Uçtan Uca API Güvenliği

API güvenlik taraması, API endpoint'lerinizi (REST, GraphQL vb.) kimlik doğrulama hataları, injection'lar veya yanlış yapılandırmalar gibi güvenlik açıkları için test eder. API'ler temel verileri ve işlevleri açığa çıkarır ve saldırganlar genellikle doğrudan onları hedefler - özellikle bir kullanıcı arayüzleri yoksa. Tarama, sessiz güvenlik açıklarını (örneğin bir endpoint aracılığıyla kullanıcı verilerine erişen herkes gibi) istismar edilmeden önce yakalamaya yardımcı olur. Uygulamalarınızı destekleyen arka uç hizmetlerinin tasarımdan itibaren güvenli olmasını sağlar.

Aikido her iki yöntemi de destekler. Bir OpenAPI spesifikasyonu sağlarsanız, endpoint'leri taramak için bunu kullanır. Aksi takdirde, Aikido trafik analizi veya tarama yoluyla API'leri otomatik olarak keşfedebilir. Bu, belgelenmemiş veya gölge endpoint'leri bile tespit etmeye yardımcı olur. Tarama, dinamik keşif veya önceden tanımlanmış spesifikasyonlarla çalışır.

Aikido, kimlik doğrulama ve yetkilendirme sorunlarını, injection'ları (SQL, NoSQL, komut), IDOR'ları, eksik başlıkları, güvensiz CORS yapılandırmalarını, zayıf doğrulamayı ve daha fazlasını tespit eder. OWASP API Top 10 risklerine dayanarak, özel olarak hazırlanmış payload'lar göndererek ve girdileri fuzzing yaparak API'lerinizin nasıl yanıt verdiğini görmek için saldırıları taklit eder.

Evet. Güvenli endpoint'ler için bir token, API anahtarı veya oturum açma kimlik bilgileri sağlamanız gerekecektir. Aikido, bunları doğrulanmış bir kullanıcı olarak hareket etmek ve daha derin API yollarını test etmek için kullanır. Token'lar, kurulumunuza bağlı olarak statik olabilir veya bir auth flow aracılığıyla alınabilir.

Tarama süresi API boyutuna göre değişir. Küçük taramalar dakikalar içinde tamamlanırken, büyük taramalar daha uzun sürebilir. Birçok ekip API taramalarını gecelik veya sürüm öncesi çalıştırırken, daha hafif kontroller CI'da çalıştırılabilir.

Postman manueldir ve güvenlik odaklı değildir. ZAP/Burp güçlüdür ancak uzman kullanımı gerektirir. Aikido, minimum kurulumla API saldırılarını, fuzzing'i ve taramayı otomatikleştirir. CI ile entegre olur, bulguları tek bir gösterge panosunda sunar ve çalışması için uygulamalı pen tester'lara ihtiyaç duymaz.

Aikido, REST ve GraphQL API'lerini destekler. WebSockets henüz tam olarak desteklenmiyor - Aikido şu anda HTTP tabanlı API'lere odaklanıyor. gRPC gibi HTTP dışı protokoller için test etmek üzere ayrı araçlara ihtiyacınız olacaktır.

Manuel test değerli ancak seyrek yapılır. Aikido, sürekli, otomatik test sağlar - pen test döngüleri arasındaki sorunları yakalar. Yaygın güvenlik açıklarını hızlı ve tutarlı bir şekilde bulur, insan test uzmanlarının daha derin mantık hatalarına odaklanmasını sağlar. Hız, kapsama ve tekrarlanabilirlik ile manuel testleri tamamlar.

Evet. Aikido, rate limit'leri algılar ve buna göre ayarlar. 429 yanıtı gördüğünde istekleri yavaşlatır ve maksimum eşzamanlılık için yapılandırılabilir. Sunucunun aşırı yüklenmesini ve hizmet çökmelerini önler.