Tests d’intrusion article

Ce que comprend un test d’intrusion d’API

Un test d’intrusion API examine les points de terminaison et les rôles autorisés afin de détecter les faiblesses de l’authentification, de l’accès aux objets, du traitement des données et des contrôles contre les usages abusifs. La documentation et des identités de test représentatives améliorent la couverture des tests.

Vue d’ensemble de l’évaluation

Contenu de l’évaluation

Inventaire des points de terminaison, versions, rôles utilisateurs, schémas et données de test

Tests de l’authentification, des jetons et des autorisations relatives aux objets et aux fonctions

Examen du traitement des entrées, de l’exposition des données, des limites de débit et de la consommation de ressources

Validation maîtrisée de scénarios réalistes d’utilisation abusive des API

Éléments probants issus des requêtes et des réponses, rôles concernés, mesures de remédiation et nouveaux tests

Couverture des tests

Éléments examinés

La couverture définitive dépend des systèmes, des accès, des objectifs, des exclusions et des exigences de sécurité convenus.

Autorisation d’accès aux objets et aux fonctions

Authentification et cycle de vie des jetons

Validation des entrées et injection

Limites de débit et consommation de ressources

Exposition de données sensibles

Inventaire, gestion des versions et intégrations non sécurisées

Références sectorielles

Éléments guidant la couverture des tests

Top 10 OWASP des risques de sécurité des API

Couverture fondée sur les risques liés aux faiblesses courantes des API en matière d’autorisation, de données, de ressources et d’inventaire.

Guide OWASP des tests de sécurité web

Techniques de test complémentaires pour l’authentification, les sessions, le traitement des entrées et le transport des données.

NIST SP 800-115

Planification de l’évaluation, gestion des éléments probants, analyse et atténuation des risques.

Ces référentiels orientent l’évaluation. Les tests ne constituent pas en eux-mêmes une certification et ne garantissent pas la conformité.

Rapport final

Contenu du rapport

Le rapport est conçu aussi bien pour les décideurs que pour les équipes chargées de la remédiation.

Synthèse de la couverture des points de terminaison et des rôles

Constats validés avec requêtes à l’appui

Analyse des scénarios d’abus et de leurs conséquences sur l’activité

Recommandations techniques de remédiation

Test de vérification après correction

Discuter du périmètre et du rapport requis.

DIGITPOL confirmera les cibles, les contraintes, les besoins en matière de preuves et les exigences relatives aux rapports avant les tests.

Demander une évaluation