폴더 열기
프로젝트 디렉토리를 선택하세요.
워크플로우
Orso Connect로 API 보안 평가하기
03
스테이징 API 확인하기
Orso Connect에서 프로젝트 폴더를 열고 에이전트에게 로그인 흐름(예: MFA 필요 여부)을 검토하라고 지시하세요. 그런 다음 스테이징 서버로 GET 요청을 보내세요. 에이전트는 채팅 창에서 결과를 설명하며, 특정 컨텍스트에서 API에 MFA가 필요하지 않은 이유를 설명할 수 있습니다.
설정 읽기
에이전트가 설정 파일을 읽습니다.
요청 보내기
에이전트가 테스트 요청을 보냅니다.
결과 확인
상태 코드 출력을 검토하세요.
예시 테스트 계획
계획 파일을 읽고 테스트 명령어로 하나씩 검사를 실행하세요. 변경 전에는 물어보세요.
- read_file
api-test-plan.txt18줄 - grep
check 11개 일치 - Shell
run testexit 0 - edit_file
report.md저장됨
다음 단계를 진행하기 전에 사용자의 승인을 기다리는 중거부수락
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200이 일반 텍스트 파일은 스테이징 환경에 대한 구체적인 검사를 정의합니다. API 동작을 검증하기 위해 각 요청에 대한 예상 결과를 나열합니다.
JWT 테스트 및 범위 검토
토큰 검토
에이전트는 read_file을 사용하여 설정 파일의 issuer와 audience 클레임을 확인합니다. 스테이징에서 만료된 토큰으로 테스트 요청을 보내면 403이 반환되어야 합니다. 이것이 JWT 테스트입니다. Ask first 모드에서 변경 사항을 수락하기 전에 자세한 출력을 주의 깊게 검토하세요. IDOR를 처리하려면 사용자 A가 사용자 B의 레코드를 읽을 수 없는지 확인하세요. 에이전트는 API 보안 평가 보고서를 위해 테스트 결과를 기록합니다. 프로세스 동안 텔레메트리는 PC를 떠나지 않으며 비밀 정보는 마스킹됩니다. 새 버전이 준비되면 업데이트 버튼을 통해 업데이트할 수 있습니다. 피드백은 앱 내 버튼을 사용하여 공유합니다.
범위 확인
에이전트는 grep을 사용하여 라우트 정의를 나열하므로 승인된 범위와 비교하고 구조를 명확하고 완전히 검증할 수 있습니다. Ask first 모드가 일시 중단됩니다. 스테이징 서버로 요청을 보내 응답을 검증합니다. 서버에서 반환된 상태 코드를 주의 깊게 검토하세요. 개인 데이터를 노출하는 공개 API 엔드포인트는 지금 주의 깊게 검토해야 합니다. 속도 제한 설정 읽기는 로직을 확인하기 위한 질문입니다. 데이터 누출이 있는지 오류 메시지를 검토하세요. 이것이 보안 테스트를 위한 API 보안 평가의 일부입니다.
