Uso wako wa mashambulizi ya API hukua kwa kila pull request, na zana nyingi za usalama za API huiona tu mara tu ikiwa hai na inapokea trafiki. Xygeni hugundua kila sehemu ya mwisho na hatari zake katika msimbo, kabla ya kutolewa.
Inapatikana kama Enterprise kuongeza juu ya
Sehemu yako ya Uvamizi wa API, Imepangwa na Kuorodheshwa.
Xygeni huunda orodha yako ya API kutoka kwa msimbo chanzo cha programu na kutoka kwa vipimo vyako vya API, ikiwa ni pamoja na OpenAPI na Swagger, kwa hivyo unaona uso kamili: sehemu za mwisho zilizorekodiwa na timu zako, na zile ambazo hakuna mtu aliyefanya hivyo.
Matokeo yameunganishwa na OWASP API Security Top 10 (2023): uidhinishaji wa kiwango cha kitu kilichovunjika na utendaji, sehemu za mwisho zisizothibitishwa, ufichuzi wa data kupita kiasi, ugawaji wa wingi, usanidi usiofaa wa JWT na CORS, mipaka ya kiwango inayokosekana, SSRF, na sehemu za mwisho za zombie.
Kila ugunduzi hubeba hali ya uthibitishaji wa sehemu ya mwisho na unyeti wa data inayoshughulikia, kwa hivyo timu hurekebisha kile ambacho mshambuliaji anaweza kufikia badala ya kufanya kazi kwenye orodha isiyotofautishwa.
Kila Mwisho. Kila Hatari. Kabla ya Uzalishaji.
Jumla ya API, mali zilizo hatarini dhidi ya msingi, sehemu za mwisho kwa njia, na masuala kwa huduma. Kila sehemu ya mwisho imeorodheshwa na mbinu yake, njia, huduma, moduli, hali ya uthibitishaji, na alama ya hatari.
Ugunduzi katika OWASP API Security Top 10 (2023), kwa hivyo matokeo yanaonyesha mfumo ambao timu yako ya usalama na wakaguzi wako tayari hutumia.
Xygeni huainisha data kila kishikio cha sehemu ya mwisho, ikiashiria PII, PCI, na PHI katika vigezo na majibu. Sehemu ya mwisho isiyothibitishwa ambayo hurejesha data ya kibinafsi si tatizo sawa na kichwa cha CORS kinachoruhusu, na haipaswi kuonekana kama tatizo.
Kwa sababu Xygeni inasoma msimbo na vipimo vyako vya API, hujitokeza kati yao: sehemu za mwisho zinaishi katika msimbo lakini hazipo kwenye vipimo, njia zilizoachwa bado zinaweza kufikiwa, na sehemu za mwisho ambazo hakuna mtu anayemiliki.
Xygeni hulinganisha matokeo kwenye sehemu moja ya mwisho na huongeza ukali yanapozidi. Uvujaji wa PII katika jibu ni mbaya. Uvujaji wa PII kwenye sehemu ya mwisho ambayo haihitaji uthibitisho ni muhimu, na Xygeni anasema hivyo.
Kila utafutaji unaelekeza kwenye kidhibiti halisi: faili, darasa, mbinu, na msimbo ulioanzisha, huku dosari ikiwa kwenye mstari. Wasanidi programu wanapata kitu wanachoweza kurekebisha, si tiketi ambayo wanapaswa kuchunguza kwanza.
Tafuta na urekebishe hatari za API katika msimbo kabla hazijafikia uzalishaji.
Usalama wa API ya Runtime hukuambia kwamba sehemu ya mwisho imefichuliwa mara tu ikiwa tayari inahudumia trafiki. Xygeni huipata kwenye msimbo, katika pull request, huku ikirekebisha bado inagharimu moja commit.
Usalama wa API upo karibu na SAST, SCAsiri, IaC, na DAST katika mfumo mmoja, kwa hivyo hatari yako ya API inaishi na hatari iliyobaki ya programu yako badala ya katika zana tofauti yenye yake login.
Tuli. Xygeni huchanganua msimbo wa programu yako na vipimo vya API ili kupata mfiduo kabla ya kutekelezwa. Kwa ajili ya majaribio ya wakati wa utekelezaji wa programu inayoendeshwa, Xygeni DAST hushughulikia hilo, na vyote viwili hufanya kazi pamoja.
Kutoka vyanzo viwili: msimbo chanzo wa programu yako, na vipimo vyako vya API, ikiwa ni pamoja na OpenAPI na Swagger. Kusoma vyote viwili ndiko kunakoruhusu Xygeni kuonyesha sehemu za mwisho zisizo na kumbukumbu na zisizo na kumbukumbu.
Hatari katika OWASP API Security Top 10 (2023), ikiwa ni pamoja na uidhinishaji wa kiwango cha kitu kilichovunjika (BOLA), uidhinishaji wa kiwango cha utendaji kilichovunjika (BFLA), sehemu za mwisho zisizothibitishwa, ufichuzi wa data kupita kiasi, ugawaji wa wingi, usanidi usiofaa wa JWT na CORS, ukosekanaji wa kikomo cha kiwango, SSRF, na sehemu za mwisho za zombie.
Ndiyo. Xygeni huashiria PII, PCI, na PHI katika vigezo na majibu ya mwisho, na hutumia hilo kupanga matokeo kwa kuzingatia mfiduo halisi.
Ndiyo. Uchanganuzi wa ziada huchambua sehemu za mwisho zilizobadilika pekee, na faili inayoonyesha inaweza kulenga uchanganuzi wa DAST unaofuata kwenye sehemu hizo hizo za mwisho.
Hapana. Changanuzi huendeshwa katika miundombinu yako mwenyewe. Matokeo pekee ndiyo hupakiwa, hulindwa wakati wa usafiri na wakati wa mapumziko.
Inapatikana kama Enterprise nyongeza. Zungumza nasi nasi tutaitumia pamoja nawe.
na Jukwaa la Programu la Xygeni All-In-One
na Jukwaa la Programu la Xygeni All-In-One
