API SECURITY PENETRATION TESTING

REST, GraphQL un gRPC saskarņu drošības pārbaude ar vairākiem autorizācijas žetoniem un secīgiem uzbrukumu scenārijiem.

Kam piemērotsAPI ar sensitīviem klientu vai maksājumu datiem
Galvenais rezultātsEndpointu, lomu un objektu piekļuves matrica
TvērumsBOLA (Broken Object Level Authorization) un BFLA autorizācijas caurumu atklāšana
Darba ilgumsTermiņu nosaka sistēmu skaits, lomas, vides, pieejamā dokumentācija un saskaņotie ierobežojumi.

Kam tas noder

Kad šis pakalpojums ir piemērots

API ar sensitīviem klientu vai maksājumu datiemPlatformām ar daudzām lomām, partneriem vai nomniekiemMikropakalpojumu arhitektūrām un mobilās lietotnes backendiemPēc jauna API vārtejas, identitātes vai autorizācijas modeļa ieviešanas

API drošības pārbaudes virzieni

  • BOLA (Broken Object Level Authorization) un BFLA autorizācijas caurumu atklāšana
  • JWT žetonu un OAuth 2.0 / OIDC autentifikācijas kļūdas
  • Masveida piešķiršana (Mass Assignment) un pārmērīga datu atklāšana
  • Rate Limiting un resursu izsmelšanas (DoS) aizsardzības pārbaude

Ko saņemsiet

  • Endpointu, lomu un objektu piekļuves matrica
  • Apstiprināti vairāku identitāšu uzbrukuma scenāriji
  • OWASP API Security Top 10 kartējums
  • Droši curl/HTTP vai testa koda reproducēšanas piemēri
  • Izstrādātāju labošanas ieteikumi autorizācijas slānim
  • Regresijas testa kandidāti CI/CD un retesta statuss

Darba gaita

Kā notiek darbs

  1. Tvērums un drošības robežas. Apstiprinām mērķi, sistēmas, lomas, vidi, izņēmumus, atļautās darbības un avārijas apturēšanas kontaktu.

  2. Informācijas un piekļuves sagatavošana. Drošā kanālā saņemam tikai darbam nepieciešamo dokumentāciju, kontus, konfigurācijas vai pierādījumus.

  3. API saskarņu un mikroservisu testēšana. Pārbaudām autorizācijas loģiku, datu noplūdes riskus un saskarņu noturību pret ļaunprātīgiem pieprasījumiem.

  4. Validācija un ziņošana. Apstiprinām atradumus, novēršam kļūdainus pozitīvus rezultātus un sasaistām risku ar biznesa ietekmi un īpašnieku.

  5. Pārruna un turpinājums. Izskaidrojam prioritātes, atbildam komandām, vienojamies par labošanas termiņiem un, ja paredzēts, veicam retestu.

Pirms sadarbības

Biežāk uzdotie jautājumi

Cik ilgi parasti ilgst darbs?

Termiņu nosaka sistēmu skaits, lomas, vides, pieejamā dokumentācija un saskaņotie ierobežojumi. Pēc sākuma informācijas saņemšanas darba apjomā norādām posmus, klienta iesaisti un konkrētu grafiku.

Ko nepieciešams sagatavot pirms darba sākuma?

Parasti vajadzīgs sistēmas vai procesa īpašnieks, aktuāls tvērums, piekļuves un testa konti, arhitektūras vai procesu apraksts, kritiskie biznesa scenāriji un ārkārtas kontakts. Nekad nesūtiet paroles parastā tīmekļa formā.

Vai rezultātā saņemsim tikai tehnisku ziņojumu?

Nē. Paredzam vadības kopsavilkumu, prioritizētu detalizēto daļu, pierādījumus, labošanas ieteikumus un rezultātu pārrunu. Ja pakalpojumam tas ir piemērots, iekļaujam retestu vai ieviešanas ceļvedi.

Kāpēc API testam vajag vairākus kontus?

Objektu un funkciju autorizācijas defekti parādās, salīdzinot, ko drīkst darīt dažādi lietotāji, lomas vai nomnieki. Viens administratora konts nevar pierādīt, ka izolācija starp klientiem darbojas.

Ko darīt, ja nav OpenAPI dokumentācijas?

Endpointus var rekonstruēt no lietotnes trafika, koda vai vārtejas žurnāliem, taču tas palielina darbu un var neatklāt reti izmantotas funkcijas. Pēc testa izveidojiet uzturētu API inventāru un pievienojiet shēmas validāciju piegādes procesā.

Saistītie nākamie soļi