API security
Invicti API Security
Invicti API Security – це додатковий модуль (add-on) для платформи динамічного тестування безпеки вебдодатків Invicti, що надає можливості виявлення API.
Американська компанія Invicti Security надає продукти для веббезпеки, які за багато років зарекомендували себе для організацій з різних галузей, в тому числі лідерів зі списку Fortune 500.
Запит на безкоштовне тестування Invicti API Security
середня кількість API на один вебдодаток у більшості компаній
%
організацій не ведуть точну інвентаризацію своїх API
%
підприємств стикнулися з інцидентом безпеки через API
%
розробників розгортають API в продакшн щотижня або щомісяця
%
підприємств вносять зміни в API щодня або щотижня
%
трафіку в Інтернеті складають запити API
Основний функціонал
Які виклики вирішує Invicti API Security?
Незадокументовані API
Такі «тіньові» прикладні програмні інтерфейси є частиною поверхні атаки, яка зовсім не контролюється, що створює значущу загрозу для безпеки організації. Invicti API Security знаходить такі API, що дозволяє знизити ризики.
Неактуальні версії специфікацій API
Це є поширеною проблемою у середовищах, де API часто змінюються, і комунікація між розробниками та командою безпеки не встигає за цим темпом. Аби подолати ці труднощі, Invicti API Security регулярно синхронізує специфікації у консоль платформи, надаючи команді повну видимість.
Проблеми з інвентаризацією
Коли в організації є багато API, окремим головним болем є їх інвентаризація, адже важливо не пропустити жоден ресурс. Для спрощення цього процесу Invicti API Security поміщає виявлені прикладні програмні інтерфейси в один консолідований список для максимальної зручності спеціалістів.
Розгалуження інструментів і відсутність консолідації
Велика кількість інструментів може створювати плутанину для команд, що з ними працюють. Тому Invicti на одній платформі поєднує виявлення та сканування API, а також тестування та пошук вебсайтів, доступних в Інтернеті.
Технології Invicti API Security
Автоконфігурація
Сканує наявні в консолі таргети, доступні через HTTP/HTTPS, на відкриті порти та доступні URL-адреси для пошуку Swagger2 та OpenAPI3 специфікацій (кожні 48 годин).
Безагентне виявлення API
Автоматичне створення трафіку під час сканування на основі якого реконструюються специфікації API, працює зовнішньо та не потребує встановлення агенту.
Аналіз мережевого трафіку
Аналізує трафік у мережі для виявлення запитів REST API та їх реконструкції в OpenAPI3 специфікації після знаходження трьох або більше API-інтерфейсів.
Інтеграція з системами управління API
Автоматично синхронізує файли специфікацій API (Swagger2, OpenAPI3) з систем управління API в консолі Invicti кожні 24 години.