɗinku, kafin a tura su. pull request wanda ke gabatar da ƙarshen shine pull request hakan yana nuna haɗarinsa.
Abin da Tsaron API na Static yake nufi a zahiri
Xygeni yana gina tarin API ɗinku daga tushe guda biyu: lambar tushe ta aikace-aikacenku da ƙayyadaddun API ɗinku, gami da OpenAPI da Swagger.
Kayayyakin da aka ƙayyade kawai suna nuna ƙarshen maki da wani ya tuna ya rubuta. Kayayyakin da aka ƙayyade kawai suna nuna abin da ke akwai amma ba lallai bane yadda aka yi nufin amfani da shi. Karanta duka biyun yana ba ku cikakken hoto: ƙarshen maki da ƙungiyoyinku suka rubuta, da waɗanda babu wanda ya yi.
Wannan kaya shine tushen duk abin da aka gina akansa:
- Jimillar APIs da aka gano, da kuma kadarorin da ke cikin haɗari da aka auna bisa ga tushen asali
- An rarraba ƙarshen maki ta hanyar hanyar HTTP
- An rarraba matsalolin ta hanyar sabis
- Kowace maƙasudi tare da hanyarsa, hanya, sabis, tsarin aiki, yanayin tabbatarwa da maki mai haɗari
Jagororin injiniyancin ku suna ganin siffar saman API ɗinku ba tare da buɗe tikiti ɗaya ba.
Kowace ƙarshen Xygeni ta samu, tare da hanyarta, yanayin tantancewa da maki na haɗari, an gina su daga lambar da ƙayyadaddun bayanai tare.
Production note Cire kwamitin AI Triage daga kowane hoton allo na Tsaron API.
An tsara shi zuwa Manyan Tsaron API na OWASP guda 10
Binciken ya bayyana tsarin da ƙungiyoyin tsaron ku da masu binciken ku suka riga suka yi amfani da shi. Xygeni yana gano haɗari a cikin Tsaron API na OWASP Manyan 10 (2023):
Akwai wani rukuni da gangan babu shi. API6, Ba tare da iyakancewa ba don Samun damar Gudanar da Kasuwanci Mai Sauƙi, yana buƙatar fahimtar abin da tsarin kasuwanci ya kamata ya ba da izini, kuma babu wani mai nazarin yanayin da zai gano hakan da gaske. Duk wani mai siyarwa da ke iƙirarin akasin haka yana sayar maka da akwati. Wannan ya kasance tare da ƙirar barazanarka da kuma masu gwajin shigarka.
Ba Kowanne Nemo Ya Yi Daidai Ba: Jin Daɗin Bayanai da Haɗuwa Mai Guba
Jerin abubuwan da aka gano ba tare da an tabbatar da ingancinsu ba yana ɗaukar matakin ƙarshe na binciken lafiya daidai da matakin ƙarshe da ba a tabbatar da ingancinsa ba wanda ke dawo da bayanan abokan ciniki. Waɗannan ba matsala ɗaya ba ce, kuma tsarin fifiko wanda ke ba su maki iri ɗaya yana horar da ƙungiyoyinku su yi watsi da jerin.
Xygeni yana rarraba bayanai da kowanne ma'aunin ƙarshen bayanai ya tattara, yana nuna PII, PCI da PHI a cikin sigogin buƙata da kuma a cikin amsoshi, kuma yana haɗa su da yanayin tabbatar da ƙarshen bayanai.
Hakanan yana daidaita binciken da ke sauka a kan ƙarshen ɗaya kuma yana ƙara tsanantawa lokacin da suka haɗu. Zubar da PII a cikin martani babban bincike ne da kansa. Zubar da guda ɗaya a kan ƙarshen wanda ba ya buƙatar tantancewa yana da mahimmanci, kuma dandamalin yana nuna shi ta wannan hanyar maimakon barin haɗin don wani ya lura da shi da hannu.
Maƙasudin Aljanu da Marayu: Tashin Hankali Tsakanin Lamba da Takamaiman Bayanai
Domin Xygeni yana karanta lambar ku da kuma ƙayyadaddun API ɗinku gefe da gefe, yana ganin inda suka saba wa juna. Wannan karkatarwar tana bayyana a matsayin alamu guda uku da za a iya gane su:
- Ƙarshen da ba a rubuta su ba. Suna rayuwa cikin lambar kuma ba a taɓa ƙara su cikin takamaiman ba.
- Maƙallan ƙarshen Zombie. Ana yi musu alama a matsayin waɗanda aka daina amfani da su ko kuma waɗanda suka yi ritaya, kuma har yanzu ana iya isa gare su.
- Maƙallan Marayu. Babu wanda ke cikin ƙungiyar da ke da su a yanzu.
Babu ɗaya daga cikin waɗannan da ke bayyana a cikin wani kaya na musamman kawai, domin takamaiman shine ainihin abin da ya ɓace.
Shaidar da Za Ka Iya Yi, Ba Tikitin Bincike Ba
Kowace ganowa tana nuna ainihin mai kula da alhakin: fayil ɗin, aji, hanyar, da takamaiman layin da ya gabatar da lahani, tare da lambar da aka nuna tare da shi. Kowannensu yana ɗauke da tsananinsa, nau'in OWASP API Security Top 10, CWE ɗinsa, yanayin tabbatar da ƙarshen maƙallin, da kuma rarraba bayanan da ke da alaƙa da shi.
Wani bincike da ke nuna sunan ƙarshen wani abu yana tura mai haɓaka ya fara neman hanyar shiga cikin tushen lambar kafin ya fara gyara komai. Wani bincike da ya sanya sunan layin ya sanya shi a wurin gyara nan take.
Ana fitar da sakamakon a matsayin JSON, CSV, Markdown da SARIF 2.1.0, don haka suna sauka a cikin tƙungiyoyinku sun riga sun yi aiki a ciki.
Mai kula da shi, layin, da lambar da ta gabatar da fallasa. Ba tikitin bincike ba ne.
Me Yasa Wannan Yake Rayuwa A Dandalin Daya, Ba Wani Na'ura Mai Kwamfuta Ba
Xygeni yana gudanar da Tsaron API tare da SAST, SCA, Tsaron Sirri, IaC da kuma Dast a cikin wani dandamali ɗaya, wanda aka haɗa ta hanyar ASPM, maimakon aika shi a matsayin kayan aiki daban tare da nasa login da kuma nasa tarihin.
Wannan yana da mahimmanci domin binciken da ba ya canzawa da binciken lokacin gudu suna amsa tambayoyi daban-daban game da ƙarshen maki ɗaya, kuma suna da amfani tare fiye da rabuwa. Static yana gaya muku cewa ƙarshen maki yana da haɗari kafin ya shigo. DAST yana tabbatar da abin da za a iya isa gare shi kuma za a iya amfani da shi da zarar yana aiki.
Raba wannan a cikin na'urori biyu da haɗarin da ke da alaƙa ya zama abubuwan da ba su da alaƙa da juna. Babu wanda zai sulhunta su, kuma ƙarshen da ba shi da takardu da kuma wanda ba shi da takardu yana cikin layi ɗaya.
Duba ainihin saman harin API ɗinku. Tsaron API yana samuwa azaman Enterprise ƙari ga dandalin Xygeni, kuma ana yin scanning akan rumbunan ajiyar ku a cikin kayan aikin ku.
FAQ
Shin zai iya gaya wace ƙarshen maki ke kula da bayanai masu mahimmanci?
Eh. Xygeni ya nuna PII, PCI da PHI a cikin sigogi da amsoshin ƙarshe, kuma yana amfani da wannan rarrabuwa don daidaita abubuwan da aka gano ta hanyar fallasa ta gaske.
Zai iya aiki a kowane yanayi pull request?
Eh. Ƙarin binciken yana nazarin ƙarshen da suka canza ne kawai, kuma bayyanar da yake samarwa na iya mai da hankali kan binciken DAST na gaba akan waɗancan ƙarshen, don haka gwajin tsayayye da lokacin aiki ya kasance daidai da abin da ya motsa a zahiri.
Shin lambar tawa ta bar muhallina?
A'a. Ana amfani da na'urar daukar hoto a cikin kayan aikinka. Ana loda sakamako ne kawai, ana kare su a lokacin sufuri da kuma lokacin hutu.
Ta yaya zan sami Tsaron API?
Tsaron API yana samuwa azaman Enterprise ƙari. Nemi PoC kuma za a yi amfani da shi tare da ku.
