API-Schwachstellentests
Testen Sie die Sicherheit Ihrer APIs mit umfassenden Schwachstellensimulationen, die Schwächen in Authentifizierung, Autorisierung und Datenschutz identifizieren.
Funktionen der API-Sicherheitstests
Authentifizierungstests
Testen Sie Authentifizierungsmechanismen:
- Anmeldedatenprüfung
- Token-Sicherheit
- Sitzungsverwaltung
- MFA-Umgehungsversuche
Autorisierungstests
Validieren Sie Zugriffskontrollen:
- Rollenbasierter Zugriff
- Ressourcenberechtigungen
- Privilegieneskalation
- Mandantenübergreifender Zugriff
Injektionstests
Testen Sie auf Injektionsfehler:
- SQL-Injection
- NoSQL-Injection
- Befehlsinjektion
- LDAP-Injection
Datenexpositionstests
Überprüfen Sie den Datenschutz:
- Exposition sensibler Daten
- Übermäßige Datenrückgabe
- Debug-Informationslecks
- Fehlermeldungsdetails
API-Schwachstellenkategorien
OWASP API Top 10
Testen Sie häufige API-Schwachstellen:
- Broken Object Level Authorization
- Broken Authentication
- Broken Object Property Level Authorization
- Unrestricted Resource Consumption
- Broken Function Level Authorization
- Unrestricted Access to Sensitive Business Flows
- Server Side Request Forgery
- Security Misconfiguration
- Improper Inventory Management
- Unsafe Consumption of APIs
Benutzerdefinierte Tests
Definieren Sie organisationsspezifische Tests:
- Geschäftslogikfehler
- Benutzerdefinierte Authentifizierung
- Proprietäre Protokolle
- Interne APIs
Durchführung von API-Tests
Testkonfiguration
- Navigieren Sie zu Angriffssimulation → API-Schwachstellen
- Klicken Sie auf Neuer Test
- Konfigurieren Sie:
- API-Endpunkt(e)
- Authentifizierung
- Testkategorien
- Umfangsbeschränkungen
- Überprüfen und ausführen
Zielkonfiguration
Definieren Sie, was getestet wird:
- API-Basis-URL
- Zu testende Endpunkte
- Authentifizierungsdaten
- Ratenbegrenzungsüberlegungen
Testauswahl
Wählen Sie die Testtypen:
- Schnellscan (häufige Probleme)
- Vollständiger Scan (umfassend)
- Benutzerdefinierte Auswahl
- Compliance-fokussiert
Testergebnisse
Ergebnis-Dashboard
- Gesamtzahl der Schwachstellen
- Verteilung nach Schweregrad
- Betroffene Endpunkte
- Trendanalyse
Schwachstellendetails
Für jeden Fund:
- Schwachstellentyp
- Betroffener Endpunkt
- Schweregradbewertung
- Proof of Concept
- Behebungsanleitung
Risikobewertung
- Geschäftliche Auswirkung
- Ausnutzbarkeit
- Gefährdete Daten
- Compliance-Auswirkungen
Häufige Erkenntnisse
Authentifizierungsprobleme
- Schwache Token-Generierung
- Fehlende Authentifizierung
- Unsichere Token-Speicherung
- Sitzungsfixierung
Autorisierungsfehler
- Horizontale Privilegieneskalation
- Vertikale Privilegieneskalation
- Fehlende Prüfungen auf Funktionsebene
- IDOR-Schwachstellen
Datenexposition
- Sensible Daten in Antworten
- PII-Lecks
- Exponierte Debug-Endpunkte
- Detaillierte Fehlermeldungen
Eingabevalidierung
- Fehlende Eingabevalidierung
- Injektionsschwachstellen
- Typverwechslung
- Pufferprobleme
Behebung
Korrekturanleitung
Für jede Schwachstelle:
- Erklärung der Ursache
- Empfohlene Korrektur
- Codebeispiele
- Testansatz
Priorisierung
Empfohlene Korrektureihenfolge:
- Kritisch zuerst
- Hohes Risiko als nächstes
- Nach Endpunktbedeutung
- Nach Ausnutzbarkeit
Verifizierung
Korrekturen bestätigen:
- Spezifische Endpunkte erneut testen
- Regressionstests
- Kontinuierliche Tests
Best Practices
- Alle APIs testen — Intern und extern
- Regelmäßig testen — Kontinuierlich oder geplant
- Vor Produktion testen — Vor der Bereitstellung
- Korrekt authentifizieren — Gültige Anmeldedaten für Tiefe verwenden
- Ratenbegrenzungen respektieren — API-Limits einhalten
- Beheben und verifizieren — Kreislauf bei Erkenntnissen schließen
Verwandt: