آپ کے API حملے کی سطح ہر ایک کے ساتھ بڑھتی ہے۔ pull request، اور زیادہ تر API سیکیورٹی ٹولز اسے صرف اس وقت دیکھتے ہیں جب یہ لائیو ہوتا ہے اور ٹریفک لے جاتا ہے۔ Xygeni ریلیز سے پہلے کوڈ میں ہر اختتامی نقطہ اور اس کے خطرات کو دریافت کرتا ہے۔
ایک کے طور پر دستیاب ہے۔ Enterprise پر شامل کریں
آپ کے API اٹیک کی سطح، نقشہ بندی اور درجہ بندی۔
Xygeni آپ کی API انوینٹری کو ایپلیکیشن سورس کوڈ سے اور آپ کے API تصریحات سے بناتا ہے، بشمول OpenAPI اور Swagger، لہذا آپ کو پوری سطح نظر آتی ہے: آپ کی ٹیموں کے دستاویزی اختتامی پوائنٹس، اور جو کسی نے نہیں کیے ہیں۔
نتائج کو OWASP API سیکیورٹی ٹاپ 10 (2023) میں نقش کیا گیا ہے: ٹوٹا ہوا آبجیکٹ اور فنکشن لیول کی اجازت، غیر تصدیق شدہ اینڈ پوائنٹس، ضرورت سے زیادہ ڈیٹا ایکسپوژر، ماس اسائنمنٹ، JWT اور CORS غلط کنفیگریشن، گمشدہ شرح کی حدیں، SSRF، اور زومبی اینڈ پوائنٹس۔
ہر تلاش میں اختتامی نقطہ کی توثیق کی حالت اور اس کے ہینڈل کردہ ڈیٹا کی حساسیت ہوتی ہے، اس لیے ٹیمیں یہ طے کرتی ہیں کہ حملہ آور کسی غیر متفاوت فہرست پر کام کرنے کے بجائے اصل میں کس چیز تک پہنچ سکتا ہے۔
ہر اختتامی نقطہ۔ ہر خطرہ۔ پیداوار سے پہلے۔
کل APIs، ایک بیس لائن کے خلاف خطرے میں اثاثے، طریقہ کے لحاظ سے اختتامی پوائنٹس، اور سروس کے لحاظ سے مسائل۔ ہر اختتامی نقطہ اس کے طریقہ کار، راستے، سروس، ماڈیول، تصدیق کی حالت، اور رسک سکور کے ساتھ درج ہے۔
OWASP API سیکیورٹی ٹاپ 10 (2023) میں کھوج، لہذا نتائج اس فریم ورک کو بتاتے ہیں جو آپ کی سیکیورٹی ٹیم اور آپ کے آڈیٹرز پہلے سے استعمال کر رہے ہیں۔
Xygeni ڈیٹا کی درجہ بندی کرتا ہے جو ہر اینڈ پوائنٹ ہینڈل کرتا ہے، PII، PCI، اور PHI دونوں پیرامیٹرز اور جوابات میں جھنڈا لگاتا ہے۔ ایک غیر تصدیق شدہ اختتامی نقطہ جو ذاتی ڈیٹا کو واپس کرتا ہے وہی مسئلہ نہیں ہے جیسا کہ اجازت دینے والے CORS ہیڈر، اور اسے ایک جیسا نظر نہیں آنا چاہیے۔
چونکہ Xygeni کوڈ اور آپ کے API کی تفصیلات دونوں کو پڑھتا ہے، اس لیے یہ ان کے درمیان بڑھے ہوئے نقطہ نظر کو ظاہر کرتا ہے: اختتامی نقطے کوڈ میں رہتے ہیں لیکن قیاس سے غائب ہیں، فرسودہ راستے اب بھی قابل رسائی ہیں، اور یتیم اختتامی پوائنٹس کسی کے پاس نہیں ہیں۔
Xygeni ایک ہی اختتامی نقطہ پر نتائج کو آپس میں جوڑتا ہے اور جب وہ مرکب ہوتے ہیں تو شدت بڑھاتے ہیں۔ جواب میں ایک PII لیک سنگین ہے۔ ایک اختتامی نقطہ پر ایک PII لیک جس کے لیے تصدیق کی ضرورت نہیں ہے اہم ہے، اور Xygeni نے ایسا ہی کہا ہے۔
درست ہینڈلر پر ہر تلاش کرنے والے پوائنٹس: فائل، کلاس، طریقہ، اور کوڈ جس نے اسے متعارف کرایا، لائن میں موجود خامی کے ساتھ۔ ڈویلپرز کو کوئی ایسی چیز ملتی ہے جسے وہ ٹھیک کر سکتے ہیں، نہ کہ ایک ٹکٹ جس کی انہیں پہلے چھان بین کرنی پڑتی ہے۔
پیداوار تک پہنچنے سے پہلے کوڈ میں API کے خطرات کو تلاش کریں اور ان کو ٹھیک کریں۔
رن ٹائم API سیکیورٹی آپ کو بتاتی ہے کہ ایک اینڈ پوائنٹ سامنے آنے کے بعد جب یہ پہلے سے ہی ٹریفک کی خدمت کر رہا ہوتا ہے۔ Xygeni اسے کوڈ میں تلاش کرتا ہے۔ pull request، اسے ٹھیک کرنے کے دوران ابھی بھی ایک لاگت آتی ہے۔ commit.
API سیکیورٹی کے ساتھ بیٹھی ہے۔ SAST, SCAراز IaC، اور DAST ایک ہی پلیٹ فارم میں، لہذا آپ کا API خطرہ آپ کے بقیہ ایپلیکیشن کے خطرے کے ساتھ رہتا ہے بجائے اس کے کہ ایک الگ ٹول میں اس کے اپنے login.
جامد Xygeni تعیناتی سے پہلے ایکسپوژر تلاش کرنے کے لیے آپ کے ایپلیکیشن کوڈ اور API تفصیلات کا تجزیہ کرتا ہے۔ چلنے والی ایپلیکیشن کے رن ٹائم ٹیسٹنگ کے لیے، Xygeni DAST اس کا احاطہ کرتا ہے، اور دونوں مل کر کام کرتے ہیں۔
دو ذرائع سے: آپ کے ایپلیکیشن کا سورس کوڈ، اور آپ کی API وضاحتیں، بشمول OpenAPI اور Swagger۔ دونوں کو پڑھنا وہی ہے جو Xygeni کی سطح کو غیر دستاویزی اور یتیم پوائنٹس کی اجازت دیتا ہے۔
OWASP API سیکیورٹی ٹاپ 10 (2023) کے تمام خطرات، بشمول ٹوٹے ہوئے آبجیکٹ لیول کی اجازت (BOLA)، ٹوٹے ہوئے فنکشن لیول کی اجازت (BFLA)، غیر تصدیق شدہ اینڈ پوائنٹس، ضرورت سے زیادہ ڈیٹا ایکسپوژر، ماس اسائنمنٹ، JWT اور CORS غلط کنفیگریشن، گمشدہ شرح کو محدود کرنا، SSRF، اور زومبی اینڈ پوائنٹس۔
جی ہاں Xygeni PII، PCI، اور PHI کو اختتامی پیرامیٹرز اور جوابات میں جھنڈا دیتا ہے، اور اسے حقیقی نمائش کے ذریعے نتائج کی درجہ بندی کرنے کے لیے استعمال کرتا ہے۔
جی ہاں انکریمنٹل اسکیننگ صرف ان ہی اینڈ پوائنٹس کا تجزیہ کرتی ہے جو تبدیل ہوتے ہیں، اور یہ جو مینی فیسٹ تیار کرتا ہے وہ بعد کے DAST اسکین کو انہی اینڈ پوائنٹس پر فوکس کر سکتا ہے۔
نہیں۔ اسکینز آپ کے اپنے بنیادی ڈھانچے میں چلتے ہیں۔ صرف نتائج اپ لوڈ کیے جاتے ہیں، ٹرانزٹ اور آرام کے وقت محفوظ ہوتے ہیں۔
یہ بطور ایک دستیاب ہے۔ Enterprise اضافہ ہم سے بات کریں اور ہم آپ کے ساتھ اس کی گنجائش رکھیں گے۔
Xygeni All-in-One AppSec پلیٹ فارم کے ساتھ
Xygeni All-in-One AppSec پلیٹ فارم کے ساتھ
