Orso Connect
เวิร์กโฟลว์

การประเมินความปลอดภัย API ด้วย Orso Connect

03
ตรวจสอบระบบ Staging

ตรวจสอบ API Staging ของคุณ

เปิดโฟลเดอร์โปรเจกต์ของคุณใน Orso Connect และสั่งให้เอเจนต์ทบทวนกระบวนการเข้าสู่ระบบ เช่น ตรวจสอบว่าจำเป็นต้องใช้ MFA หรือไม่ และส่งคำขอ GET ไปยังเซิร์ฟเวอร์ staging ของคุณ คุณทบทวนผลลัพธ์ในหน้าต่างแชท โดยเอเจนต์อาจอธิบายว่าทำไมจึงไม่จำเป็นต้องใช้ MFA สำหรับ API ในบางบริบท

01

เปิดโฟลเดอร์

เลือกไดเรกทอรีโปรเจกต์ของคุณ

02

อ่านค่า config

เอเจนต์อ่านไฟล์ตั้งค่า

03

ส่งคำขอ

เอเจนต์ส่งคำขอทดสอบ

04

ตรวจสอบผลลัพธ์

ทบทวนรหัสสถานะที่แสดงผล

แผนการทดสอบตัวอย่าง

api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200

ไฟล์ข้อความธรรมดาไฟล์นี้กำหนดการตรวจสอบเฉพาะสำหรับสภาพแวดล้อม staging โดยระบุผลลัพธ์ที่คาดหวังสำหรับแต่ละคำขอเพื่อยืนยันพฤติกรรมของ API

การทดสอบ JWT และการทบทวนขอบเขต

ทบทวนโทเค็น

เอเจนต์ใช้ read_file เพื่อยืนยัน claims ของ issuer และ audience ในไฟล์ config และคำขอทดสอบด้วยโทเค็นที่หมดอายุบน staging ควรส่งกลับรหัส 403 นี่คือกระบวนการทดสอบ JWT คุณทบทวนผลลัพธ์โดยละเอียดอย่างรอบคอบในโหมด Ask first ก่อนยอมรับการเปลี่ยนแปลงใดๆ จัดการปัญหา IDOR ใน API โดยตรวจสอบว่าผู้ใช้ A ไม่สามารถอ่านข้อมูลของผู้ใช้ B ได้ เอเจนต์บันทึกผลการทดสอบสำหรับรายงานการประเมินความปลอดภัย API ของคุณ ไม่มีข้อมูล telemetry ออกไปจากพีซีของคุณระหว่างกระบวนการนี้ และข้อมูลลับจะถูกซ่อนการอัปเดตมีให้ผ่านปุ่ม Update เมื่อมีเวอร์ชันใหม่พร้อมแล้ว ส่งคำติชมโดยใช้ปุ่มในแอปเพื่อแบ่งปันประสบการณ์ของคุณ

ตรวจสอบขอบเขต

เอเจนต์ใช้ grep เพื่อแสดงรายการคำจำกัดความของเส้นทาง เพื่อให้คุณเปรียบเทียบกับขอบเขตที่อนุมัติและยืนยันโครงสร้างอย่างชัดเจนและสมบูรณ์ โหมด Ask first จะหยุดชั่วคราว มันส่งคำขอไปยังเซิร์ฟเวอร์ staging เพื่อยืนยันการตอบกลับ คุณทบทวนรหัสสถานะที่ส่งกลับโดยเซิร์ฟเวอร์อย่างรอบคอบ จุดสิ้นสุด API สาธารณะที่เปิดรับข้อมูลส่วนบุคคลจำเป็นต้องได้รับการทบทวนอย่างละเอียดในขณะนี้ การอ่านการตั้งค่าอัตราจำกัดเป็นคำถามเพื่อยืนยันตรรกะ คุณทบทวนข้อความแสดงข้อผิดพลาดเพื่อหาการรั่วไหลของข้อมูลใดๆ นี่คือส่วนหนึ่งของการประเมินความปลอดภัย API สำหรับการทดสอบความปลอดภัย

Orso Connect สำหรับ Windows

เริ่มการทดสอบความปลอดภัยของคุณ

ดาวน์โหลด Orso Connect ↗