API Güvenlik Testi
API güvenlik testi (pentest), yalnızca API'lerinize odaklanır: istekler bir web ya da mobil arayüzün sınırlarına bağlı kalmadan, doğrudan uç noktalara gönderilir. Test, farklı yetki seviyelerindeki kullanıcı profilleriyle ve ağırlıklı olarak manuel yöntemlerle yürütülür.
Hizmet ayrıntıları
API Güvenlik Testi: kapsam, yaklaşım ve teslim edilenler
REST ve GraphQL API'leriniz, arayüzden bağımsız olarak doğrudan uç noktalar üzerinden ve farklı yetki profilleriyle kimlik doğrulama, yetkilendirme ve veri açığa çıkması açısından test edilir.
Kapsam
- 01Kapsamda belirlenen REST ve GraphQL API uç noktaları
- 02Kimlik doğrulama, erişim belirteçleri ve oturum yönetimi
- 03Nesne ve işlev düzeyinde yetkilendirme kontrolü
- 04Yanıtlarda gereğinden fazla veri açığa çıkması
- 05Enjeksiyon ve girdi doğrulama zafiyetleri
- 06İş akışlarının API üzerinden atlatılması
- 07İstek sınırlaması ve kaynak tüketimi kontrolleri
Yaklaşım
Test edilecek API’ler, ortamlar ve kullanıcı rolleri kapsam aşamasında netleştirilir. Varsa API belgeleriniz (örneğin OpenAPI tanımı ya da GraphQL şeması) ve her kullanıcı profili için birer test hesabı sizden istenir.
Yalnızca API
Bu test, arayüzü değil API’nin kendisini ele alır: uç noktalar, istekler ve yanıtlar doğrudan incelenir. Web uygulamanızı ve kullandığı API’leri birlikte test ettirmek istiyorsanız Web Uygulama Sızma Testi daha uygun bir seçimdir.
Yetkilendirme ve veri açığa çıkması
Farklı yetki seviyelerindeki hesaplarla, bir kullanıcının başka bir kullanıcıya ait kayıtlara ya da yetkisi olmayan işlevlere erişip erişemediği sınanır. Yanıtların, istemcinin ihtiyaç duyduğundan fazla veri döndürüp döndürmediği ayrıca kontrol edilir.
Kontrollü çalışma
Mümkün olduğunda testler, üretime eş bir test ortamında yürütülür. Otomatik araçlar yoğun istek ürettiği için hariç tutulacak uç noktalar ve istek yoğunluğu önceden belirlenir.
Referanslar
Her bulgu, API güvenliği için yaygın olarak başvurulan OWASP API Security Top 10 listesindeki ilgili kategoriyle (uygun olduğunda) ve CWE numarasıyla eşleştirilir; geliştiricilerinizin sorunu yeniden üretebilmesi için adımlar ve örnek istekler eklenir.
Teslim edilenler
- API ve uç nokta bazında bulgu raporu
- İstek ve yanıt örnekleriyle istismar kanıtları
- Geliştirici ekipler için düzeltme önerileri
- Yeniden test sonrası doğrulama raporu
Kapsamı ve zamanlamayı ilk görüşmede birlikte netleştiriyoruz.
Güvenlik Testi Talep EdinDiğer hizmetler
Zafiyet taraması
Bir sonraki adım
Kapsamı Birlikte Belirleyelim.
İlk görüşmede varlıklarınızı, zaman pencerelerini ve çalışma kurallarını birlikte netleştiriyoruz. Hiçbir tarama ya da test, yazılı onayınız olmadan başlamaz.