REST API Security Assessment

يقيّم واجهات API من نوع REST بحثاً عن ثغرات أمنية — التخويل المكسور على مستوى الكائن والوظائف، والمصادقة المكسورة، والإفراط في كشف البيانات، والاستهلاك غير المقيَّد للموارد، وSSRF، والحقن، وسوء الإعداد — في مواجهة OWASP API Security Top 10، مع إثبات كل نتيجة وتصنيفها.

BOLA (التخويل المكسور على مستوى الكائن) هو أن تُرجِع API كائناً أو تغيّره بناءً على المعرّف في الطلب فقط، دون التحقّق من أن المُستدعي يملكه — فتغيير معرّف يصل إلى بيانات مستخدم آخر. ويتصدّر قائمة OWASP API لأنه شائع وسهل الاستغلال ويكشف البيانات مباشرةً؛ ونادراً ما تلتقطه الماسحات لأنه يتطلّب فهماً لمن ينبغي أن يصل إلى ماذا، ولذا نختبره بحسابات عبر الأدوار.

عنوان API الأساسي وبيئته، ووثائقه أو مخطّط OpenAPI إن توفّر، وحسابات اختبار لكل دور (مستخدمان على الأقل لكل دور حتى نختبر الوصول بين المستخدمين). وبيئة الاختبار (staging) التي تطابق الإنتاج مثالية. ونتّفق على النطاق وعلى أي نقاط نهاية يجب تجنّبها قبل أن نبدأ.

الصندوق الأسود يعني أننا نختبر دون معرفة داخلية، كمهاجم خارجي؛ والأبيض يعني أن لدينا أيضاً الوثائق والمخطّط وأحياناً المصدر؛ والرمادي يقع بينهما، وعادةً ببيانات اعتماد ووثائق API. ولواجهات API نوصي عادةً بالرمادي: فمع الأدوار والوثائق نغطّي عيوب التحكم في الوصول ومنطق العمل بعمق أكبر بكثير وفي وقت أقل من اختبار أسود أعمى.

تحصل كل نتيجة على درجة CVSS كأساس مشترك، تُعدَّل بالأثر الفعلي على العمل في سياقكم — أي بيانات أو عملية تكشف، وما مدى سهولة الوصول إليها، وماذا يكسب المهاجم. لهذا قد تأخذ مشكلتان بالدرجة نفسها من CVSS أولويتين مختلفتين.

نفضّل بيئة اختبار (staging) تطابق الإنتاج. وعندما يتعيّن إجراء الاختبار على بيئة الإنتاج، نتّفق على الحدود مسبقاً — لا إجراءات مدمِّرة، وحذر في الاختبارات ذات الحجم والمعدّل العاليين، وجهة اتصال من طرفكم للإيقاف الفوري إذا بدا شيء خاطئاً.

نعم. بعد المعالجة، نعيد اختبار النتائج المُبلَّغ عنها للتأكّد من ثبات كل إصلاح وأنه لم يُدخِل مشكلة جديدة، ونحدّث حالتها في التقرير.

يمارس اختبار الويب التطبيق المواجِه للمتصفّح؛ أما اختبار API فيستهدف الواجهة مباشرةً دون واجهة المستخدم. وتكشف واجهات API معرّفات الكائنات والأدوار والعمليات بصورة أكثر مباشرةً، فتغلب عيوب التخويل ومنطق العمل، ويكون المعيار المرجعي هو OWASP API Security Top 10 بدلاً من WSTG المتمحور حول الويب.

يعتمد على عدد نقاط النهاية، وعدد الأدوار، وتعقيد منطق العمل؛ وعادةً يستغرق التقييم المعتاد نحو أسبوعين إلى أربعة أسابيع. ونقدّم تقديراً محدَّداً بعد تحديد النطاق، حالما يُعرَف عدد نقاط النهاية والأدوار.