Orso Connect
वर्कफ़्लो

Orso Connect के साथ API सुरक्षा मूल्यांकन

03
स्टेजिंग जांच

अपने स्टेजिंग API की जांच करें

अपने प्रोजेक्ट फ़ोल्डर को Orso Connect में खोलें और एजेंट से लॉगिन फ़्लो की समीक्षा करने के लिए कहें, उदाहरण के लिए, क्या MFA आवश्यक है, और अपने स्टेजिंग सर्वर पर GET अनुरोध भेजें। आप चैट विंडो में परिणामों की समीक्षा करते हैं, जहां एजेंट समझा सकता है कि कुछ संदर्भों में APIs के लिए MFA की आवश्यकता क्यों नहीं है।

01

फ़ोल्डर खोलें

अपने प्रोजेक्ट निर्देशिका का चयन करें।

02

कॉन्फ़िग पढ़ें

एजेंट सेटिंग्स फ़ाइल पढ़ता है।

03

अनुरोध भेजें

एजेंट एक टेस्ट अनुरोध भेजता है।

04

परिणाम जांचें

स्टेटस कोड आउटपुट की समीक्षा करें।

उदाहरण टेस्ट प्लान

api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200

यह सादा पाठ फ़ाइल स्टेजिंग वातावरण के लिए विशिष्ट जांचों को परिभाषित करती है। यह प्रत्येक अनुरोध के लिए अपेक्षित परिणामों की सूची बनाती है ताकि API व्यवहार की पुष्टि की जा सके।

JWT टेस्टिंग और स्कोप समीक्षा

टोकन की समीक्षा करें

एजेंट read_file का उपयोग कॉन्फ़िग में जारीकर्ता और दर्शक दावों की पुष्टि करने के लिए करता है, और स्टेजिंग पर एक समाप्त टोकन के साथ एक टेस्ट अनुरोध 403 लौटना चाहिए। यह jwt टेस्टिंग है। Ask first मोड में आप किसी भी बदलाव को स्वी करने से पहले विस्तृत आउटपुट को सावधानी से देखते हैं। apis में idor को हैंडल करने के लिए यह जांचें कि उपयोगकर्ता A उपयोगकर्ता B के रिकॉर्ड नहीं पढ़ सकता। एजेंट आपके api security assessment रिपोर्ट के लिए टेस्ट परिणाम रिकॉर्ड करता है। प्रक्रिया के दौरान कोई टेलीमेट्री आपके पीसी से बाहर नहीं जाती और सीक्रेट्स को रेडैक्ट कर दिया जाता है। नई वर्शन तैयार होने पर अपडेट बटन के माध्यम से अपडेट उपलब्ध हैं। फ़ीडबैक इन-ऐप बटन का उपयोग करके भेजा जाता है ताकि आपका अनुभव साझा किया जा सके।

स्कोप जांचें

एजेंट grep का उपयोग रूट परिभाषाओं की सूची बनाने के लिए करता है ताकि आप उन्हें अपने अनुमोदित स्कोप से तुलना कर सकें और संरचना को स्पष्ट और पूर्ण रूप से सत्यापित कर सकें। Ask first मोड रुक जाता है। यह स्टेजिंग सर्वर पर अनुरोध भेजता है ताकि प्रतिक्रियाओं की पुष्टि की जा सके। आप सर्वर द्वारा लौटाए गए स्टेटस कोड को सावधानी से देखते हैं। पर्सनल डेटा एक्सपोज़ करने वाले पब्लिक api एंडपॉइंट्स की अब सावधानी से समीक्षा की जानी चाहिए। रेट-लिमिट सेटिंग्स पढ़ना लॉजिक की पुष्टि के लिए एक प्रश्न है। आप डेटा में किसी भी लीक के लिए एरर मेसेज की समीक्षा करते हैं। यह सुरक्षा टेस्टिंग के लिए api security assessment का हिस्सा है।

Windows के लिए Orso Connect

अपनी सुरक्षा टेस्टिंग शुरू करें

Orso Connect डाउनलोड करें ↗