اعتبارسنجی امنیت API

یک API را کنترل‌به‌کنترل در برابر یک استاندارد برگزیده می‌سنجد؛ فهرست OWASP API Security Top 10 و ASVS، و برای هر الزام گزارش می‌دهد که کنترل برآورده شده، تا اندازه‌ای برآورده شده یا برآورده نشده، همراه با شواهد. خروجی یک ماتریس انطباق و یک تحلیل شکاف است، به‌علاوه‌ی یافته‌های رتبه‌بندی‌شده با CVSS برای هر شکافی که قابل‌بهره‌برداری هم هست.

یک تست نفوذ دنبال ضعف‌های قابل‌بهره‌برداری می‌گردد و اثر را اثبات می‌کند؛ به شما می‌گوید مهاجم چه می‌توانست بکند. اعتبارسنجی هر کنترلِ یک استاندارد را می‌سنجد و می‌گوید کجا منطبق‌اید و کجا کوتاه می‌آیید؛ پوششی که می‌توانید اثباتش کنید. این دو به پرسش‌های متفاوتی پاسخ می‌دهند و تیم‌ها اغلب اعتبارسنجی را برای اطمینان و تست نفوذ را برای ژرفا به کار می‌برند.

ASVS سه سطحِ با سخت‌گیری فزاینده تعریف می‌کند. سطح پایین‌تر برای اپلیکیشنی با مواجهه‌ی محدود مناسب است و سطح بالاتر برای اپلیکیشنی که داده‌ی حساس را مدیریت می‌کند یا هدفی محتمل است. کمک می‌کنیم سطحی را برگزینید که با مواجهه‌ی API و هر الزام قراردادی یا مقرراتی که برآورده می‌کنید جور است.

مشخصات API (یک مجموعه‌ی OpenAPI یا Postman)، مستندات نقش‌ها و مجوزها، و حساب‌های آزمایشی برای هر نقش تا بتوانیم مجوزدهی را در میان مرزها اعتبارسنجی کنیم. برای کامل‌ترین اعتبارسنجی، از پیکربندی gateway و سرویس هم بهره می‌گیریم. اعتبارسنجی به مستندات تکیه دارد، پس هرچه کامل‌تر باشد، ماتریس دقیق‌تر است.

اعتبارسنجی در حالت grey-box یا white-box دقیق‌ترین است، چون تأیید حضور و درستیِ یک کنترل با در دست داشتن مشخصات، نقش‌ها و پیکربندی بسیار مطمئن‌تر از کاوش کورکورانه است. در جایی که لازم باشد می‌توانیم black-box کار کنیم، اما ماتریس آنگاه به آنچه از بیرون قابل‌مشاهده است محدود می‌شود.

یک محیط staging که آینه‌ی production باشد ترجیح دارد، تا اعتبارسنجی کنترل‌های مصرف منابع و جریان کسب‌وکار نتواند داده یا ترافیک زنده را برهم بزند. آنجا که روی production اعتبارسنجی کنیم، نخست بر مرزهای غیرمخرب و محدودیت‌های نرخ توافق می‌کنیم.

هر شکاف عدم‌انطباقش با استاندارد را حمل می‌کند، و شکافی که قابل‌بهره‌برداری هم هست افزون بر آن با CVSS و اثر کسب‌وکارش نمره می‌گیرد. این‌گونه می‌توانید شکاف‌های انطباق را برای حسابرسی ببندید و شکاف‌های قابل‌بهره‌برداری را به ترتیب ریسک واقعی رفع کنید.

بله. اعتبارسنجی مجدد کنترل‌های متأثر پس از رفع بخشی از کار است، تا ماتریس انطباقی که نگه می‌دارید وضعیت کنونی را بازتاب دهد نه وضعیت گذرِ نخست را.