Sızma Testleri
API Sızma Testi
Mobil uygulamanızın, iş ortaklarınızın ve iç servislerinizin kullandığı API'leri test ediyoruz. Bir kullanıcının başkasına ait kayda veya işleme erişip erişemediğini gösteriyoruz.
Nedir?
API sızma testi, kullanıcı arayüzü olmadan doğrudan servis çağrılarıyla yapılır. En kritik risk, nesne ve işlev düzeyindeki yetki hatalarıdır. Test, bu hataları her rol ve uç nokta için ayrı ayrı arar. Yöntem, OWASP API Security Top 10 risklerini ve REST ile GraphQL'e özgü durumları kapsar.
Kapsam
- REST ve GraphQL uç noktalarının dokümantasyon ve gerçek trafiğe göre çıkarılması
- Nesne ve işlev düzeyinde yetkilendirme (BOLA ve BFLA)
- OAuth 2.0, OpenID Connect ve erişim belirteci yönetimi
- Toplu atama, gereğinden fazla veri döndürme ve girdi doğrulama
- Hız sınırlama ve iş akışlarının kötüye kullanımı
- Eski sürümler ve unutulmuş uç noktalar
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Açık bankacılık, ödeme veya iş ortağı entegrasyonu için API'ler dışarıya açılmadan önce.
- Mobil uygulamanızın arkasındaki API'ler uygulamadan bağımsız olarak hiç test edilmediğinde.
- Mikroservis mimarisine geçişte servisler arası yetki modeli değiştiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Envanter
OpenAPI veya GraphQL şemasından ve gerçek trafikten uç noktaların tam listesini çıkarırız.
-
Rol matrisi
Her uç noktanın hangi rolle hangi kayıtlara erişmesi gerektiğini tabloya dökeriz.
-
Manuel test
Her rolün yetkisi dışındaki kayıt ve işlemlere ulaşıp ulaşamadığını tek tek deneriz.
-
Rapor ve yeniden test
Bulguları örnek isteklerle belgeler, düzeltmelerden sonra yeniden test ederiz.
Sonuç
Çalışmanın sonunda elinizde olan
Hangi uç noktada hangi rolün yetkisi dışına çıkabildiğini gösteren bir yetki matrisi elinizdedir. Ekipleriniz yeni uç noktalarda aynı kontrolü bu matrisle tekrarlayabilir.
Sık sorulan sorular
API yalnızca kendi mobil uygulamamız tarafından kullanılıyor. Yine de test gerekir mi?
Evet. Saldırgan uygulamayı kullanmak zorunda değildir ve API'yi doğrudan çağırabilir. Uygulamadaki kısıtlamalar sunucuda da uygulanmıyorsa aşılabilir.
API belgemiz yoksa test yapılabilir mi?
Yapılabilir. Uç noktaları uygulama trafiğinden çıkarırız. Bir şema veya istek koleksiyonu paylaşmanız testin kapsamını artırır.
WAF veya API ağ geçidi kullanıyoruz. Bu yeterli değil mi?
Bu katmanlar bilinen saldırı kalıplarını ve hız sınırlarını yönetir. Bir kullanıcının başka bir kullanıcının kaydını istemesi ise geçerli bir istek gibi görünür. Bunu yalnızca uygulamanın kendi yetki kontrolü durdurabilir.
Sızma Testleri
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın