QA ובקרת שחרורים

אבטחת API

מצאו את החולשות בממשקי ה-REST וה-GraphQL שלכם לפני שמישהו ינצל אותן. אנחנו בודקים אימות זהות, הרשאות וחשיפת נתונים באישורכם, מדווחים על ממצאים מאומתים ובודקים שוב את התיקונים שלכם.

בואו נדבר על הפרויקט שלכם דברו איתנו על אבטחת API

למי אנחנו בודקים ממשקי API

האפליקציות שלכם קוראות ל-API רק בדרך שהמסכים שלהן מאפשרים, אבל כל אחד יכול לשלוח אליו ישירות בקשה ששונתה. אתם צריכים לדעת מה בקשה כזו יכולה לקרוא או לשנות, ואילו משאבים היא יכולה לכלות.

מוצרי SaaS שבהם דיירים (tenants) רבים חולקים API ומסד נתונים אחד
צוותי אפליקציות מובייל שכל אחד יכול לקרוא ל-API בצד השרת שלהם, אחרי שבחן את התעבורה
צוותים שה-API שלהם גדל מהר בעזרת כלי AI לכתיבת קוד ומעולם לא עבר בדיקת אבטחה

איך נבדק כל סיכון ב-API

תוכנית להמחשה ל-REST API עם כמה תפקידי משתמש; התמהיל אצלכם נקבע לפי ההיקף המוסכם.

	סריקה אוטומטית	בדיקה ידנית	בדיקה חוזרת אחרי תיקון	בדיקת רגרסיה
אימות זהות וטוקנים	בשימוש סלקטיבי	טכניקה מרכזית לתחום הזה	טכניקה מרכזית לתחום הזה	בשימוש סלקטיבי
הרשאות ברמת האובייקט	תועלת מועטה כאן	טכניקה מרכזית לתחום הזה	טכניקה מרכזית לתחום הזה	טכניקה מרכזית לתחום הזה
טיפול בקלט והזרקות	טכניקה מרכזית לתחום הזה	בשימוש סלקטיבי	טכניקה מרכזית לתחום הזה	טכניקה מרכזית לתחום הזה
הגבלת קצב ו-Brute Force	בשימוש סלקטיבי	טכניקה מרכזית לתחום הזה	בשימוש סלקטיבי	תועלת מועטה כאן
נתונים עודפים בתגובות	בשימוש סלקטיבי	טכניקה מרכזית לתחום הזה	טכניקה מרכזית לתחום הזה	בשימוש סלקטיבי
שימוש לרעה בלוגיקה העסקית	תועלת מועטה כאן	טכניקה מרכזית לתחום הזה	טכניקה מרכזית לתחום הזה	בשימוש סלקטיבי

טכניקה מרכזית לתחום הזה
בשימוש סלקטיבי
תועלת מועטה כאן

ה-API שלכם הוא דלת הכניסה לנתונים שלכם

רוב הפגמים החמורים ב-API אינם אקזוטיים. משתמש משנה מזהה וקורא רשומות של מישהו אחר, נקודת קצה מחזירה יותר שדות ממה שהמסך מציג, או שהיעדר מגבלת קצב מזמין ניסיונות Brute Force וגריפת נתונים (scraping). בין שה-API שלכם משרת את האפליקציות שלכם, שותפים או לקוחות, אנחנו בודקים אותו בהיקף שאתם מאשרים בכתב, לפי הנחיות OWASP. אתם מקבלים ממצאים שניתנים לשחזור עם הנחיות לתיקון, ואנחנו בודקים שוב אחרי שהתיקונים שלכם נכנסים.

כיסוי בסיוע AI, ממצאים שמאומתים ידנית

איך ה-AI מסייע

ממפה נקודות קצה, פרמטרים ותפקידים מתוך מפרטי ה-API, הקוד והתעבורה שלכם, כדי לתכנן מה לבדוק.
בונה מטריצות לבדיקת הרשאות, שמפרטות איזה תפקיד יכול לקרוא לאיזו פעולה ועל הנתונים של מי, כדי שהבודקים יעברו עליהן.
מנסח טיוטות של קלטי Fuzzing ותרחישי שימוש לרעה לכל נקודת קצה, לפי הסכמה והכללים העסקיים שלה.
מחפש בקוד ובלוגים את אותו פגם במקומות אחרים, אחרי שבעיה אומתה.

מה באחריות המומחים שלנו

מהנדסי האבטחה מסכמים איתכם את ההיקף ואת כללי הפעולה (rules of engagement); הבדיקות נשארות בתוך מה שאתם מאשרים.
כל ממצא משוחזר ידנית לפני שמדווחים עליו. פלט גולמי של סורקים לא מועבר כממצאים.
ניצול לרעה של הלוגיקה העסקית, כמו דילוג על שלב התשלום, נבדק בידי אנשים שלומדים קודם את תהליכי העבודה שלכם.
רמת החומרה נקבעת לפי ההשפעה האמיתית על הנתונים והמשתמשים שלכם, וההמלצות לתיקון מותאמות לפריימוורק שלכם.

מה תקבלו

בדיקות API מורשות עם ממצאים מאומתים

מפת משטח התקיפה של ה-API
תיעוד של נקודות קצה, מתודות, תפקידים, זרימות נתונים וחיבורים לצד שלישי, כולל נקודות קצה לא מתועדות שנמצאו במהלך הבדיקות.
בדיקות הרשאות
בדיקות גישה ברמת האובייקט וברמת הפונקציה, על פני תפקידים ודיירים (tenants), כדי למצוא היכן משתמש אחד יכול להגיע לנתונים או לפעולות של משתמש אחר.
סקירת אימות זהות וטוקנים
התחברות, איפוס סיסמה, תפוגת סשן, תהליכי אימות רב-שלבי וטיפול בטוקנים של JWT, OAuth ומפתחות API, שנבדקים לאיתור חולשות.
בדיקות קלט, חשיפה ושימוש לרעה
הזרקות (Injection), Mass Assignment, נתונים עודפים בתגובות, הגבלת קצב, ובקרות של עומק שאילתות, Batching ו-Introspection ב-GraphQL.
דוח ממצאים עם תיקונים
כל בעיה ממופה ל-OWASP API Security Top 10, עם צעדים לשחזור, השפעה, רמת חומרה והנחיות לתיקון בפריימוורק שלכם.
בדיקות חוזרות ובדיקות רגרסיה
התיקונים נבדקים שוב כדי לוודא שהם עובדים, ובדיקות אבטחה מרכזיות מתווספות לבדיקות האוטומטיות שלכם, כך שאותו פגם ייתפס אם יחזור.

איך מתנהלת הערכת אבטחה ל-API

01
היקף והרשאה
סיכום בכתב של נקודות הקצה, הסביבות, חשבונות הבדיקה וכללי הפעולה. שום דבר לא נבדק בלי האישור שלכם.
02
מיפוי ותכנון
מיפוי נקודות הקצה, התפקידים וזרימות הנתונים מתוך המפרטים, הקוד והתעבורה, ואז תכנון הבדיקות סביב הנתונים והפעולות שבסיכון הגבוה ביותר.
03
בדיקה ואימות
שילוב של סריקות אוטומטיות עם בדיקות ידניות של הרשאות, אימות זהות, טיפול בקלט ותרחישי שימוש לרעה. אימות של כל ממצא.
04
דיווח, תיקון ובדיקה חוזרת
מסירת ממצאים שניתנים לשחזור עם הנחיות לתיקון, עזרה בתיקונים אם תרצו, ואז בדיקה חוזרת והוספת בדיקות רגרסיה.

שתי דרכים לעבוד עם כלי AI

ה-AI עוזר לנסח טיוטות לבדיקות ולחקור באגים. בחרו היכן הוא רשאי לעבד את הקוד ואת נתוני הבדיקה שלכם.

הנדסת AI פרטית / מקומית
מודלים באירוח פרטי, בתוך תשתית שבשליטתכם או בסביבה מבודדת מוסכמת.
דברו איתנו על החבילה הזו
הנדסת Claude Code / OpenAI Codex
Claude Code ו/או OpenAI Codex, עם הגדרות ענן שהארגון שלכם מאשר.
דברו איתנו על החבילה הזו

לא בטוחים? נמליץ על אחת מהן בשלב הגדרת ההיקף. השוואת אפשרויות עבודה עם AI

בקשות אופייניות לאבטחת API

תרחישים טיפוסיים שאנחנו מגדירים להם היקף, לא מקרי בוחן של לקוחות.

בדיקות הפרדת דיירים אחרי הוספת סביבות עבודה
מוצר SaaS הוסיף סביבות עבודה לצוותים, ולכן כל שאילתה צריכה עכשיו לבדוק לאיזה דייר היא שייכת. אנחנו בודקים עם חשבונות בדיירים נפרדים, בכל אחד מהתפקידים, כדי לראות אם דייר אחד יכול לקרוא או לשנות נתונים של דייר אחר, ובודקים שוב אחרי שהתיקונים יוצאים.
מפתחות API למפתחים חיצוניים
חברה מתכננת להנפיק מפתחות API למפתחים חיצוניים. אנחנו בודקים איך מוגדר ההיקף של המפתחות, איך הם מוחלפים ואיך הם מבוטלים, בודקים לאן מפתח יכול להגיע מעבר להיקף שנועד לו, ומוודאים שמגבלות הקצב חלות על כל מפתח בנפרד.
API של קופה שסומך על האפליקציה
ה-API של הקופה בחנות מקבל סכומים וקודי הנחה כפי שהאפליקציה שולחת אותם. אנחנו בודקים אם בקשה ששונתה יכולה לשנות מחירים, לעשות שימוש חוזר בקוד או לדלג על שלב התשלום, ומאמתים כל ממצא באופן ידני.

מה בדיקות ה-API לא מכסות

ממשקי Frontend של ווב, הגדרות ענן ותקיפות שמשרשרות כמה מערכות מכוסים במסגרת בדיקות חדירה; כאן ה-API הוא המטרה.
תכנון מחדש של נקודות קצה או בנייה מחדש של ה-API אינם כלולים; אפשר להגדיר היקף לתיקונים מבניים במסגרת שירות פיתוח API.
שירותים שאתם קוראים להם אבל אינם בבעלותכם נשארים מחוץ להיקף, אלא אם הבעלים שלהם מסכימים; במקום זאת, אנחנו בודקים איך ה-API שלכם מתמודד עם השגיאות שלהם.
קריאה מלאה של קוד המקור של ה-API היא חלק משירות ביקורת וסקירת קוד; כאן הקוד משמש לאיתור ממצאים ולאימות שלהם.

איך אבטחת ה-API מתחברת לעיצוב, ל-QA ולתפעול

עיצוב: מצבי שגיאה בטוחים וברורים
המעצבים והמהנדסים מסכמים הודעות שגיאה והודעות על חוסר הרשאה שעוזרות למשתמשים בלי לחשוף פרטים פנימיים לתוקפים.
QA: אבטחה בכל שחרור
בדיקות ההרשאות והקלט מצטרפות לסט בדיקות הרגרסיה, כך שנקודות קצה חדשות ושינויים שנוצרו בידי AI נבדקים באותה דרך.
תפעול: ניטור וסודות
הממצאים מזינים את רישום הלוגים של ה-API, התראות על שימוש חשוד, החלפה תקופתית של סודות ומגבלות קצב ב-Gateway, שמוגדרים יחד עם צוות ה-DevOps שלכם.
באופן שוטף: בדיקה חוזרת ככל שה-API גדל
נקודות קצה חדשות ושחרורים גדולים נסקרים ונבדקים שוב לפי לוח זמנים שמוסכם איתכם, כך שהכיסוי עומד בקצב של ה-API.

שאלות ותשובות

שאלות נפוצות

האם אתם בודקים גם GraphQL, ולא רק ממשקי REST?

כן. GraphQL דורש תשומת לב נוספת: חשיפה דרך Introspection, מגבלות על עומק ומורכבות של שאילתות, ניצול לרעה של Batching והרשאות ברמת השדה. אנחנו בודקים את שניהם בהיקף שאתם מאשרים.

האם הערכת אבטחה ל-API תהפוך אותנו לתואמי רגולציה?

לא בפני עצמה; אף בדיקה לא יכולה לעשות את זה. אנחנו תומכים בעבודת הציות (compliance) שלכם: הבדיקות פועלות לפי הנחיות OWASP, הדוחות נכתבים כך שמבקרים וצוותי האבטחה של הלקוחות שלכם יוכלו לבחון אותם, ותוצאות הבדיקות החוזרות עוזרות לכם להכין ראיות לכך שהבעיות תוקנו.

תוכלו גם לתקן את החולשות?

כן. המהנדסים שלנו יכולים לממש תיקונים, לעבוד לצד המפתחים שלכם או לסקור את ה-Pull Requests של התיקונים שלכם. בכל מקרה, אנחנו בודקים שוב כל תיקון ומוסיפים בדיקות רגרסיה, כדי שתהיה לכם ראיה שהוא עובד.

האם כלי AI רואים את מפרטי ה-API ואת הממצאים שלנו?

רק בתוך הגבולות שאתם בוחרים, כי ממצאי אבטחה הם מידע רגיש. בהנדסת AI פרטית / מקומית, המודלים רצים על תשתית שבשליטתכם או בסביבה מבודדת שאנחנו מסכמים. בהנדסת Claude Code / OpenAI Codex, ספקים מסחריים מעבדים את הנתונים לפי תנאי חשבון ושמירה מוסכמים. היכן שאפשר, אנחנו משתמשים בחשבונות בדיקה ובנתונים סינתטיים.