Abrir pasta
Selecione o diretório do seu projeto.
Fluxos de trabalho
avaliação de segurança de API com o Orso Connect
03
Verifique sua API de staging
Abra a pasta do seu projeto no Orso Connect e peça ao agente para revisar o fluxo de login, por exemplo, se o MFA é obrigatório, e envie solicitações GET para seu servidor de staging. Você revisa os resultados na janela de chat, onde o agente pode explicar por que não exigir MFA para APIs em certos contextos.
Ler configuração
O agente lê o arquivo de configurações.
Enviar solicitação
O agente envia uma solicitação de teste.
Verificar resultado
Revise o código de status retornado.
Exemplo de plano de teste
Leia o arquivo de plano e execute as verificações uma por uma com um comando de teste, perguntando antes de fazer alterações.
- read_file
api-test-plan.txt18 linhas - grep
check 11 correspondência - Shell
run testexit 0 - edit_file
report.mdsalvo
aguardando sua aprovação antes da próxima etapaRejeitarAceitar
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200Este arquivo de texto simples define as verificações específicas para o ambiente de staging. Ele lista os resultados esperados para cada solicitação para verificar o comportamento da API.
testes de JWT e revisão de escopo
Revisar tokens
O agente usa read_file para confirmar as declarações de emissor e audiência na configuração, e uma solicitação de teste com um token expirado no staging deve retornar 403. Isso é teste de JWT. Você revisa a saída detalhada cuidadosamente no modo Ask first antes de aceitar qualquer alteração. Lidar com IDOR em APIs verificando se o usuário A não pode ler os registros do usuário B. O agente registra os resultados do teste para o seu relatório de avaliação de segurança de API. Nenhuma telemetria sai do seu PC durante o processo e os segredos são ocultados. As atualizações estão disponíveis por meio do botão Update quando novas versões estiverem prontas. O feedback é enviado usando o botão no aplicativo para compartilhar sua experiência.
Verificar escopo
O agente usa grep para listar as definições de rota para que você as compare com seu escopo aprovado e verifique a estrutura de forma clara e completa. O modo Ask first pausa. Ele envia solicitações para o servidor de staging para verificar as respostas. Você revisa cuidadosamente os códigos de status retornados pelo servidor. Endpoints de API pública expondo dados pessoais precisam de revisão cuidadosa agora. Ler as configurações de limite de taxa é uma questão para confirmar a lógica. Você revisa as mensagens de erro para vazamentos de dados. Isso faz parte da avaliação de segurança de API para testes de segurança.
