OWASP API Security Top 10:2023 для тестировщиков на проникновение

Как использовать список

Тема 'Как использовать список' является ключевой частью работы над OWASP API Security Top 10 2023. Рекомендуется разбить ее на три вопроса: что является входными данными, какое решение нужно принять и какое доказательство достаточно, чтобы его обосновать. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

На практике запишите BOLA, Broken Authentication, Object Property Authorization, Unrestricted Resource Consumption, Sensitive Business Flows, сравните с ожидаемым поведением и определите хотя бы один Pivot. Результат должен быть проверяемым другим аналитиком, включая ограничения и дальнейшие шаги.

Риски авторизации

В OWASP API Security Top 10 2023 идентификация и авторизация – это два разных вопроса: кто клиент и что ему разрешено делать с ресурсом. Проверяются роли, утверждения, сеансы, владение объектом и изменения в течение жизненного цикла, а не просто "пользователь вошел в систему".

Матрица тестирования включает анонимного пользователя, обычного пользователя, владельца объекта, другого пользователя и администратора. Для каждой операции сравниваются ответ и влияние на стороне сервера. Изменение идентификатора или заголовка – это всего лишь средство тестирования; доказательством является то, что сервер разрешил или отклонил операцию вопреки политике.

Аутентификация и потребление ресурсов

В OWASP API Security Top 10 2023 идентификация и авторизация – это два разных вопроса: кто клиент и что ему разрешено делать с ресурсом. Проверяются роли, утверждения, сеансы, владение объектом и изменения в течение жизненного цикла, а не просто "пользователь вошел в систему".

Матрица тестирования включает анонимного пользователя, обычного пользователя, владельца объекта, другого пользователя и администратора. Для каждой операции сравниваются ответ и влияние на стороне сервера. Изменение идентификатора или заголовка – это всего лишь средство тестирования; доказательством является то, что сервер разрешил или отклонил операцию вопреки политике.

Бизнес-процессы и инвентаризация

Тема 'Бизнес-процессы и инвентаризация' является ключевой частью работы над OWASP API Security Top 10 2023. Рекомендуется разбить ее на три вопроса: что является входными данными, какое решение нужно принять и какое доказательство достаточно, чтобы его обосновать. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

На практике запишите BOLA, Broken Authentication, Object Property Authorization, Unrestricted Resource Consumption, Sensitive Business Flows, сравните с ожидаемым поведением и определите хотя бы один Pivot. Результат должен быть проверяемым другим аналитиком, включая ограничения и дальнейшие шаги.

Сопоставление с планом тестирования

Профессиональное тестирование OWASP API Security Top 10 2023 начинается с условий успеха и условий сбоя. Определяются положительный кейс, отрицательный кейс, пограничный кейс и аналогичная легитимная активность. Таким образом, можно выявить как False Negative, так и False Positive.

В авторизованной среде используется минимальное действие, которое доказывает утверждение без причинения вреда. Сохраняются входные данные, выходные данные, время и версия, и после исправления проводится повторное тестирование по тому же сценарию, а также проверяется регрессия на соседних функциях.

Уникальные точки тестирования

В этой теме рекомендуется заранее построить сфокусированную карту доказательств. Основные точки тестирования: BOLA, Broken Authentication, Object Property Authorization, Unrestricted Resource Consumption, Sensitive Business Flows, Unsafe Consumption. Список не является автоматическим контрольным списком; каждый элемент выбран потому, что он может связать сущность, действие и время или объяснить законное поведение.

• BOLA: Определите ожидаемое значение, что будет считаться аномалией, и какой дополнительный источник подтвердит находку.
• Broken Authentication: Определите ожидаемое значение, что будет считаться аномалией, и какой дополнительный источник подтвердит находку.
• Object Property Authorization: Определите ожидаемое значение, что будет считаться аномалией, и какой дополнительный источник подтвердит находку.
• Unrestricted Resource Consumption: Определите ожидаемое значение, что будет считаться аномалией, и какой дополнительный источник подтвердит находку.
• Sensitive Business Flows: Определите ожидаемое значение, что будет считаться аномалией, и какой дополнительный источник подтвердит находку.
• Unsafe Consumption: Определите ожидаемое значение, что будет считаться аномалией, и какой дополнительный источник подтвердит находку.

Если одна из точек недоступна, следует задокументировать пробел и выбрать альтернативу. Например, если Process identifier нестабилен, можно использовать время, Host, User и Parent; если Payload зашифрован, используются Metadata, объем, частота и контекст TLS/DNS.

Рекомендуемый рабочий процесс

1. Определите Scope и один рабочий вопрос по OWASP API Security Top 10 2023.
2. Запишите необходимые источники данных и доказательства: BOLA, Broken Authentication, Object Property Authorization, Unrestricted Resource Consumption.
3. Создайте краткий базовый сценарий нормального поведения или ожидаемого результата.
4. Выполните минимальное тестирование в лабораторной среде и сохраните время, ввод и вывод.
5. Создайте Timeline или сравнительную таблицу и разделите факты от интерпретаций.
6. Сделайте Pivot к дополнительному источнику, чтобы подтвердить или опровергнуть первоначальное объяснение.
7. Сформулируйте решение, ограничения, рекомендуемое действие и критерий повторного тестирования.

Практический сценарий

Выбранный сценарий – таблица Category-to-Test-to-Fix. Цель упражнения не в том, чтобы доказать способность к атаке, а в том, чтобы отработать сбор, сравнение и документирование безопасным способом. Перед началом работы определяются фиктивные данные, временное окно и ожидаемый результат.

По завершении упражнения должен быть представлен результат, который может быть проверен другим аналитиком или тестировщиком: снимок или экспорт доказательства, краткий Timeline, первоначальное предположение, подтверждающее доказательство, ограничение и рекомендация. Если доказательств недостаточно, правильный вывод заключается в том, что сценарий не был доказан.

Практический контрольный список

• ✓Проверьте и задокументируйте: Роль и сессию.
• ✓Проверьте и задокументируйте: Endpoint и метод.
• ✓Проверьте и задокументируйте: Request/Response.
• ✓Проверьте и задокументируйте: Object identifier.
• ✓Проверьте и задокументируйте: Server-side effect.
• ✓Проверьте и задокументируйте: Control expected и remediation.
• ✓Укажите часовой пояс, версию инструмента и время сбора.
• ✓Сохраните необработанные данные до фильтрации или изменения.
• ✓Напишите, что находка доказывает и что до сих пор неизвестно.
• ✓Определите владельца и дальнейшие действия с датой.

Распространенные ошибки

• Проверять только Status code.
• Полагаться на изменение Client-side.
• Использовать опасную Payload.
• Не проверять различные роли.
• Игнорировать бизнес-логику.
• Сообщать без чистых Request/Response.

Заключение и CTA

OWASP API Security Top 10:2023 для тестировщиков на проникновение — это тема, которая связывает технические знания с рабочей дисциплиной. Начните с вопроса, соберите только релевантные доказательства, сохраните контекст и время, и выберите действие, которое можно обосновать и перепроверить.

В курсе Cybersecurity & AI от HPI эти принципы отрабатываются с помощью систем, журналов и лабораторий. Естественным продолжением является переход к связанным статьям, выполнение лабораторного упражнения и сохранение результата как части профессионального портфолио.

Вопросы и ответы