2.02Lietotņu drošība

API drošības testēšana

REST, GraphQL un gRPC API manuāla testēšana atbilstoši OWASP API Security Top 10, īpašu uzmanību pievēršot objektu un funkciju līmeņa autorizācijai un daudzpakāpju ļaunprātīgas izmantošanas scenārijiem.

Pieteikt konsultāciju+371 2256 5353

API ievainojamības bieži ir atkarīgas no identitātes, objektu īpašumtiesībām, stāvokļa un darbplūsmas loģikas, tādēļ ar automatizētu skenēšanu vien tās nevar droši atklāt. Pārbaudām API specifikāciju, autentifikāciju, autorizāciju, objektu identifikatorus, ievades apstrādi, ātruma ierobežojumus un biznesa procesus REST, GraphQL un gRPC vidēs.

Pārklājums ietver OWASP API Security Top 10, piemēram, BOLA, BFLA, bojātu autentifikāciju, mass assignment, SSRF, pārmērīgu datu izpaušanu un neierobežotu resursu patēriņu. Apstiprinātus ļaunprātīgas izmantošanas scenārijus var pārvērst regresijas testos, un labojumi tiek pārbaudīti atkārtoti.

OWASP API Top 10
katrs risks testēts, API1–API10
BOLA
API risks Nr. 1 – un tas, ko skeneri palaiž garām

Kā tas notiek

  1. 01

    Tvērums un vides izpēte

    Inventarizējiet galapunktus no OpenAPI/GraphQL shēmām, satiksmes un koda; kartējiet autentifikāciju, lomas un uzticības robežas.

  2. 02

    Automatizēta sākotnējā pārbaude

    Shēmu apzinoša skenēšana un fuzzing, lai novērstu zināmās problēmas un atklātu kandidātus manuālai testēšanai.

  3. 03

    Manuāla ievainojamību pārbaude

    Biznesa loģikas, BOLA/BFLA, autentifikācijas apiešanas, mass assignment un SSRF testēšana ar ķēdētām, daudzidentitāšu izmantošanām.

  4. 04

    Ziņošana un komandas atbalsts

    Pēc izmantojamības sarindoti secinājumi ar ietekmes pierādījumu, novēršanas vadlīnijas un instruktāža izstrādātājiem.

  5. 05

    CI regresijas testi un atkārtota pārbaude

    Ļaunprātīgas izmantošanas scenāriju iestrāde konveijerā kā regresijas testi un labotā koda atkārtota testēšana (pēc izvēles).

Komplekti

Pamata
Fokusēta vienas kritiskas API vai pakalpojuma testēšana pret OWASP API Top 10.
PaplašinātaisPopulārs
Pilna API testēšana ar biznesa loģikas dziļumu un CI integrētiem regresijas testiem.
Uzņēmumiem
Pastāvīga API drošības programma ar nepārtrauktu testēšanu un atbalstu izstrādātājiem.

Biežāk uzdotie jautājumi

Tīmekļa lietotnes tests ietver pārlūkā pieejamo lietotni, savukārt atsevišķs API novērtējums koncentrējas uz REST, GraphQL vai gRPC saskarnēm, to autentifikāciju, autorizāciju, datu apstrādi un biznesa loģiku. Izmantojam pieejamās shēmas un pārbaudām dažādas lomas, objektu piekļuvi un daudzpakāpju darbplūsmas, kas var nebūt sasniedzamas lietotāja saskarnē. Abus tvērumus var apvienot, ja lietotne un API veido vienotu uzbrukuma virsmu.

Noderīgi rīki

Atzītie konstatējumi

Publiski atklājumi un lauka pētījumi, kuros šis darbs radīja citējamus, pārbaudāmus rezultātus.

KritiskumsAtradumsBrīdinājumsGads
5.8VidējsAutorizācijas apiešana 8x8 JaaS SIP zvanu vārtejāJitsi as a Service (JaaS) – 8x8 SIP vārteja2026

Ko saka klienti jūsu nozarē

Atsauksmes no tās pašas nozares organizācijām.

IT pakalpojumi
“Nils Putniņš ir apliecinājis sevi kā augstas klases ekspertu informācijas sistēmu drošības un kiberdrošības jomā.”

Vladimirs Dagenvalds

Board Member · Codex

SaaS
“Instead of slowing us down, they seamlessly integrate with our fast-moving engineering team, providing proactive, high-level insights that let us fortify our systems in real time as we grow.”

Karlis Broders

CTO · Trace.Space

E-komercija
“Their structured methodology, clear communication, and actionable insights directly contributed to increased system reliability, scalability, and resilience.”

Oskars Podziņš

Head of Information Security · Printful

Visi pakalpojumi

Noteikt testa tvērumu

support@offseq.com+371 2256 5353

Tieša saziņa ar pieredzējušu speciālistu · atbilde 24 stundu laikā · NDA pēc pieprasījuma

Noteikt testa tvērumuSazināties