OWASP API Security Top 10
Dekking op basis van de risico's van veelvoorkomende zwakke punten in API-autorisatie, gegevens, resources en inventarisatie.
Penetratietesten
API-penetratests
Een gestructureerde beoordeling van API-endpoints, identiteiten, toegangsrechten voor afzonderlijke objecten, gegevensstromen en maatregelen tegen misbruik, met gebruik van representatieve rollen en geautoriseerde testgegevens.
Scope van de beoordeling
Wat wordt getest
De definitieve testdekking wordt overeengekomen bij het vaststellen van de scope en is beperkt tot systemen waarvoor schriftelijke toestemming is verleend.
Autorisatie voor objecten en functies
Authenticatie en tokenlevenscyclus
Invoervalidatie en injectie
Limieten voor aanvraagfrequentie en resourcegebruik
Blootstelling van gevoelige gegevens
Inventarisatie, versiebeheer en onveilige integraties
Opdrachtverloop
Gecontroleerd van toestemming tot hertest.
01
Scope & autorisatie
Leg doelstellingen, goedgekeurde systemen, beperkingen, testvensters, contactpersonen en uitvoeringsafspraken vast.
02
Verkenning
Stel het aanvalsoppervlak waarvoor toestemming is verleend, de architectuur, gebruikersrollen, bedrijfsmiddelen en toepasselijke beoordelingscriteria vast.
03
Gecontroleerd testen
Beoordeel de goedgekeurde scope met handmatige en technische methoden die passen bij de omgeving.
04
Validatie
Bevestig bevindingen op veilige wijze, sluit foutpositieven uit en stel de daadwerkelijke technische en bedrijfsmatige impact vast.
05
Rapportage
Ontvang bevindingen onderbouwd met bewijs, risicobeoordelingen, een managementsamenvatting en herstelprioriteiten.
06
Beoordeling van herstelmaatregelen
Bespreek voorgestelde corrigerende maatregelen en verduidelijk de implementatieprioriteiten met het beoordelingsteam.
07
Hertest
Verifieer overeengekomen herstelmaatregelen en leg voor elke geteste bevinding vast of deze is opgelost, verminderd of nog openstaat.
Referenties voor de beoordeling
Sectornormen en richtlijnen
OWASP Web Security Testing Guide
Ondersteunende testtechnieken voor authenticatie, sessies, invoerverwerking en transport.
NIST SP 800-115
Beoordelingsplanning, omgang met bewijsmateriaal, analyse en risicobeperking.
Normen vormen de leidraad voor de scope en testdekking. Een beoordeling vormt op zichzelf geen certificering en garandeert geen naleving.
Rapportage
Wat u ontvangt
Overzicht van de dekking van endpoints en rollen
Gevalideerde bevindingen met bewijsmateriaal uit verzoeken
Analyse van misbruikscenario's en bedrijfsimpact
Technische richtlijnen voor herstelmaatregelen
Hertest ter verificatie
Bepaal een passende testscope.
Bespreek de systemen, doelstellingen, het toegangsniveau en het vereiste bewijsmateriaal met DIGITPOL.