API ve Web Servis Sızma Testi
API sızma testi, uygulamaların ve iş ortaklarının kullandığı REST, GraphQL ve SOAP servislerinin yetkilendirme, kimlik doğrulama ve iş mantığı açısından saldırgan bakış açısıyla test edilmesidir. Nokta Guard bu testi OWASP API Security Top 10 (2023) riskleri temelinde yürütür. Nesne düzeyinde yetki kontrolü (BOLA) ve aşırı veri ifşası en öncelikli kontrol alanlarıdır.
Web ve mobil uygulamaların arkasındaki iş mantığı çoğunlukla API'lerde çalışır. API'ler doğrudan çağrılabildiği için, arayüzde gizlenen bir alan veya istemcide yapılan bir kontrol saldırganı durdurmaz; yetkinin her istekte sunucu tarafında doğrulanması gerekir.
Her uç noktayı farklı kullanıcı rolleri ve farklı nesne kimlikleriyle çağırarak yetki kontrollerini tek tek doğrularız.
Kontrol Kapsamı
alan · OWASP API Security Top 10 (2023)
Nesne düzeyinde yetki (BOLA)
Bir kullanıcının başka bir kullanıcıya ait kayda kimlik değiştirerek erişip erişemediği.
Kimlik doğrulama
Token üretimi, süresi, imza doğrulaması (ör. JWT) ve parola sıfırlama akışları.
Nesne özelliği düzeyinde yetki
Yanıtlarda gereğinden fazla veri dönmesi ve istekle değiştirilmemesi gereken alanların değiştirilebilmesi.
Kaynak tüketimi
Oran sınırlama (rate limit), sayfa boyutu ve maliyetli sorguların kötüye kullanımı.
Fonksiyon düzeyinde yetki
Yönetici işlevlerinin yetkisiz kullanıcılar tarafından çağrılabilmesi.
Hassas iş akışları
Toplu işlem, kupon, rezervasyon gibi akışların otomasyonla kötüye kullanılması.
Sunucu taraflı istek sahteciliği ve enjeksiyon
SSRF, SQL/NoSQL enjeksiyonu ve GraphQL'e özgü sorgu riskleri.
Yapılandırma ve envanter
Eski veya dokümante edilmemiş API sürümleri, hata ayrıntıları ve CORS ayarları.
API dokümantasyonu (OpenAPI/Swagger, Postman koleksiyonu veya GraphQL şeması) ve her rol için test hesabı istenir. Uç noktalar önce envanterlenir, ardından her biri farklı rol ve nesne kombinasyonlarıyla manuel olarak test edilir.
Süre, uç nokta sayısına, rol sayısına ve iş akışlarının karmaşıklığına göre belirlenir. Dokümantasyon eksikse envanter çıkarma adımı süreye eklenir.
Yönetici özeti. OWASP API Security Top 10 kategorilerine eşlenmiş bulgular, örnek istek/yanıtlar ve CVSS puanı. Uç nokta bazında çözüm önerileri. Doğrulama testi raporu.
Açık bankacılık ve ödeme servisleri, iş ortaklarına açılan entegrasyonlar, mobil uygulama arka uçları ve mikroservis mimarisi kullanan kurumlar için uygundur.