La superficie di attacco della tua API cresce con ogni pull requestLa maggior parte degli strumenti di sicurezza delle API li rileva solo quando sono attivi e ricevono traffico. Xygeni, invece, individua ogni endpoint e i relativi rischi nel codice, prima del rilascio.
Disponibile come Enterprise aggiuntivo
La superficie di attacco delle tue API, mappata e classificata.
Xygeni crea il tuo inventario API a partire dal codice sorgente dell'applicazione e dalle specifiche API, inclusi OpenAPI e Swagger, in modo da offrirti una visione completa: dagli endpoint documentati dai tuoi team a quelli non documentati da nessuno.
I risultati sono mappati sulla OWASP API Security Top 10 (2023): autorizzazione a livello di oggetto e funzione non funzionante, endpoint non autenticati, eccessiva esposizione dei dati, assegnazione di massa, errata configurazione di JWT e CORS, limiti di frequenza mancanti, SSRF ed endpoint zombie.
Ogni risultato include lo stato di autenticazione dell'endpoint e la sensibilità dei dati che gestisce, in modo che i team possano definire con precisione cosa un attaccante può effettivamente raggiungere, invece di lavorare su un elenco indifferenziato.
Ogni endpoint. Ogni rischio. Prima della produzione.
API totali, risorse a rischio rispetto a una baseline, endpoint per metodo e problemi per servizio. Ogni endpoint è elencato con il relativo metodo, percorso, servizio, modulo, stato di autenticazione e punteggio di rischio.
Rilevamento in tutta la OWASP API Security Top 10 (2023), quindi i risultati rispecchiano il framework che il tuo team di sicurezza e i tuoi revisori già utilizzano.
Xygeni classifica i dati gestiti da ciascun endpoint, segnalando PII, PCI e PHI sia nei parametri che nelle risposte. Un endpoint non autenticato che restituisce dati personali non rappresenta lo stesso problema di un'intestazione CORS permissiva e non dovrebbe apparire come tale.
Poiché Xygeni legge sia il codice che le specifiche API, mette in evidenza le discrepanze tra i due: endpoint presenti nel codice ma assenti dalle specifiche, percorsi obsoleti ancora raggiungibili ed endpoint orfani di cui nessuno è responsabile.
Xygeni correla i risultati sullo stesso endpoint e aumenta la gravità quando questi si sommano. Una fuga di dati personali in una risposta è grave. Una fuga di dati personali su un endpoint che non richiede autenticazione è critica, e Xygeni lo segnala.
Ogni rilevamento indica il gestore preciso: file, classe, metodo e il codice che lo ha introdotto, con la falla ben visibile. Gli sviluppatori ottengono qualcosa che possono correggere, non un ticket che devono prima esaminare.
Individua e correggi i rischi delle API nel codice prima che raggiungano l'ambiente di produzione.
La sicurezza API in fase di esecuzione ti dice che un endpoint è esposto quando sta già gestendo il traffico. Xygeni lo trova nel codice, nel pull request, mentre ripararlo costa ancora uno commit.
La sicurezza delle API si trova accanto a SAST, SCA, segreti, IaCe DAST in un'unica piattaforma, in modo che il rischio delle API viva con il resto del rischio dell'applicazione invece che in uno strumento separato con il proprio login.
Statico. Xygeni analizza il codice dell'applicazione e le specifiche API per individuare le vulnerabilità prima della distribuzione. Per i test in fase di esecuzione di un'applicazione in funzione, Xygeni DAST si occupa di questo, e i due strumenti lavorano in sinergia.
Da due fonti: il codice sorgente della tua applicazione e le specifiche delle tue API, inclusi OpenAPI e Swagger. La lettura di entrambi è ciò che permette a Xygeni di individuare endpoint non documentati e orfani.
Rischi presenti nella OWASP API Security Top 10 (2023), tra cui autorizzazione a livello di oggetto non funzionante (BOLA), autorizzazione a livello di funzione non funzionante (BFLA), endpoint non autenticati, eccessiva esposizione dei dati, assegnazione di massa, errata configurazione di JWT e CORS, limitazione della frequenza mancante, SSRF ed endpoint zombie.
Sì. Xygeni segnala PII, PCI e PHI nei parametri e nelle risposte degli endpoint e li utilizza per classificare i risultati in base all'esposizione reale.
Sì. La scansione incrementale analizza solo gli endpoint che sono cambiati e il manifesto che produce può focalizzare una successiva scansione DAST su quegli stessi endpoint.
No. Le scansioni vengono eseguite nella vostra infrastruttura. Solo i risultati vengono caricati, protetti durante il trasferimento e a riposo.
È disponibile come Enterprise Componente aggiuntivo. Contattaci e valuteremo insieme le sue funzionalità.
con la piattaforma Xygeni All-In-One AppSec
con la piattaforma Xygeni All-In-One AppSec
