kasta pull request taas oo ku dareysa ama beddesha dhibicda dhammaadka waxay beddeshaa dusha sare ee weerarkaaga API. Inta badan qalabka amniga API ma dareemaan ilaa dhibicda dhammaadka ay noqoto mid toos ah oo durba qaadata taraafikada. Waqtigaas, hagaajintu ma aha isbeddel hal-sadar ah oo ku yimaada dib u eegista koodka, waa wadahadal jawaab celin ah oo ku saabsan dhacdada.
Amniga API waa dhaqanka lagu helo oo lagu xiro khataraha sida codsigu u soo bandhigo meelaha ugu dambeeya: yaa wici kara, xogta ay soo celiyaan, iyo inay sameeyaan waxa dukumentiyadu sheegayaan inay sameeyaan.
Inta badan qalabka loo sameeyay dhibaatadan wuxuu tijaabiyaa API-ga waqtiga socodsiinta, dibadda, sida uu weeraryahanku u shaqeeyo. Habkaasi wuu shaqeeyaa, laakiin wuxuu shaqeeyaa oo keliya marka API-ga la hawlgeliyo. Xygeni waxay qaadataa waddadii hore: waxay akhrinaysaa koodhkaaga isha iyo qeexitaanka API-gaaga ka hor inta uusan hal codsi gaarin meesha ugu dambeysa.
Afarta Siyaabood ee lagu Tijaabin karo API, iyo Waxa Mid Walba Ka Jawaabo
Barnaamijyada ugu bislaaday badankood waxay wadaan in ka badan mid ka mid ah kuwan:
- Imtixaan joogto ah waxay falanqeysaa koodhka isha iyo qeexitaannada API ka hor inta aan la dirin. Waxay ka jawaabeysaa "maxaan hadda soo bandhignay?" Kani waa habka maqaalkani diiradda saarayo.
- Tijaabada firfircoon (DAST) Waxay dirtaa taraafiko dhab ah API socda waxayna fiirisaa sida ay uga jawaabto. Waxay ka jawaabtaa "maxaa dhab ahaan la gaari karo oo laga faa'iideysan karo hadda?"
- Dawakhsan waxay ku tuurtaa gelinta khaldan ama aan la filayn meelaha ugu dambeeya ee shilalka dusha sare iyo cilladaha kiiska geeska. Waxay ka jawaabtaa "waa maxay jabka ku jira gelinta aanaan filayn?"
- Tijaabada gelitaanka gacanta Waxay ku daraysaa xukunka aadanaha si loo helo cilladaha macquulka ah ee qalabka otomaatiga ah uu seego. Waxay ka jawaabtaa "maxaa silsilad weerar oo caqli badan isku dari lahaa?"
Midkoodna ma beddeli karo kuwa kale. Waxay ka jawaabaan su'aalo kala duwan marxalado kala duwan oo wareegga nolosha ah, farqiga u dhexeeya barnaamijyada badankoodna waa kan ugu horreeya.
Sababta Inta badan Qalabka Amniga API-ga ay u arkaan Khatarta mid aad u daahday
Tijaabada amniga ee Runtime API waxay taraafikada u dirtaa codsi toos ah waxayna daawataa sida ay uga jawaabto. Waa lakab sharci ah oo lagama maarmaan ah. Sidoo kale, dhismaha, waa tilmaame dib u dhac ah: barta ugu dambeysa waa inay jirtaa, la hawlgeliyaa, oo la gaari karaa ka hor inta uusan iskaanka runtime waxba ka odhan. Wax kasta oo ay hesho horeyba way u soo shaac baxday si kastaba ha ahaatee waxay qaadatay in sawirka la socodsiiyo.
Waxaa jira farqi labaad oo ka hooseeya dhibaatada waqtigaas. Qalabka wakhtiga socodsiintu waxay tijaabin karaan oo keliya waxay og yihiin inay jiraan. Haddii dhibicda dhammaadka aan waligood la diiwaangelin, ama qeexitaanka OpenAPI uu waqtigiisu dhammaaday isla marka qof uu soo diro waddo cusub, iskaanka wakhtiga socodsiintu ma haysto hab uu ku ogaado inay halkaas joogto. Waxay tijaabisaa khariidadda, ee maaha dhulka.
Tijaabada amniga ee joogtada ah ee API waxay xireysaa labada meeloodba iyadoo hubinta u rari doonta meesha lagu qeexayo barta ugu dambeysa: koodhkaaga iyo qeexitaanka API-gaaga, ka hor inta aan la geyn. Isla sidaas oo kale pull request taas oo soo bandhigaysa dhammaadka waa pull request taasi waxay halisteeda soo saartaa.
Maxay run ahaantii ka dhigan tahay Amniga API-ga ee Static
Xygeni wuxuu ka dhisaa kaydkaaga API laba ilo: koodhka isha ee codsigaaga iyo qeexitaannada API-gaaga, oo ay ku jiraan OpenAPI iyo Swagger.
Tirakoob gaar ah oo keliya ayaa muujinaya dhibcaha ugu dambeeya ee qof uu xasuusto inuu diiwaangeliyo. Tirakoobka koodhka oo keliya ayaa muujinaya waxa jira laakiin aan daruuri ahayn sida loogu talagalay in loo isticmaalo. Akhrinta labaduba waxay ku siinaysaa sawir dhammaystiran: dhibcaha ugu dambeeya ee kooxahaagu diiwaangeliyeen, iyo kuwa aan cidina diiwaangelin.
Tirakoobkaas ayaa ah aasaaska wax kasta oo kale ay ku dhisan yihiin:
- Wadarta API-yada la helay, iyo hantida khatarta ku jirta oo lagu cabiray heerka aasaasiga ah
- Dhibcaha ugu dambeeya waxaa loo qaybiyay habka HTTP
- Arrimaha loo qaybiyay adeeg ahaan
- Bar-dhammaad kasta oo leh habkiisa, waddo, adeeg, module, xaaladda xaqiijinta iyo dhibcaha khatarta
Hogaamiyayaashaada injineernimada waxay arkaan qaabka dusha sare ee API-gaaga iyagoon furin hal tikidh.
Xygeni wuxuu helay, iyadoo la adeegsanayo habkiisa, xaaladda xaqiijinta iyo dhibcaha khatarta, oo laga sameeyay koodhka iyo qeexitaannada wadajirka ah.
Production note Ka jar guddiga kala-soocidda AI laga bilaabo shaashad kasta oo API Security ah.
Loogu talagalay 10ka Sare ee Amniga OWASP API
Natiijooyinka waxay ka hadlayaan qaab-dhismeedka kooxaha amnigaaga iyo hanti-dhawrayaashaadu ay horey u isticmaaleen. Xygeni wuxuu ogaadaa khatarta ku jirta Amniga OWASP API 10ta ugu Sareysa (2023):
Hal qayb ayaa si ula kac ah u maqan. API6, Helitaanka Aan Xaddidanayn ee Socodka Ganacsiga ee Xasaasiga ah, waxay u baahan tahay fahamka waxa habka ganacsigu u oggolaanayo, mana jiro falanqeeye taagan oo ogaanaya taas si la aamini karo. Ganacsade kasta oo sheeganaya si kale ayaa ku iibinaya sanduuq hubin. Taasi waxay la socotaa qaabayntaada khatarta iyo tijaabiyayaashaada gelitaanka.
Ma aha wax kasta oo la heli karo: Xasaasiyadda Xogta iyo Isku-darka Sunta ah
Liis go'an oo natiijooyin ah ayaa ula dhaqma barta hubinta caafimaadka ee aan la xaqiijin sida barta xaqiijinta caafimaadka ee aan la xaqiijin oo soo celisa diiwaanka macaamiisha. Kuwaasi isku dhibaato ma aha, qaabka kala horraysiinta ee isku mid ahna wuxuu tababaraa kooxahaaga inay iska indhatiraan liiska.
Xygeni wuxuu kala saaraa xogta mid kasta oo ka mid ah gacan-qabashada dhammaadka, isagoo calaamadeynaya PII, PCI iyo PHI xuduudaha codsiga iyo jawaabaha, wuxuuna lammaaneeyaa xaaladda xaqiijinta dhammaadka.
Waxay sidoo kale isku xirtaa natiijooyinka ku dhaca isla heerka ugu dambeeya waxayna kordhisaa darnaanta marka ay isku daraan. Daadinta PII ee jawaabta waa natiijo halis ah oo keligeed ah. Daadinta isku midka ah ee ku dhacda heerka ugu dambeeya oo aan u baahnayn xaqiijin ayaa muhiim ah, madalkuna sidaas ayay u dhibcisaa halkii ay ka tagi lahayd xiriirka si qof uu gacanta ugu arko.
Dhibcaha Zombie iyo Orphan: Kala-fogaanshaha u dhexeeya Xeerka iyo Tilmaamaha
Maadaama Xygeni uu si is barbar socda u akhriyo koodhkaaga iyo qeexitaanka API-gaaga, waxay arkaysaa meesha ay isku khilaafsan yihiin. Kala-guurkaas wuxuu u muuqdaa saddex qaab oo la garan karo:
- Dhammaadka aan la diiwaan gelin. Waxay ku nool yihiin koodhka mana lagu darin faahfaahinta.
- Meelaha ugu dambeeya ee Zombie. Waxaa lagu calaamadeeyay inay yihiin kuwo aan la isticmaalin ama hawlgab ah, welina waa la gaari karaa.
- Meelaha ugu dambeeya ee agoonta. Kooxda hadda jirta cidna ma leh.
Midkoodna kama muuqdo kayd gaar ah, sababtoo ah qeexitaanku waa waxa ka maqan.
Caddeynta aad ku dhaqaaqi karto, ee ma aha Tigidh aad ku baari karto
Helitaanka kasta wuxuu tilmaamayaa qofka saxda ah ee mas'uulka ka ah: faylka, fasalka, habka, iyo xariiqda gaarka ah ee soo bandhigtay cilladda, iyadoo koodka dembiga lagu dhejiyay uu ku xigay. Mid kastaa wuxuu kaloo leeyahay darnaantiisa, qaybtiisa 10-ka Sare ee Amniga API ee OWASP, CWE-giisa, xaaladda xaqiijinta dhammaadka, iyo kala-soocidda xasaasiyadda ee xogta ku lug leh.
Helitaanka oo magac u yeelata barta ugu dambeysa waxay horumariyaha u dirtaa raadinta saldhigga koodhka ka hor inta uusan xitaa bilaabin hagaajinta wax kasta. Natiijada magaca u yeelata xariiqda ayaa isla markiiba hagaajinaysa.
Natiijooyinka waxaa loo dhoofiyaa sida JSON, CSV, Markdown iyo SARIF 2.1.0, si ay ugu degaan tkooxahaagu horeyba way uga shaqeynayeen.
Gacan-ku-hayaha, khadka, iyo koodka soo bandhigay soo-bandhigidda. Ma aha tikidh lagu baaro.
Sababta Tani ugu Nooshahay Hal Madal, Maaha Console Kale
Xygeni wuxuu ku shaqeeyaa API Security oo ay weheliso SAST, SCA, Amniga Sirta ah, IaC iyo DAQIIQADII gudaha hal madal, oo isku xiran iyada oo loo marayo ASPM, halkii ay u diri lahayd qalab gaar ah oo leh qalab u gaar ah login iyo wixii ka haray.
Taasi waa muhiim sababtoo ah natiijooyinka joogtada ah iyo natiijooyinka waqtiga socodsiinta waxay ka jawaabaan su'aalo kala duwan oo ku saabsan isla natiijada kama dambaysta ah, waana kuwo ka faa'iido badan marka loo eego kuwa kala fog. Static waxay kuu sheegaysaa in natiijada kama dambaysta ah ay khatar tahay ka hor inta aysan soo bixin. DAST waxay xaqiijinaysaa waxa dhab ahaan la gaari karo oo laga faa'iidaysan karo marka uu shaqeynayo.
Kala qaybi taas laba qalab oo isku xiran iyo khatarta isku xiran waxay noqotaa laba dib-u-dhac oo aan xiriir la lahayn. Cidna isma waafajiso, dhammaadka aan sharciyeysnayn iyo kan aan la xaqiijin labaduba waxay ku jirtaa safka.
Fiiri dusha sare ee weerarka API-gaaga dhabta ah. Amniga API waxaa loo heli karaa sida Enterprise ku dar barnaamijka Xygeni, sawirkuna wuxuu ku socdaa kaydkaaga gudaha kaabayaashaada.
FAQ
Ma sheegi kartaa meelaha ugu dambeeya ee wax ka qabta xogta xasaasiga ah?
Haa. Xygeni waxay calaamadisaa PII, PCI iyo PHI xuduudaha iyo jawaabaha dhammaadka, waxayna u isticmaashaa kala soociddaas si ay u kala saarto natiijooyinka iyadoo loo eegayo soo-gaadhista dhabta ah.
Ma ku shaqeyn kartaa mid kasta pull request?
Haa. Baaritaanka kordhinta wuxuu falanqeynayaa oo keliya dhibcaha dhammaadka ee isbeddelay, muuqaalka ay soo saartona wuxuu diiradda saari karaa baaritaanka DAST ee xiga isla dhibcaha dhammaadka, sidaa darteed tijaabinta joogtada ah iyo waqtiga socodsiinta waxay la jaan qaadayaan waxa dhab ahaantii dhaqaaqay.
Koodhkaygu ma ka baxayaa deegaankayga?
Maya. Sawiradu waxay ku shaqeeyaan kaabayaashaaga. Natiijooyinka oo keliya ayaa la soo gelin karaa, waana la ilaalin karaa inta lagu jiro safarka iyo marka la nasto.
Sideen ku heli karaa Amniga API-ga?
Amniga API waxaa loo heli karaa sida Enterprise ku dar. Codso PoC-ga waana lagu baari doonaa adiga.
