Penetratietesten artikel

Wat een API-penetratietest omvat

Een API-penetratietest onderzoekt geautoriseerde endpoints en rollen op zwakke punten in authenticatie, objecttoegang, gegevensverwerking en maatregelen tegen misbruik. Documentatie en representatieve testidentiteiten verbeteren de testdekking.

Beoordelingsoverzicht

Wat de beoordeling omvat

Inventarisatie van endpoints, versies, gebruikersrollen, schema's en testgegevens

Tests van authenticatie, tokens en autorisatie voor objecten en functies

Beoordeling van invoerverwerking, blootstelling van gegevens, limieten voor aanvraagfrequentie en resourcegebruik

Gecontroleerde validatie van realistische scenario's voor API-misbruik

Bewijsmateriaal uit verzoeken en antwoorden, getroffen rollen, herstelmaatregelen en hertests

Testdekking

Wat wordt onderzocht

De definitieve testdekking hangt af van de overeengekomen systemen, toegang, doelstellingen, uitsluitingen en veiligheidseisen.

Autorisatie voor objecten en functies

Authenticatie en tokenlevenscyclus

Invoervalidatie en injectie

Limieten voor aanvraagfrequentie en resourcegebruik

Blootstelling van gevoelige gegevens

Inventarisatie, versiebeheer en onveilige integraties

Referenties uit de sector

Waarop de testdekking wordt gebaseerd

OWASP API Security Top 10

Dekking op basis van de risico's van veelvoorkomende zwakke punten in API-autorisatie, gegevens, resources en inventarisatie.

OWASP Web Security Testing Guide

Ondersteunende testtechnieken voor authenticatie, sessies, invoerverwerking en transport.

NIST SP 800-115

Beoordelingsplanning, omgang met bewijsmateriaal, analyse en risicobeperking.

Deze referenties dienen als basis voor de beoordeling. Het testen biedt op zichzelf geen certificering of garantie op naleving.

Eindrapport

Wat het rapport bevat

Het rapport is bedoeld voor zowel besluitvormers als de teams die verantwoordelijk zijn voor het verhelpen van de bevindingen.

Overzicht van de dekking van endpoints en rollen

Gevalideerde bevindingen met bewijsmateriaal uit verzoeken

Analyse van misbruikscenario's en bedrijfsimpact

Technische richtlijnen voor herstelmaatregelen

Hertest ter verificatie

Bespreek de vereiste scope en het rapport.

DIGITPOL zal vóór het testen de testdoelen, beperkingen, benodigde bewijsstukken en rapportagevereisten bevestigen.

Vraag een beoordeling aan