Herkes pull request ku xalek dawî lê zêde dike an diguherîne, rûyê êrîşa API-ya we diguherîne. Piraniya amûrên ewlehiya API-yê heya ku ew xala dawî çalak nebe û trafîkê bigire, vê yekê ferq nakin. Heta wê demê, çareserî êdî ne guhertinek yek-xêzî di nirxandina kodê de ye, ew sohbetek bersiva bûyerê ye.
Ewlekariya API pratîka dîtin û girtina rîskan e di awayê ku serîlêdanek xalên xwe yên dawî eşkere dike de: kî dikare gazî wan bike, ew çi daneyan vedigerînin, û gelo ew tiştê ku belge dibêje dikin an na.
Piraniya amûrên ku ji bo vê pirsgirêkê hatine çêkirin, API-yê di dema xebitandinê de, ji derve, mîna êrîşkarek diceribînin. Ev rêbaz dixebite, lê tenê piştî ku API hate bicîhkirin dixebite. Xygeni rêya berê digire: ew koda çavkaniya we û taybetmendiya API-ya we dixwîne berî ku daxwazek yekane bigihîje xala dawî.
Çar Rêbazên Ceribandina API-yekê, û Bersiva Her Yekê
Piraniya bernameyên gihîştî ji yekê zêdetir ji van dimeşînin:
- Testkirina statîk berî bicihkirinê koda çavkaniyê û taybetmendiyên API-yê analîz dike. Ew bersiva pirsa "me çi eşkere kir?" dide ku ev gotar li ser vê rêbazê disekine.
- Testkirina dînamîk (DAST) trafîka rastîn li API-yek dixebite dişîne û çavdêriya wê dike ka ew çawa bersiv dide. Ew bersiva "niha bi rastî çi dikare were gihîştin û bikar anîn?" dide.
- Fuzzing têketinên xelet an jî neçaverêkirî li xalên dawî diavêje ber bi têkçûnên rûyê erdê û têkçûnên li ser qiraxan. Ew bersiva pirsa "çi di bin têketinê de têk diçe ku me pêşbînî nedikir?" dide.
- Testa penetrasyona destî Ji bo dîtina kêmasiyên mentiqî yên amûrên otomatîkî yên ku ji dest didin, hukmê mirovan zêde dike. Ew bersiva pirsa "êrîşkarekî jîr dê çi bi hev re bike?" dide.
Yek ji van şûna yên din nagire. Ew di xalên cûda yên çerxa jiyanê de bersiva pirsên cûda didin, û valahiya ku piraniya bernameyan heye ya yekem e.
Çima Piraniya Amûrên Ewlehiyê yên API-ê Xetereyê Pir Dereng Dibînin
Ceribandina ewlehiya API-ya Runtime trafîkê dişîne serîlêdanek zindî û temaşe dike ka ew çawa bersiv dide. Ew çînek rewa û pêwîst e. Ew di heman demê de, bi avahî, nîşaneyek derengmayînê ye: divê xalek dawî hebe, were bicîhkirin, û bigihîje wê berî ku skanera runtime bikaribe tiştek li ser wê bibêje. Çi ku ew bibîne, jixwe eşkere bû, her çend demek dirêj bigire jî ku skankirin dixebite.
Di bin wê pirsgirêka demjimêrê de valahiyek duyemîn jî heye. Amûrên dema xebitandinê tenê dikarin tiştê ku dizanin heye biceribînin. Ger xalek dawî qet nehatibe belgekirin, an jî taybetmendiya OpenAPI-yê di gava ku kesek rêyek nû şandiye de ji kevinbûnê derketibe, skanerek dema xebitandinê rêyek tune ku bizanibe ew li wir e. Ew nexşeyê diceribîne, ne herêmê.
Ceribandina ewlehiya API-ya statîk her du valahiyan digire bi veguheztina kontrolê bo cihê ku xala dawî lê hatiye destnîşankirin: koda we û taybetmendiya API-ya we, berî bicihkirinê. pull request ku xalek dawî dide nasîn ev e pull request ku metirsiya wê nîşan dide.
Ewlekariya API ya Statîk bi Rastî Tê Çi Wateyê?
Xygeni envantera API-ya we ji du çavkaniyan ava dike: koda çavkaniya serîlêdana we û taybetmendiyên API-ya we, di nav de OpenAPI û Swagger.
Envanterek tenê-specifik xalên dawî yên ku kesek ji bo belgekirinê bi bîr aniye nîşan dide. Envanterek tenê-kod nîşan dide ka çi heye lê ne hewce ye ku ew çawa were bikar anîn. Xwendina herduyan jî wêneyek tevahî dide we: xalên dawî yên ku tîmên we belge kirine, û yên ku kesî nekirine.
Ew envanter bingeha her tiştê din e ku li ser ava dibe:
- Tevahiya API-yên ku hatine keşifkirin, û hebûnên di xetereyê de li gorî bingehek hatine pîvandin
- Xalên dawî li gorî rêbaza HTTP hatine dabeşkirin
- Pirsgirêkên ku li gorî xizmetê hatine komkirin
- Her xala dawî bi rêbaz, rê, xizmet, modul, rewşa pejirandinê û puana rîska xwe
Rêberên endezyariya we bêyî vekirina yek bilêtek şeklê rûyê API-ya we dibînin.
Her xala dawî ya ku Xygeni dît, bi rêbaza xwe, rewşa pejirandinê û puana rîskê, ji kod û taybetmendiyê bi hev re hatî çêkirin.
Production note Panela Triage ya AI ji her dîmendera Ewlekariya API-yê bibire.
Ji bo OWASP API Ewlekariya Top 10 hatiye nexşekirin
Dîtin çarçoveya ku tîmên ewlehiya we û mufetîşên we berê bikar tînin, diaxivin. Xygeni li seranserê OWASP API rîskê tespît dike. Ewlehî 10ên herî baş (2023):
Kategoriyek bi zanebûn tune ye. API6, Gihîştina Bêsînor bo Herikînên Karsaziyê yên Hesas, têgihîştina tiştê ku pêvajoyek karsaziyê divê destûrê bide hewce dike, û tu analîzkerek statîk vê yekê bi awayekî pêbawer tespît nake. Her firoşkarek ku îdîaya berevajî dike, qutiyek kontrolê difiroşe we. Ew yek bi modela tehdîdê û ceribînerên penetrasyona we re dimîne.
Ne Her Dîtin Wekhev e: Hesasiyeta Daneyan û Têkelên Jehrîn
Lîsteyeke sabît a dîtinan xaleke kontrolkirina tenduristiyê ya nepejirandî wekî xaleke nepejirandî ya ku tomarên xerîdaran vedigerîne, bihesibîne. Ev ne heman pirsgirêk in, û modeleke pêşanîyê ku wan bi heman rengî pûan dike tîmên we perwerde dike ku lîsteyê paşguh bikin.
Xygeni daneyên ku her xala dawîyê bi kar tîne dabeş dike, PII, PCI û PHI di parametreyên daxwazê û di bersivan de nîşan dide, û wan bi rewşa pejirandina xala dawîyê ve girêdide.
Ew her wiha encamên ku li heman xala dawîyê tên, bi hev ve girêdide û dema ku ew zêde dibin, giraniya wan zêde dike. Derketina agahiyên şexsî di bersivekê de bi serê xwe dîtinek cidî ye. Heman derketina li ser xalek dawîyê ku hewcedariya wê bi pejirandinê tune ye krîtîk e, û platform wê bi vî rengî dinirxîne li şûna ku girêdanê bihêle ku kesek bi destan ferq bike.
Zombie û Orphan Endpoints: Cûdahiya di navbera Kod û Taybetmendiyê de
Ji ber ku Xygeni koda we û taybetmendiya API-ya we li kêleka hev dixwîne, ew dibîne ka ew li ku derê li hev nakin. Ev cudahî wekî sê qalibên naskirî xuya dike:
- Xalên dawî yên bê belge. Ew di kodê de dijîn û qet li taybetmendiyê nehatine zêdekirin.
- Xalên dawî yên Zombie. Ew wekî kevnar an teqawidbûyî hatine nîşankirin, û ew hîn jî dikarin werin gihîştin.
- Xalên dawî yên sêwî. Di tîma niha de kes xwediyê wan nîne.
Ti ji van di envantera tenê-spec de xuya nakin, ji ber ku tam ew taybetmendî ye ku wan winda dike.
Delîlên ku hûn dikarin li ser wan tevbigerin, ne bilêtek ji bo lêpirsînê ye
Her dîtin balê dikişîne ser hilgirê berpirsiyarê rastîn: pel, çîn, rêbaz, û rêza taybetî ya ku kêmasiyê derxistiye holê, digel koda xirabkar a li kêleka wê hatî nîşandan. Her yek ji wan giraniya xwe, kategoriya xwe ya OWASP API Security Top 10, CWE-ya xwe, rewşa pejirandina xala dawî, û dabeşkirina hesasiyeta daneyên têkildar jî dihewîne.
Dîtinek ku tenê xalek dawî bi nav dike, pêşdebiran dişîne ku berî ku dest bi sererastkirina tiştekî bikin, li kodê bigere. Dîtinek ku xetê bi nav dike, wan yekser dixe ser çareseriyê.
Dîtin wekî JSON, CSV, Markdown û SARIF 2.1.0 têne hinardekirin, ji ber vê yekê ew di t de dadikevin.ools ku tîmên we jixwe tê de dixebitin.
Handler, xet, û koda ku eşkerekirinê da destpêkirin. Ne bilêtek ji bo lêpirsînê ye.
Çima Ev Li Yek Platformê Dijî, Ne Li Konsoleke Din
Xygeni Ewlekariya API-yê li kêleka wê dimeşîne SAST, SCA, Ewlekariya Nehêniyan, IaC û DESTPK di nav platformek yekane de, bi hev re têkildar ASPM, li şûna ku ew wekî amûrek cuda bi ya xwe re were şandin login û paşketina xwe bi xwe.
Ev girîng e ji ber ku dîtinên statîk û dîtinên dema xebitandinê bersiva pirsên cûda yên li ser heman xala dawî didin, û ew bi hev re ji yên cuda bikêrtir in. Static ji we re dibêje ku xalek dawî berî ku were şandin xeternak e. DAST piştrast dike ka çi bi rastî dikare were gihîştin û bikar anîn piştî ku ew dixebite.
Parvekirina wê li ser du konsolan û rîska têkildar dibe du paşketinên bê têkilî. Kes wan li hev nayne, û xala dawî ya ku hem bê belge ye û hem jî bê pejirandin di tu rêzê de rûnane.
Rûyê êrîşa API-ya xwe ya rastîn bibînin. Ewlekariya API-ê wekî peyda dibe Enterprise pêvekek li platforma Xygeni zêde bike, û skanek li dijî depoyên we yên di hundurê binesaziya we de dimeşe.
Pirs û Bersîv
Ma ew dikare bibêje kîjan xalên dawîn daneyên hesas bi rê ve dibin?
Belê. Xygeni PII, PCI û PHI di parametre û bersivên xala dawî de nîşan dide, û wê dabeşkirinê bikar tîne da ku dîtinan li gorî rûbirûbûna rastîn rêz bike.
Ma ew dikare li ser her pull request?
Belê. Skenkirina zêdekirî tenê xalên dawî yên ku guherîne analîz dike, û manîfestoya ku ew çêdike dikare skenkirinek DAST-ê ya paşîn li ser heman xalên dawî balê bikişîne, ji ber vê yekê ceribandina statîk û ya dema xebitandinê li gorî tiştê ku bi rastî guheriye hevaheng dimînin.
Ma koda min ji hawîrdora min derdikeve?
Na. Skenkirin di binesaziya we de dixebitin. Tenê encam têne barkirin, di veguhastinê de û di rewşa bêçalaktiyê de têne parastin.
Ez çawa dikarim Ewlekariya API-ê bistînim?
Ewlekariya API-ê wekî peyda dibe Enterprise lêzêdekirin. PoC-ê daxwaz bikin û ew ê bi we re were nirxandin.
