يفحص تحقّق أمن API لدينا واجهة API ضابطاً بعد ضابط في مواجهة معيار مختار — OWASP API Security Top 10 ومعيار التحقّق من أمن التطبيقات من OWASP (ASVS) — ويُبلِغ أين تتوافق وأين لا تتوافق. فبينما يطارد اختبار الاختراق كل ما يمكنه استغلاله، يجيب التحقّق عن سؤال مختلف: لكل متطلّب في المعيار، هل الضابط موجود وصحيح وفعّال؟ والنتيجة مصفوفة توافق وتحليل فجوات يمكنكم تسليمهما لمدقّق أو عميل أو فريق هندستكم. نغطّي المخاطر الخاصة بـ API التي تسمّيها قائمة OWASP — التخويل على مستوى الكائن والوظائف، والمصادقة، واستهلاك الموارد، وتدفّقات العمل الحسّاسة، وSSRF، وسوء الإعداد، وجرد API — وضوابط ASVS الأوسع عند المستوى الذي تحتاجونه. وتُصنَّف كل فجوة بـ CVSS إلى جانب أثرها الفعلي وتأتي مع إصلاح ملموس.
ما الذي يشمله
التخويل المكسور على مستوى الكائن (BOLA): هل يستطيع المستخدم الوصول إلى كائنات مستخدم آخر
التخويل المكسور على مستوى خاصية الكائن: هل يستطيع المستخدم قراءة أو كتابة خصائص لا ينبغي له
التخويل المكسور على مستوى الوظائف: هل يستطيع المستخدم استدعاء وظائف أعلى من دوره
المصادقة المكسورة: إصدار الرمز، والتحقق منه، وانتهاؤه، وإدارة الجلسة
الاستهلاك غير المقيَّد للموارد: حدود المعدّل، وحدود الحمولة، وضوابط التكلفة
الوصول غير المقيَّد إلى تدفّقات العمل الحسّاسة: هل التدفّقات عالية القيمة محمية من الأتمتة
تزوير الطلبات من جهة الخادم (SSRF) في نقاط النهاية التي تجلب موارد بعيدة
سوء الإعداد الأمني عبر API وبوّابته وطبقة النقل فيه
الإدارة غير السليمة للجرد: نقاط النهاية غير الموثَّقة والمهمَلة والظلّية
الاستهلاك غير الآمن لواجهات API من أطراف ثالثة تستدعيها الخدمة نفسها
التحقّق من ضوابط ASVS عند المستوى المتَّفق عليه، مع مصفوفة توافق
كيف يعمل
- ملخّص تنفيذي مع نظرة عامة على التوافق لصنّاع القرار
- مصفوفة توافق OWASP API Security Top 10
- مصفوفة التحقّق من ضوابط ASVS عند المستوى المتَّفق عليه
- تقرير مفصّل، كل ضابط مع حكمه ودليله
- تحليل فجوات مع المتطلّب اللازم لسدّ كل فجوة
- الفجوات القابلة للاستغلال مصنَّفة بوصفها نتائج مع CVSS والأثر على العمل
- إرشاد للمعالجة محدَّد الأولويات
- إعادة التحقّق من الضوابط المتأثّرة بعد المعالجة
لماذا حافظ سيكيور
الأسئلة الشائعة
يفحص واجهة API ضابطاً بعد ضابط في مواجهة معيار مختار — OWASP API Security Top 10 وOWASP ASVS — ويُبلِغ لكل متطلّب ما إذا كان الضابط مستوفًى، أو مستوفًى جزئياً، أو غير مستوفٍ، مع الدليل. والمخرجات مصفوفة توافق وتحليل فجوات، إضافةً إلى نتائج مصنَّفة بـ CVSS لأي فجوة قابلة للاستغلال أيضاً.
يطارد اختبار الاختراق نقاط الضعف القابلة للاستغلال ويُثبِت الأثر؛ فيخبركم بما يمكن أن يفعله المهاجم. أما التحقّق فيفحص كل ضابط في معيار ويخبركم أين تتوافقون وأين تقصّرون — تغطية يمكنكم إثباتها. والاثنان يجيبان عن سؤالين مختلفين، وتستخدم الفرق غالباً التحقّق للضمان واختبار الاختراق للعمق.
يحدّد ASVS ثلاثة مستويات متصاعدة الصرامة. يناسب المستوى الأدنى تطبيقاً محدود التعرّض، ويناسب الأعلى تطبيقاً يتعامل مع بيانات حساسة أو يُرجَّح أن يكون هدفاً. نساعدكم على اختيار المستوى الذي يطابق تعرّض API وأي متطلّب تعاقدي أو تنظيمي تستوفونه.
مواصفات API (مجموعة OpenAPI أو Postman)، ووثائق الأدوار والأذونات، وحسابات اختبار لكل دور حتى نتحقّق من التخويل عبر الحدود. وللتحقّق الأشمل نستعين أيضاً بإعداد بوّابة API والخدمة. ويعتمد التحقّق على الوثائق، فكلما اكتملت كانت المصفوفة أدقّ.
التحقّق أدقّ ما يكون بأسلوب الصندوق الرمادي أو الأبيض، لأن تأكيد وجود الضابط وصحّته أكثر موثوقية بكثير مع المواصفات والأدوار والإعداد في المتناول منه بالسبر الأعمى. ويمكننا العمل بالصندوق الأسود عند الحاجة، لكن المصفوفة تقتصر حينها على ما يمكن ملاحظته من الخارج.
يُفضَّل وجود بيئة اختبار (staging) تطابق الإنتاج، حتى لا يخلّ التحقّق من ضوابط استهلاك الموارد وتدفّق العمل ببيانات أو حركة حيّة. وحيث نتحقّق في مواجهة الإنتاج، نتّفق أولاً على حدود غير مدمِّرة وحدود للمعدّل.
تحمل كل فجوة عدم توافقها مع المعيار، والفجوة القابلة للاستغلال أيضاً تُسجَّل إضافةً إلى ذلك بـ CVSS وبأثرها على العمل. بهذا تستطيعون سدّ فجوات التوافق من أجل التدقيق مع إصلاح القابلة للاستغلال بترتيب المخاطر الفعلية.
نعم. إعادة التحقّق من الضوابط المتأثّرة بعد المعالجة جزء من المهمة، بحيث تعكس مصفوفة التوافق التي تحتفظون بها الحالة الراهنة لا الحالة في الجولة الأولى.
خدمات ذات صلة
خدمات تكميلية قد تكون مفيدة لكم