API-Penetrationstest
APIs versagen am häufigsten bei der Autorisierung, und diese Fehler lassen sich mit einem einzelnen Token nicht finden. Wir testen Ihre REST- und GraphQL-APIs über mehrere Rollen und Mandanten, abgebildet auf die OWASP API Security Top 10, um die Lücken bei der Zugriffskontrolle auf Objekt- und Funktionsebene zu finden, auf die es ankommt.
Was wir testen
Der Umfang basiert auf den OWASP API Security Top 10 (2023). Am meisten bringt und am häufigsten ausgelassen wird das authentifizierte Testen über Rollen und Mandanten hinweg. Nur so findet man Broken Object Level und Broken Function Level Authorization. Wir bitten um Ihre OpenAPI- oder Swagger-Spezifikation, um nahezu alle Routen abzudecken (fehlt sie, ist das bereits ein Befund).
- Broken Object Level Authorization (BOLA / IDOR) über Mandanten und Rollen
- Broken Function Level Authorization (BFLA) per Rollen- und Methodenwechsel
- Broken Object Property Level Authorization: Mass Assignment und übermäßige Datenfreigabe
- Authentifizierung, unbeschränkter Ressourcenverbrauch und sensible Geschäftsabläufe
- Injection, SSRF und Sicherheitsfehlkonfiguration
- GraphQL-Spezifika: Introspection, Batching, verschachtelte Query-DoS und Fehleroffenlegung
Grey-Box, authentifiziert, über mehrere Rollen
Grey-Box ist der kosteneffiziente Standard: Sie stellen die Spezifikation und Testkonten für mehrere Rollen bereit. Wir arbeiten überwiegend manuell, denn Scanner finden Fehlkonfigurationen und bekannte CVEs, übersehen aber die Autorisierungs- und Logikfehler, die den Großteil des API-Risikos ausmachen.
- 1
Scoping & Konten
Wir legen Grenzen fest und sammeln mehrere Konten über Rollen und Mandanten hinweg sowie Ihre OpenAPI-/Swagger-Spezifikation.
- 2
Endpunkt-Inventar
Aus der Spezifikation und dem Live-Traffic erstellen wir eine vollständige Karte der Routen und Operationen und markieren Lücken in der Spezifikation.
- 3
Authentifizierungs- & Autorisierungsprüfung
Wir testen die Zugriffskontrolle auf Objekt- und Funktionsebene über Rollen und Mandanten hinweg. Hier liegt der Kern des API-Risikos.
- 4
Eingabe-, Injection- & Geschäftslogik-Missbrauch
Wir testen Injection, SSRF, Ressourcenverbrauch und den Missbrauch sensibler Geschäftsabläufe mit Proof of Concept.
- 5
Berichterstattung & kostenloser Re-Test
Sie erhalten einen priorisierten Bericht mit Request/Response-Nachweisen. Behobene Probleme testen wir ohne Mehrkosten erneut, innerhalb des im Statement of Work festgelegten Zeitfensters.
Was Sie erhalten
Dieselbe Tiefe wie in unserem Beispielbericht, dessen ausgearbeiteter Befund genau ein mandantenübergreifender IDOR in einer API ist (CWE-639, CVSS 3.1). Jeder Befund enthält die Nachweise, die zum Reproduzieren und Beheben nötig sind.
- Management Summary und Gesamtrisikoprofil
- Jeder Befund: Beschreibung, Auswirkung, Nachweis, Reproduktionsschritte und Behebung
- Proof of Concept als Request/Response-Paare
- Schweregrad bewertet mit CVSS 3.1 und in Geschäftsrisiko übersetzt
- Verweise auf die OWASP API Security Top 10 (2023) und CWE
- Kostenloser Re-Test behobener Probleme innerhalb des im SoW festgelegten Zeitfensters
Gegründet auf den OWASP API Security Standards
Die Abdeckung richtet sich nach den OWASP API Security Top 10 (2023); GraphQL-Tests folgen zusätzlich OWASP WSTG-APIT-01 (Testing GraphQL). Für Autorisierungsbefunde (BOLA, BFLA, Object Property) braucht es mehrere Konten über Rollen und Mandanten hinweg; mit einem einzelnen Token lassen sie sich nicht finden. Befunde werden mit CVSS 3.1 bewertet.