uma pull request o le fa'aopoopoina pe suia o se endpoint e suia ai lau API attack surface. O le tele o meafaigaluega saogalemu a le API e le matauina se'ia vagana ua ola le endpoint ma ua uma ona fa'aaogaina tagata. I lena taimi, o le fa'aleleia e le o toe na'o se suiga i le laina e tasi i se iloiloga o le code, o se talanoaga e tali atu ai i mea na tutupu.
O le saogalemu o le API o le faiga lea o le sailia ma le tapunia o tulaga lamatia i le auala e faʻaalia ai e se talosaga ona iʻuga: o ai e mafai ona valaʻauina i latou, o a faʻamatalaga latou te toe faʻafoʻi mai, ma pe latou te faia le mea o loʻo taʻu mai e le pepa latou te faia.
O le tele o meafaigaluega na fausia mo lenei faʻafitauli e faʻataʻitaʻi le API i le taimi e faʻagaoioia ai, mai fafo, e pei ona faia e se tagata osofaʻi. E aoga lena auala, ae e naʻo le taimi lava e faʻapipiʻi ai le API e aoga ai. Xygeni E ui i le ala muamua: e faitauina lau code punaoa ma lau faʻamatalaga API aʻo leʻi oʻo se talosaga e tasi i le endpoint.
Auala e Fa e Fa'ata'ita'i ai se API, ma Tali Ta'itasi
O le tele o polokalame matutua e sili atu ma le tasi le tele o nei mea e faʻatinoina:
- Su'ega static e iloilo ai faʻamatalaga o le source code ma le API aʻo leʻi faʻatinoina. E taliina ai le "o le a le mea na matou faʻatoʻā faʻaalia?" O le auala lea e taulaʻi i ai lenei tusiga.
- Su'ega fa'a-dynamic (DAST) auina atu feoaiga moni i se API o loʻo faʻagaoioia ma mataʻituina pe faʻapefea ona tali atu. E taliina "o le a le mea e mafai ona oʻo atu i ai ma faʻaaogaina i le taimi nei?"
- Fusua e lafoa'i ai ni fa'amatalaga sese pe le'i mafaufauina i pito i tua i fa'alavelave fa'afuase'i ma fa'aletonu o mata'itusi pito i luga. E taliina ai le "o a mea e malepe i lalo o le fa'amatalaga na tatou le'i fa'amoemoeina?"
- Su'ega fa'atino lima fa'aopoopo i ai le fa'amasinoga fa'aletagata e su'e ai ni fa'aletonu o le mafaufau e misia e meafaigaluega otometi. E taliina ai le "o le a se mea e mafai ona fa'apipi'i fa'atasi e se tagata osofa'i atamai?"
E leai se tasi o nei mea e suitulaga i isi. Latou te taliina fesili eseese i taimi eseese o le olaga, ma o le eseesega e iai i le tele o polokalame o le muamua lea.
Aiseā ua Tuai Ona Va'aia e le Tele o Meafaigaluega Puipuiga a le API le Lamatiaga
O le su'ega saogalemu o le Runtime API e auina atu ai feoa'iga i se talosaga ola ma mata'ituina pe fa'apefea ona tali atu. O se vaega moni ma mana'omia. O le fausiaina fo'i, o se fa'ailoga tuai: e tatau ona i ai se endpoint, fa'apipi'i, ma mafai ona o'o atu i ai a'o le'i mafai e se runtime scanner ona fai se tala e uiga i ai. Po'o le a lava le mea e maua ua uma ona fa'aalia mo le umi na alu ai le su'esu'ega e fa'atino ai.
O loʻo i ai se avanoa lona lua i lalo o le faʻafitauli o le taimi. E naʻo le mea latou te iloa o loʻo iai e mafai ona faʻataʻitaʻiina e meafaigaluega taimi faʻatino. Afai e leʻi faʻamaumauina se endpoint, pe ua tuai le faʻamatalaga a le OpenAPI i le taimi lava na lafo mai ai e se tasi se auala fou, e leai se auala e iloa ai e se runtime scanner o loʻo i ai iina. E faʻataʻitaʻiina le faʻafanua, ae le o le teritori.
O le su'ega saogalemu o le API tumau e tapunia ai avanoa uma e lua e ala i le fa'ase'eina o le siaki i le mea ua fa'amatalaina ai le i'uga: lau code ma lau fa'amatalaga API, a'o le'i fa'atinoina. pull request o loʻo faʻalauiloa mai ai se faʻaiʻuga o le pull request lea e faʻaalia ai lona tulaga lamatia.
O le ā le Uiga Moni o le Puipuiga o le API Static
E fausia e Xygeni lau lisi API mai ni punaoa se lua: o le code punaoa o lau talosaga ma au faʻamatalaga API, e aofia ai le OpenAPI ma le Swagger.
O se lisi o mea fa'apitoa e fa'aalia ai fa'ai'uga na manatua e se tasi e fa'amaumauina. O se lisi o mea fa'akomepiuta e fa'aalia ai mea o lo'o iai ae le o le auala na fa'amoemoe e fa'aaoga ai. O le faitauina o mea uma e lua e te maua ai le ata atoa: o fa'ai'uga na fa'amaumauina e au 'au, ma mea e leai se tasi na faia.
O le fa'amaumauga lea o le faavae lea e fausia ai isi mea uma:
- Aofa'i o API na maua, ma aseta o lo'o lamatia na fuaina e fa'atatau i se fa'avae
- Fa'ai'uga ua vaevaeina e ala i le metotia HTTP
- Fa'afitauli ua fa'avasegaina e tusa ai ma auaunaga
- O fa'ai'uga ta'itasi ma lana metotia, ala, tautua, module, tulaga fa'amaonia ma le togi o le lamatiaga
E vaʻaia e au taʻitaʻi inisinia le foliga o lau API e aunoa ma le tatalaina o se tiketi e tasi.
O fa'ai'uga uma na maua e Xygeni, fa'atasi ai ma lana metotia, tulaga fa'amaonia ma le togi o le lamatiaga, na fausia mai le code ma fa'amatalaga fa'atasi.
Production note 'Oti'oti le paneli AI Triage mai so'o se ata o le API Security.
Fa'afanua i le OWASP API Security Top 10
O faʻamaumauga e faʻaalia ai le faʻavae o loʻo faʻaaogaina e au 'au puipuiga ma au suʻetusi. Ua iloa e Xygeni le lamatiaga i le OWASP API Security 10 pito i luga (2023):
E iai se vaega e leʻi iai ma le loto i ai. O le API6, Avanoa e le Faʻatapulaʻaina i Tafega Faʻapisinisi Maaleale, e manaʻomia ai le malamalama i mea e tatau ona faʻatagaina e se faiga faʻapisinisi, ma e leai se masini suʻesuʻe tumau e iloa lena mea ma le talitonuina. Soʻo se faʻatau oloa e fai mai e ese mai ai o loʻo faʻatau atu ia te oe se pusa siaki. O lena mea e tumau pea i lau faʻataʻitaʻiga o taufaʻamataʻu ma au suʻega ulufale.
E lē tutusa uma sailiiliga: Ma'ale'ale o fa'amaumauga ma tu'ufa'atasiga oona
O se lisi mafolafola o sailiiliga e tutusa lava le taulimaina o se fa'ai'uga o le siakiina o le soifua maloloina e le'i fa'amaoniaina ma se fa'ai'uga e le'i fa'amaoniaina e toe fa'afo'i mai ai fa'amaumauga a tagata fa'atau. E le tutusa na fa'afitauli, ma o se fa'ata'ita'iga fa'amuamua e fa'ailoga tutusa ai e a'oa'oina ai au 'au e le amana'ia le lisi.
E fa'avasega e Xygeni fa'amaumauga e taulimaina e endpoint ta'itasi, e fa'ailoga ai le PII, PCI ma le PHI i fa'atulagaga o talosaga ma tali, ma fa'apipi'i fa'atasi ma le tulaga fa'amaonia o le endpoint.
E fa'afeso'ota'i fo'i fa'amaumauga e taunu'u i le i'uga lava e tasi ma fa'ateleina ai le ogaoga pe a fa'atuputeleina. O se PII liki i se tali atu o se sailiga matuia lava ia. O le liki lava e tasi i se i'uga e le mana'omia ai se fa'amaoniga e taua tele, ma o le fa'avae e fa'ailogaina i lena auala nai lo le tu'uina atu o le feso'ota'iga mo se tasi e matauina e ia lava.
Fa'ai'uga o le Zombie ma le Orphan: O le Fe'ese'esea'iga i le va o le Code ma le Spec
Talu ai ona faitau fa'atasi e Xygeni lau code ma lau fa'amatalaga API, e iloa ai mea e le tutusa ai. O lena eseesega e aliali mai o ni mamanu e tolu e mafai ona iloa:
- Fa'ai'uga e le'i fa'amaoniaina. Latou te ola i totonu o le code ma e leʻi faʻaopoopoina lava i le spec.
- Fa'ai'uga o le zombie. Ua fa'ailogaina i latou o ni mea ua le toe fa'aaogaina pe ua litaea, ma e mafai lava ona fa'afeso'ota'i i latou.
- Fa'ai'uga o le matuaoti. E leai se tasi o le 'au i le taimi nei e ana ia i latou.
E leai se tasi o nei mea e aliali mai i se lisi o faʻamatalaga faʻapitoa, aua o le faʻamatalaga tonu lava lea o loʻo misi ai.
Fa'amaoniga e Mafai Ona E Fa'atino Ai se Galuega, Ae Le o se Tiketi e Su'esu'e ai
O fa'amaumauga uma e fa'asino i le tagata tonu e nafa ma le fa'afitauli: le faila, le vasega, le metotia, ma le laina patino na fa'alauiloa mai ai le fa'aletonu, fa'atasi ai ma le code fa'aletonu o lo'o tu'uina atu fa'atasi. E tofu fo'i ma lona ogaoga, lana vaega OWASP API Security Top 10, lana CWE, le tulaga fa'amaonia o le endpoint, ma le fa'avasegaga ma'ale'ale o fa'amatalaga o lo'o a'afia ai.
O se sailiga e na'o le faaigoaina o se endpoint e auina atu ai se tagata atia'e e su'e le codebase a'o le'i amata ona latou fa'aleleia se mea. O se sailiga e faaigoa ai le laina e tu'u ai i latou i le fa'aleleia i le taimi lava lena.
O fa'amaumauga e auina atu i fafo o le JSON, CSV, Markdown ma le SARIF 2.1.0, ina ia tulaueleele i le tua uma ona galulue ai au 'au.
O le tagata e taulimaina, o le laina, ma le code na faʻalauiloa mai ai le faʻaaliga. E le o se tiketi e suʻesuʻe ai.
Aiseā e Nonofo ai Lenei Mea i le Tasi Fa'avae, Ae Le o se Isi Fa'asalalauga
E fa'atautaia e Xygeni le API Security fa'atasi ai ma SAST, SCA, Puipuiga o Mea Lilo, IaC ma Mataʻutia i totonu o se faʻavae e tasi, e fesoʻotaʻi e ala i ASPM, nai lo le lafoina o se meafaigaluega ese ma lana lava login ma ana lava galuega e le'i mae'a ona faia.
E tāua lenā mea auā o sailiiliga tumau ma sailiiliga taimi fa'atino e taliina ai fesili eseese e uiga i le indpoint lava e tasi, ma e sili atu ona aogā fa'atasi nai lo le eseese. E ta'u atu e le static ia te oe e lamatia se indpoint a'o le'i lafoina. E fa'amaonia e le DAST le mea e mafai ona o'o i ai ma fa'aaogaina pe a fa'agaoioia.
Afai e vaeluaina lena tulaga i ni masini komepiuta se lua, ona avea lea o ni lamatiaga e lua e le fesoʻotaʻi. E leai se tasi e faʻafetaui ia mea, ma o le iʻuga e leʻi faʻamaonia ma e leʻi faʻamaoniaina e le o iai i le laina e lua.
Va'ai i lau osofa'iga API moni. O lo'o maua le API Security e fai ma Enterprise fa'aopoopoga i le fa'avae Xygeni, ma e faia se su'esu'ega i au lava fale teu oloa i totonu o lau lava atina'e.
FAQ
E mafai ona ta'u mai po'o fea endpoints e taulimaina fa'amatalaga taua?
Ioe. E faʻailoga e Xygeni le PII, PCI ma le PHI i faʻatulagaga ma tali o le endpoint, ma faʻaaoga lena faʻavasegaga e faʻavasega ai mea na maua e ala i le faʻaalia moni.
E mafai ona tamoe i luga o taimi uma pull request?
Ioe. E na'o le su'esu'ega fa'aopoopo e su'esu'eina ai vaega na suia, ma o le fa'aaliga e maua mai ai e mafai ona taula'i atu se su'esu'ega DAST mulimuli ane i na lava vaega, o lea e tumau ai pea le fa'ata'ita'iga tumau ma le fa'ata'ita'iga taimi e fa'atino ai mea na gaoioi moni.
Pe alu ese la'u code mai lo'u siosiomaga?
Leai. E fa'atinoina su'esu'ega i totonu o lau lava fausaga. E na'o i'uga e lafoina i luga, puipuia pe a lafoina ma pe a tu'u.
E fa'apefea ona ou maua le Saogalemu o le API?
O lo'o maua le API Security e fai ma Enterprise fa'aopoopoga. Talosaga mo se PoC ma o le a iloiloina fa'atasi ma oe.
