Top 10 OWASP des risques de sécurité des API
Couverture fondée sur les risques liés aux faiblesses courantes des API en matière d’autorisation, de données, de ressources et d’inventaire.
Tests d’intrusion
Tests d’intrusion API
Une évaluation structurée des points de terminaison API, des identités, des autorisations au niveau de chaque objet, des flux de données et des contrôles contre les usages abusifs, à l’aide de rôles représentatifs et de données de test autorisées.
Périmètre de l’évaluation
Éléments testés
La couverture définitive des tests est convenue lors de la définition du périmètre et se limite aux systèmes pour lesquels une autorisation écrite a été fournie.
Autorisation d’accès aux objets et aux fonctions
Authentification et cycle de vie des jetons
Validation des entrées et injection
Limites de débit et consommation de ressources
Exposition de données sensibles
Inventaire, gestion des versions et intégrations non sécurisées
Déroulement de la mission
Un processus maîtrisé, de l’autorisation au test de vérification.
01
Périmètre et autorisation
Définissez les objectifs, les systèmes approuvés, les contraintes, les créneaux de test, les contacts et les règles d’engagement.
02
Découverte
Définissez la surface d’attaque autorisée, l’architecture, les rôles utilisateurs, les actifs et les critères d’évaluation applicables.
03
Tests maîtrisés
Évaluez le périmètre approuvé à l’aide de méthodes manuelles et techniques adaptées à l’environnement.
04
Validation
Confirmez les constats en toute sécurité, éliminez les faux positifs et établissez les impacts concrets sur les plans technique et métier.
05
Production de rapports
Recevez des constats étayés par des preuves, une évaluation des risques, une synthèse destinée à la direction et des priorités de remédiation.
06
Examen des mesures de remédiation
Examinez les actions correctives proposées et clarifiez les priorités de mise en œuvre avec l’équipe d’évaluation.
07
Nouveau test
Vérifiez les corrections convenues et consignez, pour chaque constat testé, si le problème a été résolu, atténué ou reste ouvert.
Références de l’évaluation
Normes et recommandations sectorielles
Guide OWASP des tests de sécurité web
Techniques de test complémentaires pour l’authentification, les sessions, le traitement des entrées et le transport des données.
NIST SP 800-115
Planification de l’évaluation, gestion des éléments probants, analyse et atténuation des risques.
Les normes guident la définition du périmètre et de la couverture des tests. Une évaluation ne constitue pas en elle-même une certification et ne garantit pas la conformité.
Production de rapports
Ce que vous recevez
Synthèse de la couverture des points de terminaison et des rôles
Constats validés avec requêtes à l’appui
Analyse des scénarios d’abus et de leurs conséquences sur l’activité
Recommandations techniques de remédiation
Test de vérification après correction
Définissez un périmètre de test adapté.
Discutez des systèmes, des objectifs, du niveau d’accès et des éléments probants requis avec DIGITPOL.