API шабуыл бетіңіз әр сайын өсіп келеді pull request, және API қауіпсіздік құралдарының көпшілігі оны тек іске қосылғаннан және трафикті қабылдағаннан кейін ғана көреді. Xygeni шығарылым алдында кодтағы әрбір соңғы нүктені және оның қауіптерін анықтайды.
ретінде қол жетімді Enterprise қондырмасын
API шабуыл беті, картаға түсірілген және рейтингіленген.
Xygeni сіздің API инвентаризацияңызды қолданбаның бастапқы кодынан және OpenAPI және Swagger сияқты API сипаттамаларыңыздан құрастырады, сондықтан сіз толық бетін көресіз: командаларыңыз құжаттаған және ешкім жасамаған нүктелер.
Зерттеу нәтижелері OWASP API қауіпсіздік бойынша ең үздік 10 (2023) тізіміне енгізілген: бұзылған нысан және функция деңгейіндегі авторизация, аутентификацияланбаған соңғы нүктелер, деректердің шамадан тыс көптеп ашылуы, жаппай тағайындау, JWT және CORS дұрыс конфигурацияланбауы, жылдамдық шектеулерінің болмауы, SSRF және зомби соңғы нүктелері.
Әрбір жаңалық соңғы нүктенің аутентификация күйін және ол өңдейтін деректердің сезімталдығын қамтиды, сондықтан топтар дифференциалданбаған тізіммен жұмыс істеудің орнына шабуылдаушының нақты қол жеткізе алатын жерін түзетеді.
Әрбір соңғы нүкте. Әрбір тәуекел. Өндіріске дейін.
Жалпы API, бастапқы деңгейге қатысты тәуекелге ұшыраған активтер, әдіс бойынша соңғы нүктелер және қызмет бойынша мәселелер. Әрбір соңғы нүкте әдісімен, жолымен, қызметімен, модулімен, аутентификация күйімен және тәуекел ұпайымен тізімделген.
OWASP API қауіпсіздік бойынша үздік 10 (2023) тізіміндегі анықтаулар, сондықтан нәтижелер сіздің қауіпсіздік тобыңыз бен аудиторларыңыз қазірдің өзінде қолданатын құрылымды көрсетеді.
Xygeni әрбір соңғы нүкте өңдейтін деректерді жіктейді, параметрлерде де, жауаптарда да PII, PCI және PHI белгілейді. Жеке деректерді қайтаратын аутентификацияланбаған соңғы нүкте рұқсат етілген CORS тақырыбымен бірдей мәселе емес және ол ұқсамауы керек.
Because Xygeni reads both the code and your API specifications, it surfaces the drift between them: endpoints live in code but missing from the spec, deprecated routes still reachable, and orphan endpoints nobody owns.
Xygeni correlates findings on the same endpoint and raises severity when they compound. A PII leak in a response is serious. A PII leak on an endpoint that requires no authentication is critical, and Xygeni says so.
Each finding points at the exact handler: file, class, method, and the code that introduced it, with the flaw on the line. Developers get something they can fix, not a ticket they have to investigate first.
Өндіріске жеткенге дейін кодтағы API қауіптерін тауып, түзетіңіз.
Runtime API қауіпсіздігі соңғы нүкте трафикке қызмет көрсете бастағаннан кейін оның ашылғанын хабарлайды. Xygeni оны кодтан табады pull request, оны жөндеу әлі де бір адамға түседі commit.
API қауіпсіздігі жанында орналасқан SAST, SCA, құпиялар, IaCжәне DAST бір платформада, сондықтан сіздің API тәуекеліңіз өзінің жеке құралында емес, қолданба тәуекеліңіздің қалған бөлігімен бірге тұрады. login.
Статикалық. Xygeni қолданба кодын және API сипаттамаларын орналастыру алдында экспозицияларды табу үшін талдайды. Іске қосылған қолданбаның жұмыс уақытын тексеру үшін Xygeni DAST мұны қамтиды және екеуі бірге жұмыс істейді.
Екі көзден: қолданбаңыздың бастапқы кодынан және OpenAPI және Swagger қоса алғанда, API сипаттамаларыңыздан. Екеуін де оқу Xygeni-ге құжатталмаған және жетім қалған соңғы нүктелерді анықтауға мүмкіндік береді.
OWASP API қауіпсіздік бойынша Топ-10 (2023) бойынша тәуекелдер, соның ішінде объект деңгейіндегі авторизацияның бұзылуы (BOLA), функция деңгейіндегі авторизацияның бұзылуы (BFLA), аутентификацияланбаған соңғы нүктелер, деректердің шамадан тыс ашылуы, массалық тағайындау, JWT және CORS дұрыс конфигурацияланбауы, жылдамдықты шектеудің болмауы, SSRF және зомби соңғы нүктелері.
Иә. Xygeni соңғы нүкте параметрлері мен жауаптарында PII, PCI және PHI мәндерін белгілейді және оларды нақты экспозиция бойынша нәтижелерді бағалау үшін пайдаланады.
Иә. Инкрементальды сканерлеу тек өзгерген соңғы нүктелерді талдайды, ал ол шығаратын манифест келесі DAST сканерлеуін сол соңғы нүктелерге бағыттай алады.
Жоқ. Сканерлер сіздің жеке инфрақұрылымыңызда орындалады. Тек нәтижелер жүктеледі, тасымалдау кезінде және демалыс кезінде қорғалады.
Ол ретінде қолжетімді Enterprise қосымша. Бізбен сөйлесіңіз, біз оны сізбен бірге қарастырамыз.
Xygeni All-In-One AppSec платформасымен
Xygeni All-In-One AppSec платформасымен
