フォルダを開く
プロジェクトディレクトリを選択します。
ワークフロー
Orso ConnectによるAPIセキュリティ評価
03
ステージングAPIを確認する
Orso Connectでプロジェクトフォルダを開き、エージェントにログインフローのレビューを依頼します。例えば、MFAが必要かどうかを確認し、ステージングサーバーに対してGETリクエストを送信します。エージェントはチャットウィンドウで結果を説明し、特定の文脈でAPIにMFAを必須としない理由を解説する場合があります。
設定ファイルを読む
エージェントが設定ファイルを読み取ります。
リクエストを送信
エージェントがテストリクエストを送信します。
結果を確認
ステータスコードの出力を確認します。
テストプランの例
プランファイルを読み取り、テストコマンドでチェックを一つずつ実行し、変更前にお伺いします。
- read_file
api-test-plan.txt18行 - grep
check 11件一致 - Shell
run testexit 0 - edit_file
report.md保存済み
次のステップに進む前に承認を待機中拒否承認
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200このプレーンテキストファイルは、ステージング環境の特定のチェックを定義しています。APIの動作を検証するために、各リクエストに対する期待される結果をリストアップしています。
JWTテストとスコープレビュー
トークンのレビュー
エージェントはread_fileを使用して、設定ファイル内のissuerとaudienceクレームを確認します。ステージングで期限切れのトークンを使用したテストリクエストは、403を返すべきです。これがJWTテストです。Ask firstモードでは、変更を受け入れる前に、エージェントからの詳細な出力を注意深く確認します。APIのIDORを処理するには、ユーザーAがユーザーBのレコードを読み取れないことを確認します。エージェントはテスト結果を記録し、APIセキュリティ評価レポートに使用します。プロセス中はテレメトリはPCから送信されず、シークレットはマスクされます。新しいバージョンが利用可能になると、Updateボタンでアップデートできます。フィードバックはアプリ内のボタンを使用して送信し、体験を共有します。
スコープを確認
エージェントはgrepを使用してルート定義をリストし、承認されたスコープと比較して、構造を明確かつ完全に検証します。Ask firstモードは一時停止します。サーバーからのレスポンスを検証するためにリクエストを送信します。サーバーから返されるステータスコードを注意深く確認します。個人データを公開している公開APIエンドポイントは、今すぐ注意深くレビューする必要があります。レートリミット設定の読み取りは、ロジックを確認するための質問です。データ内のリークがないよう、エラーメッセージを確認します。これはセキュリティテストにおけるAPIセキュリティ評価の一部です。
