Quy trình

Đánh giá bảo mật API với Orso Connect

Kiểm tra môi trường Staging

Kiểm tra API Staging của bạn

Mở thư mục dự án trong Orso Connect và yêu cầu agent xem xét luồng đăng nhập, ví dụ như liệu MFA có bắt buộc không, đồng thời gửi các yêu cầu GET đến máy chủ Staging. Bạn xem kết quả trong cửa sổ chat, nơi agent có thể giải thích lý do không yêu cầu MFA cho API trong một số ngữ cảnh nhất định.

Mở thư mục

Chọn thư mục dự án của bạn.

Đọc cấu hình

Agent đọc tệp cấu hình.

Gửi yêu cầu

Agent gửi một yêu cầu kiểm thử.

Kiểm tra kết quả

Xem mã trạng thái đầu ra.

Ví dụ về kế hoạch kiểm thử

Orso Connect · Chạy kế hoạch kiểm thử● Ask first

Đọc tệp kế hoạch và chạy các kiểm tra từng bước bằng lệnh kiểm thử, hỏi trước khi thực hiện thay đổi.

read_fileapi-test-plan.txt18 dòng
grepcheck 11 khớp
Shellrun testexit 0
edit_filereport.mdđã lưu

chờ sự cho phép của bạn trước khi thực hiện bước tiếp theoTừ chốiChấp nhận

api-test-plan.txt

# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200

Tệp văn bản thuần này xác định các kiểm tra cụ thể cho môi trường Staging. Nó liệt kê các kết quả mong đợi cho mỗi yêu cầu để xác minh hành vi của API.

Kiểm thử JWT và xem xét phạm vi

Xem lại mã thông báo

Agent sử dụng read_file để xác nhận các tuyên bố issuer và audience trong cấu hình. Một yêu cầu kiểm thử với mã thông báo hết hạn trên Staging sẽ trả về 403. Đây là kiểm thử JWT. Bạn xem xét kỹ lưỡng đầu ra chi tiết ở chế độ Ask first trước khi chấp nhận bất kỳ thay đổi nào. Xử lý IDOR trong API bằng cách kiểm tra xem người dùng A có thể đọc các bản ghi của người dùng B hay không. Agent ghi lại kết quả kiểm thử cho báo cáo đánh giá bảo mật API của bạn. Không có dữ liệu telemetry nào rời khỏi PC của bạn trong quá trình này và các bí mật được che đi. Các bản cập nhật có sẵn qua nút Update khi phiên bản mới được phát hành. Phản hồi được gửi bằng nút trong ứng dụng để chia sẻ trải nghiệm của bạn.

Kiểm tra phạm vi

Agent sử dụng grep để liệt kê các định nghĩa tuyến đường (route) để bạn so sánh với phạm vi được phê duyệt và xác minh cấu trúc một cách rõ ràng, đầy đủ. Chế độ Ask first tạm dừng. Agent gửi các yêu cầu đến máy chủ Staging để xác minh các phản hồi. Bạn xem xét cẩn thận các mã trạng thái do máy chủ trả về. Các điểm cuối API công khai hiển thị dữ liệu cá nhân cần được xem xét kỹ lưỡng ngay bây giờ. Việc đọc cài đặt giới hạn tốc độ (rate-limit) là một bước để xác nhận logic. Bạn xem xét các thông báo lỗi để tìm bất kỳ rò rỉ dữ liệu nào. Đây là một phần của đánh giá bảo mật API cho công tác kiểm thử bảo mật.

Orso Connect cho Windows

Bắt đầu kiểm thử bảo mật của bạn

Tải xuống Orso Connect ↗