स्वतंत्र एजेंट
यह टूल्स चलाता है और चैट कार्ड्स में वास्तविक परिणाम दिखाता है।
उत्पाद
OWASP API Top 10 टेस्टिंग एजेंट
01
Orso Connect OWASP API Top 10 को एक शुरुआती सूची के रूप में अपनाकर आपकी API सुरक्षा जांच प्रक्रिया को आसान बनाता है। यह टूल्स चलाता है, फ़ाइलें पढ़ता है और रिपोर्ट लिखता है।
स्थानीय गोपनीयता
चैट और कुंजियां टेलीमेट्री के बिना आपके पीसी पर ही रहती हैं।
Ask first मोड
यह फ़ाइलें बदलने या कमांड चलाने से पहले रुक जाता है।
विशेषताएं
- फ़ाइलेंread_file, write_file, edit_file, grep और list_dir चैट फ़ोल्डर के भीतर आपके प्रोजेक्ट फ़ाइलों को प्रबंधित करते हैं।
- Shellलिंटर्स और टेस्ट्स जैसे टर्मिनल कमांड्स चलाता है और सफलता के लिए वास्तविक एक्जिट कोड रिपोर्ट करता है।
- Webइंटरनेट से आधिकारिक दस्तावेज़ पृष्ठ पढ़ने के लिए web_search और http_get का उपयोग करता है।
- स्क्रीनशॉट और छवियांgen_image वास्तविक फ़ाइलें सेव करता है और ocr स्क्रीनशॉट से टेक्स्ट पढ़ता है।
- ऑर्केस्ट्रेशनtask समानांतर सब-एजेंट्स चलाता है और skill सामान्य कार्यों के लिए पुन: उपयोग योग्य प्लेबुक संग्रहीत करता है।
- अनुमोदन मोडAuto-run तुरंत कार्य करता है, Ask first बदलावों से पहले रुकता है, Plan only योजनाएं लिखता है।
- Cronआपके सुरक्षा जांच को नियमित रूप से चलाने के लिए निर्दिष्ट समय पर प्रॉम्प्ट्स चलाता है।
- Modelsतुरंत उपयोग के लिए क्लाउड APIs, लोकल मॉडल्स या बिल्ट-इन मॉडल का समर्थन करता है।
परीक्षण चलाएं
एक जांच का वर्णन करें और एजेंट उसे सत्यापित करने के लिए टूल्स चलाता है।
जांचें कि क्या उपयोगकर्ता B, उपयोगकर्ता A के ऑर्डर को पढ़ सकता है।
- read_file
openapi.yamlलोड हुआ - Shell
http_get https://staging/api/orders/1200 OK - Shell
http_get /orders/2 as user B403 Forbidden - grep
Authorization3 मिला - edit_file
fix.pyसेव किया गया
अगले चरण से पहले आपकी अनुमति की प्रतीक्षाअस्वीकार करेंस्वीकार करें
वॉकथ्रू
OWASP जोखिमों की जांच करें
एजेंट एंडपॉइंट्स की सूची बनाने के लिए OpenAPI फ़ाइल पढ़ता है और यह जानने के लिए कि कहाँ देखना है, आपके कोड में रो हैंडलर्स खोजने के लिए grep का उपयोग करता है। यह एक्सेस की जांच करता है। यह आपके स्टैगिंग URL पर अनुरोध भेजने के लिए http_get का उपयोग करता है। यह सत्यापित करता है कि लॉगिन टोकन सही तरीके से समाप्त हो रहे हैं और उपयोगकर्ता ID को बदलकर ब्रोकन ऑब्जेक्ट लेवल ऑथोराइजेशन की जांच करता है। पेज सोर्स में एपीआई कुंजी का खुला होना एक सामान्य जोखिम है जिसकी पहचान एजेंट समीक्षा के दौरान आपको करने में मदद करता है। यह लीक विवरणों के लिए त्रुटि लॉग पढ़ता है और प्रत्येक खोज के लिए गंभीरता स्तरों के साथ एक रिपोर्ट लिखता है। आप वर्किंग फ़ोल्डर में किसी भी बदलाव को स्वीकार करने से पहले Plan only मोड में योजना की समीक्षा करते हैं। यह प्रक्रिया आपके एप्लिकेशन प्रोग्रामिंग इंटरफ़ेस को सुरक्षित करने के लिए OWASP API Top 10 दिशानिर्देशों के अनुरूप है।
कुंजियों के लिए स्कैन करें
एजेंट आपके स्रोत फ़ाइलों में उम्मीदवार कुंजी पैटर्न खोजने के लिए grep का उपयोग करता है और Ask first मोड में उन्हें कॉन्फ़िगरेशन में ले जाने के लिए edit_file सुझाव देता है। आप बदलावों की समीक्षा करते हैं। यह आपके Windows पीसी पर स्थानीय रूप से काम करता है। OWASP API सुरक्षा Top 10 इन जांचों को निर्देशित करता है। ऐप्स में भेजी गई हार्डकोडेड API कुंजियां अक्सर सीक्रेट लीक करती हैं। लॉगिन और OTP पर कोई रेट लिमिट न होना समस्याएं पैदा करता है। एजेंट सभी खोजों को लॉग करता है। यह सीक्रेट्स को शेयर्ड नोट्स और रिपोर्ट्स से बाहर रखता है।
Orso Connect क्या नहीं करता
यह एक होस्टेड सर्विस या प्लगइन नहीं है। यह केवल आपके अपनी फ़ाइलों, पीसी और सर्वरों के लिए है जिनका उपयोग करने की आप अनुमति प्राप्त हैं। आप काम को उनके भीतर ही रखते हैं। एजेंट स्कोप को लागू नहीं करता। Shell, web और SSH फ़ोल्डर-बाउंड नहीं हैं। यह गारंटी नहीं है कि कोड, स्कैन या विश्लेषण सही हैं।
