ஒவ்வொரு pull request ஒரு எண்ட்பாயிண்ட்டைச் சேர்ப்பது அல்லது மாற்றுவது உங்கள் API தாக்குதல் பரப்பை மாற்றுகிறது. பெரும்பாலான API பாதுகாப்பு கருவிகள், அந்த எண்ட்பாயிண்ட் செயல்பாட்டிற்கு வந்து டிராஃபிக்கை ஏற்கத் தொடங்கும் வரை அதைக் கவனிப்பதில்லை. அதற்குள், சரிசெய்தல் என்பது கோட் ரிவ்யூவில் ஒரே வரியில் செய்யும் மாற்றமாக இருப்பதில்லை, அது ஒரு இன்சிடென்ட் ரெஸ்பான்ஸ் உரையாடலாக மாறிவிடுகிறது.
API பாதுகாப்பு என்பது, ஒரு பயன்பாடு அதன் எண்ட்பாயிண்ட்களை வெளிப்படுத்தும் விதத்தில் உள்ள அபாயங்களைக் கண்டறிந்து சரிசெய்வதாகும்: அதாவது, அவற்றை யார் அழைக்கலாம், அவை என்ன தரவைத் திருப்பி அனுப்புகின்றன, மேலும் ஆவணங்களில் கூறப்பட்டுள்ளபடி அவை செயல்படுகின்றனவா என்பனவற்றை உள்ளடக்க வேண்டும்.
இந்தப் பிரச்சனைக்காக உருவாக்கப்பட்ட பெரும்பாலான கருவிகள், ஒரு தாக்குதல் நடத்துபவரைப் போலவே, API-ஐ இயங்கும் நேரத்தில் வெளியிலிருந்து சோதிக்கின்றன. அந்த அணுகுமுறை பலனளிக்கிறது, ஆனால் அது API செயல்படுத்தப்பட்ட பிறகு மட்டுமே வேலை செய்கிறது. சைஜெனி முந்தைய பாதையைத் தேர்ந்தெடுக்கிறது: ஒரு கோரிக்கை கூட எண்ட்பாயிண்ட்டை வந்தடைவதற்கு முன்பே, அது உங்கள் மூலக் குறியீட்டையும் உங்கள் API விவரக்குறிப்பையும் படித்துவிடுகிறது.
ஒரு API-ஐ சோதிப்பதற்கான நான்கு வழிகள், மற்றும் ஒவ்வொன்றும் அளிக்கும் பதில்கள்.
பெரும்பாலான முதிர்ச்சியடைந்த நிரல்கள் இவற்றில் ஒன்றுக்கு மேற்பட்டவற்றை இயக்குகின்றன:
- நிலையான சோதனை செயல்படுத்துவதற்கு முன்பு மூலக் குறியீடு மற்றும் API விவரக்குறிப்புகளைப் பகுப்பாய்வு செய்கிறது. "நாம் இப்போது எதை வெளிப்படுத்தினோம்?" என்ற கேள்விக்கு இது பதிலளிக்கிறது. இந்தக் கட்டுரை இந்த அணுகுமுறையின் மீதே கவனம் செலுத்துகிறது.
- டைனமிக் டெஸ்டிங் (DAST) இயங்கிக்கொண்டிருக்கும் ஒரு API-க்கு உண்மையான தரவுப் போக்குவரத்தை அனுப்பி, அது எவ்வாறு பதிலளிக்கிறது என்பதைக் கவனிக்கிறது. "தற்போது உண்மையில் எதை அடைய முடியும் மற்றும் எதைப் பயன்படுத்திக்கொள்ள முடியும்?" என்ற கேள்விக்கு இது பதிலளிக்கிறது.
- குழப்பம் செயலிழப்புகள் மற்றும் விளிம்புநிலைத் தோல்விகளை வெளிக்கொணர, இது தவறான அல்லது எதிர்பாராத உள்ளீடுகளை முனையங்களுக்கு அனுப்புகிறது. "நாம் எதிர்பார்க்காத உள்ளீட்டின் கீழ் என்ன செயலிழக்கிறது?" என்ற கேள்விக்கு இது பதிலளிக்கிறது.
- கையேடு ஊடுருவல் சோதனை தானியங்கு கருவிகள் தவறவிடும் தர்க்கப் பிழைகளைக் கண்டறிய இது மனித கணிப்பைப் பயன்படுத்துகிறது. "ஒரு புத்திசாலியான தாக்குபவர் எவற்றை எல்லாம் ஒன்றாக இணைப்பார்?" என்ற கேள்விக்கு இது பதிலளிக்கிறது.
இவை எதுவும் ஒன்றுக்கொன்று மாற்றாக அமையாது. அவை வாழ்க்கைச் சுழற்சியின் வெவ்வேறு கட்டங்களில் வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன, மேலும் பெரும்பாலான நிரல்களில் உள்ள இடைவெளி என்பது முதலாவதுதான்.
பெரும்பாலான API பாதுகாப்பு கருவிகள் ஏன் ஆபத்தை தாமதமாக உணர்கின்றன
இயங்குநேர API பாதுகாப்புச் சோதனையானது, ஒரு நேரடிப் பயன்பாட்டிற்கு டிராஃபிக்கை அனுப்பி, அது எவ்வாறு பதிலளிக்கிறது என்பதைக் கண்காணிக்கிறது. இது ஒரு முறையான மற்றும் அவசியமான அடுக்கு ஆகும். மேலும், அதன் கட்டமைப்பின்படி, இது ஒரு பின்தங்கிய குறிகாட்டியாகவும் இருக்கிறது: ஒரு இயங்குநேர ஸ்கேனர் ஒரு எண்ட்பாயிண்ட் பற்றி எதையும் கூறுவதற்கு முன்பு, அது இருக்க வேண்டும், டிப்ளாய் செய்யப்பட்டிருக்க வேண்டும், மற்றும் அணுகக்கூடியதாக இருக்க வேண்டும். ஸ்கேன் இயங்குவதற்கு எடுத்துக்கொண்ட நேரம் வரை, அது கண்டறியும் எதுவாக இருந்தாலும் அது ஏற்கெனவே வெளிப்படுத்தப்பட்டிருந்தது.
அந்த நேரச் சிக்கலுக்கு அடியில் இரண்டாவது இடைவெளி ஒன்று உள்ளது. இயங்குநேரக் கருவிகளால், இருப்பதெனத் தங்களுக்குத் தெரிந்தவற்றை மட்டுமே சோதிக்க முடியும். ஒரு எண்ட்பாயிண்ட் ஒருபோதும் ஆவணப்படுத்தப்படாவிட்டாலோ, அல்லது யாராவது ஒரு புதிய ரூட்டை வெளியிட்ட உடனேயே OpenAPI விவரக்குறிப்பு காலாவதியாகிவிட்டாலோ, அது அங்கே இருப்பதை ஒரு இயங்குநேர ஸ்கேனரால் அறிந்துகொள்ள வழி இல்லை. அது வரைபடத்தைச் சோதிக்கிறது, நிலப்பரப்பை அல்ல.
நிலையான API பாதுகாப்புச் சோதனையானது, வரிசைப்படுத்துதலுக்கு முன்பு, எண்ட்பாயிண்ட் வரையறுக்கப்பட்டுள்ள இடமான உங்கள் குறியீடு மற்றும் உங்கள் API விவரக்குறிப்பிற்கே சோதனையை நகர்த்துவதன் மூலம் இந்த இரண்டு இடைவெளிகளையும் நிரப்புகிறது. pull request ஒரு இறுதிப்புள்ளியை அறிமுகப்படுத்துவது என்பது pull request அது அதன் அபாயத்தை வெளிப்படுத்துகிறது.
நிலையான API பாதுகாப்பு உண்மையில் என்ன அர்த்தம்
Xygeni உங்கள் API இன்வென்டரியை இரண்டு மூலங்களிலிருந்து உருவாக்குகிறது: உங்கள் பயன்பாட்டின் மூலக் குறியீடு மற்றும் OpenAPI, Swagger உள்ளிட்ட உங்கள் API விவரக்குறிப்புகள்.
விவரக்குறிப்பு-மட்டுமே கொண்ட ஒரு விவரப் பட்டியல், யாரோ ஒருவர் ஆவணப்படுத்த நினைத்த எண்ட்பாயிண்ட்களைக் காட்டுகிறது. குறியீடு-மட்டுமே கொண்ட ஒரு விவரப் பட்டியல், ஏற்கனவே உள்ளவற்றைக் காட்டுகிறது, ஆனால் அவை எவ்வாறு பயன்படுத்தப்பட வேண்டும் என்பதைக் காட்ட வேண்டிய அவசியமில்லை. இரண்டையும் படிப்பதன் மூலம் உங்களுக்கு ஒரு முழுமையான சித்திரம் கிடைக்கும்: உங்கள் குழுக்கள் ஆவணப்படுத்திய எண்ட்பாயிண்ட்கள் மற்றும் யாரும் ஆவணப்படுத்தாதவை.
அந்தப் பட்டியல்தான் மற்ற அனைத்தும் கட்டியெழுப்பப்படும் அடித்தளம்:
- கண்டறியப்பட்ட மொத்த API-கள் மற்றும் ஒரு அடிப்படை அளவோடு ஒப்பிட்டு அளவிடப்பட்ட அபாயத்தில் உள்ள சொத்துக்கள்.
- HTTP முறையின்படி வகைப்படுத்தப்பட்ட முனையங்கள்
- சேவையின் அடிப்படையில் தொகுக்கப்பட்ட சிக்கல்கள்
- ஒவ்வொரு எண்ட்பாயிண்ட்டும் அதன் மெத்தட், பாத், சர்வீஸ், மாட்யூல், அங்கீகார நிலை மற்றும் இடர் மதிப்பெண்ணுடன்.
உங்கள் பொறியியல் தலைவர்கள் ஒரு டிக்கெட்டைக் கூடத் திறக்காமலேயே உங்கள் API செயல்பாட்டின் வடிவத்தைக் காண்கிறார்கள்.
Xygeni கண்டறிந்த ஒவ்வொரு எண்ட்பாயிண்ட்டும், அதன் செயல்முறை, அங்கீகார நிலை மற்றும் இடர் மதிப்பெண் ஆகியவற்றுடன், குறியீடு மற்றும் விவரக்குறிப்பு ஆகியவற்றிலிருந்து ஒன்றாக உருவாக்கப்பட்டுள்ளது.
Production note எந்தவொரு API பாதுகாப்பு ஸ்கிரீன்ஷாட்டில் இருந்தும் AI ட்ரியேஜ் பேனலை வெட்டி எடுக்கவும்.
OWASP API பாதுகாப்பு முதல் 10 உடன் பொருத்தப்பட்டுள்ளது
உங்கள் பாதுகாப்புக் குழுக்களும் தணிக்கையாளர்களும் ஏற்கனவே பயன்படுத்தும் கட்டமைப்பையே இந்தக் கண்டுபிடிப்புகள் வெளிப்படுத்துகின்றன. OWASP API பாதுகாப்பு முழுவதும் Xygeni இடர்களைக் கண்டறிகிறது. முதல் 10 (2023):
ஒரு வகை வேண்டுமென்றே தவிர்க்கப்பட்டுள்ளது. API6, அதாவது 'முக்கியமான வணிக ஓட்டங்களுக்கான கட்டுப்பாடற்ற அணுகல்' (Unrestricted Access to Sensitive Business Flows), ஒரு வணிகச் செயல்முறை எதை அனுமதிக்க வேண்டும் என்பதைப் புரிந்துகொள்ளக் கோருகிறது; ஆனால் எந்தவொரு நிலையான பகுப்பாய்வியும் (static analyzer) அதை நம்பகத்தன்மையுடன் கண்டறிவதில்லை. இதற்கு மாறாகக் கூறும் எந்தவொரு விற்பனையாளரும் உங்களுக்கு ஒரு சரிபார்ப்புப் பெட்டியை (checkbox) விற்கிறார். அது உங்கள் அச்சுறுத்தல் மாதிரியாக்கம் (threat modeling) மற்றும் ஊடுருவல் சோதனையாளர்களிடமே (penetration testers) தங்கிவிடும்.
எல்லாக் கண்டுபிடிப்புகளும் சமமானவை அல்ல: தரவு உணர்திறன் மற்றும் நச்சுத்தன்மையுள்ள சேர்க்கைகள்
கண்டறிதல்களின் ஒரு தட்டையான பட்டியல், அங்கீகரிக்கப்படாத சுகாதாரச் சரிபார்ப்பு முனையத்தையும், வாடிக்கையாளர் பதிவுகளை வழங்கும் அங்கீகரிக்கப்படாத முனையத்தையும் ஒரே மாதிரியாகக் கருதுகிறது. அவை இரண்டும் ஒரே பிரச்சனை அல்ல, மேலும் அவற்றுக்கு ஒரே மாதிரியாக மதிப்பெண் வழங்கும் ஒரு முன்னுரிமைப்படுத்தல் மாதிரி, அந்தப் பட்டியலைப் புறக்கணிக்க உங்கள் குழுக்களுக்குப் பயிற்சி அளிக்கிறது.
சைஜெனி ஒவ்வொரு எண்ட்பாயிண்ட்டும் கையாளும் தரவுகளை வகைப்படுத்தி, கோரிக்கை அளவுருக்கள் மற்றும் பதில்களில் உள்ள PII, PCI மற்றும் PHI ஆகியவற்றைக் குறியிட்டு, அதனை அந்த எண்ட்பாயிண்ட்டின் அங்கீகார நிலையுடன் இணைக்கிறது.
மேலும் இது, ஒரே எண்ட்பாயிண்டில் ஏற்படும் கண்டறிதல்களை ஒன்றோடொன்று தொடர்புபடுத்தி, அவை ஒன்று சேரும்போது தீவிரத்தன்மையை அதிகரிக்கிறது. ஒரு பதிலில் தனிப்பட்ட அடையாளத் தகவல் (PII) கசிவதே ஒரு தீவிரமான கண்டறிதலாகும். அங்கீகாரம் தேவைப்படாத ஒரு எண்ட்பாயிண்டில் ஏற்படும் அதே கசிவு மிக முக்கியமானதாகும், மேலும் யாராவது கைமுறையாகக் கவனிக்கும் வகையில் இணைப்பை விட்டுவிடாமல், தளம் அதை அவ்வாறே மதிப்பிடுகிறது.
ஸோம்பி மற்றும் ஆர்ஃபன் எண்ட்பாயிண்ட்கள்: குறியீட்டிற்கும் விவரக்குறிப்பிற்கும் இடையிலான விலகல்
சைஜெனி உங்கள் குறியீட்டையும் ஏபிஐ விவரக்குறிப்பையும் ஒரே நேரத்தில் படிப்பதால், அவற்றுக்கிடையே உள்ள முரண்பாடுகளை அது கண்டறிகிறது. அந்த வேறுபாடு, எளிதில் அடையாளம் காணக்கூடிய மூன்று வடிவங்களாக வெளிப்படுகிறது:
- ஆவணப்படுத்தப்படாத முனையங்கள். அவை நிரலில் இடம்பெற்றுள்ளன, விவரக்குறிப்பில் ஒருபோதும் சேர்க்கப்படவில்லை.
- ஸோம்பி முனையங்கள். அவை வழக்கொழிந்தவை அல்லது பயன்பாட்டிலிருந்து நீக்கப்பட்டவை எனக் குறிக்கப்பட்டிருந்தாலும், அவற்றை இன்னமும் அணுக முடியும்.
- அனாதை முனையங்கள். தற்போதைய அணியில் யாருக்கும் அவை சொந்தமில்லை.
விவரக்குறிப்புகள் மட்டுமே உள்ள சரக்குப்பட்டியலில் இவை எதுவும் காணப்படுவதில்லை, ஏனெனில் அந்த விவரக்குறிப்பில்தான் அவை விடுபட்டுள்ளன.
நடவடிக்கை எடுக்கக்கூடிய ஆதாரம், விசாரணைக்கான அனுமதிச்சீட்டு அல்ல.
ஒவ்வொரு கண்டுபிடிப்பும், பிழைக்குக் காரணமான சரியான கையாளுநரைச் சுட்டிக்காட்டுகிறது: அதாவது, கோப்பு, கிளாஸ், மெத்தட் மற்றும் பிழையை ஏற்படுத்திய குறிப்பிட்ட வரி, அத்துடன் பிழையான குறியீடும் அதனுடன் காட்டப்படுகின்றன. ஒவ்வொன்றும் அதன் தீவிரத்தன்மை, OWASP API பாதுகாப்பு முதல் 10 வகை, அதன் CWE, எண்ட்பாயிண்டின் அங்கீகார நிலை மற்றும் சம்பந்தப்பட்ட தரவுகளின் உணர்திறன் வகைப்பாடு ஆகியவற்றையும் கொண்டுள்ளது.
ஒரு எண்ட்பாயிண்ட்டின் பெயரை மட்டும் குறிப்பிடும் ஒரு பிழை கண்டறிதல், ஒரு டெவலப்பர் எதையும் சரிசெய்யத் தொடங்குவதற்கு முன்பே, அவரை கோட்பேஸில் தேட வைத்துவிடும். ஆனால், அந்த லைன் வரியின் பெயரைக் குறிப்பிடும் ஒரு பிழை கண்டறிதல், அவரை உடனடியாக அந்தத் திருத்தத்தின் அருகே கொண்டு சென்றுவிடும்.
கண்டறிதல்கள் JSON, CSV, Markdown மற்றும் SARIF 2.1.0 வடிவங்களில் ஏற்றுமதி செய்யப்படுவதால், அவை t-இல் சேமிக்கப்படுகின்றன.உங்கள் குழுக்கள் ஏற்கனவே பயன்படுத்தும் கருவிகள்.
கையாளுநர், வரி மற்றும் பாதிப்பை ஏற்படுத்திய குறியீடு. இது விசாரணைக்கான கோரிக்கை அல்ல.
இது ஏன் ஒரு பிளாட்ஃபார்மில் இயங்குகிறது, மற்றொரு கன்சோலில் இல்லை?
Xygeni, API பாதுகாப்பை இதனுடன் சேர்த்து இயக்குகிறது. SAST, SCA, இரகசியப் பாதுகாப்பு, IaC மற்றும் DAST ஒரே தளத்திற்குள், இதன் மூலம் தொடர்புபடுத்தப்பட்டுள்ளது ASPMஅதை அதன் சொந்த அம்சங்களுடன் ஒரு தனி கருவியாக அனுப்புவதற்கு பதிலாக login மற்றும் அதன் சொந்த நிலுவைப் பணிகள்.
இது முக்கியமானது, ஏனெனில் ஸ்டேடிக் கண்டுபிடிப்புகளும் ரன்டைம் கண்டுபிடிப்புகளும் ஒரே எண்ட்பாயிண்ட் பற்றிய வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன, மேலும் அவை தனித்தனியாக இருப்பதை விட ஒன்றாக இருக்கும்போது அதிகப் பயனுள்ளதாக இருக்கும். ஒரு எண்ட்பாயிண்ட் வெளியிடப்படுவதற்கு முன்பு அது ஆபத்தானது என்பதை ஸ்டேடிக் உங்களுக்குச் சொல்கிறது. அது இயங்கத் தொடங்கியவுடன், உண்மையில் எதை அடைய முடியும் மற்றும் எதைச் சுரண்ட முடியும் என்பதை DAST உறுதிப்படுத்துகிறது.
அதை இரண்டு கன்சோல்களில் பிரித்தால், தொடர்புடைய இடர் என்பது இரண்டு தொடர்பற்ற நிலுவைப் பணிகளாக மாறிவிடும். யாரும் அவற்றைச் சரிசெய்வதில்லை, மேலும் ஆவணப்படுத்தப்படாத மற்றும் அங்கீகரிக்கப்படாத அந்த எண்ட்பாயிண்ட் எந்த வரிசையிலும் இருப்பதில்லை.
உங்கள் உண்மையான API தாக்குதல் பரப்பைக் காணுங்கள். API பாதுகாப்பு ஒரு பகுதியாகக் கிடைக்கிறது. Enterprise Xygeni தளத்துடன் இதை இணைக்கும்போது, உங்கள் சொந்த உள்கட்டமைப்பிற்குள் இருக்கும் உங்கள் சொந்த களஞ்சியங்களுக்கு எதிராக ஒரு ஸ்கேன் இயக்கப்படுகிறது.
FAQ
எந்த முனையங்கள் முக்கியமான தரவுகளைக் கையாளுகின்றன என்பதை அதனால் கண்டறிய முடியுமா?
ஆம். சைஜெனி, இறுதிப்புள்ளி அளவுருக்கள் மற்றும் பதில்களில் PII, PCI மற்றும் PHI ஆகியவற்றைக் குறியிட்டு, அந்த வகைப்பாட்டைப் பயன்படுத்தி உண்மையான வெளிப்பாட்டின் அடிப்படையில் கண்டறிதல்களைத் தரவரிசைப்படுத்துகிறது.
இதை எல்லாவற்றிலும் இயக்க முடியுமா? pull request?
ஆம். படிப்படியான ஸ்கேனிங், மாறிய எண்ட்பாயிண்ட்களை மட்டுமே பகுப்பாய்வு செய்கிறது. மேலும் அது உருவாக்கும் மேனிஃபெஸ்ட், அடுத்த DAST ஸ்கேனை அதே எண்ட்பாயிண்ட்களில் கவனம் செலுத்த உதவுகிறது. இதனால், ஸ்டேடிக் மற்றும் ரன்டைம் சோதனைகள், உண்மையில் நகர்ந்தவற்றுடன் சீரமைந்து இருக்கும்.
எனது நிரல் எனது சூழலை விட்டு வெளியேறுகிறதா?
இல்லை. ஸ்கேன்கள் உங்கள் சொந்த உள்கட்டமைப்பிலேயே இயங்குகின்றன. முடிவுகள் மட்டுமே, பரிமாற்றத்தின்போதும் சேமிப்பின்போதும் பாதுகாக்கப்பட்டு பதிவேற்றப்படுகின்றன.
API பாதுகாப்பை நான் எப்படிப் பெறுவது?
API பாதுகாப்பு ஒரு பகுதியாகக் கிடைக்கிறது. Enterprise கூடுதல் அம்சம். ஒரு PoC-ஐக் கோருங்கள், அது உங்களுடன் கலந்தாலோசித்து வரையறுக்கப்படும்.
