trust
Use this if
راجع كيف تحمي BlackShield واجهات API العامة وواجهات المستأجرين من مخاطر التفويض وسوء الاستخدام وسوء الإعداد ضمن OWASP API Top 10.
Audience: مهندسو أمن التطبيقات، معماريّو الأمن، وأصحاب مصلحة الامتثالTypical time: 12-15 دقيقة
قبل البدء
- تأكد من أن جرد واجهات API محدث ويشمل نقاط النهاية العامة ونقاط نهاية المستأجرين.
- حدد مالكي الضوابط الخاصة بالمصادقة والتفويض ومنع إساءة الاستخدام.
- اجمع أدلة حديثة على تحديد المعدل وRBAC ومراجعات نقاط النهاية.
Guide walkthrough
1
الخطوة 1
التحقق من حدود التفويض
أكد أن كل نقطة نهاية تفرض مصادقة وفحوص أدوار صريحة، مع تطبيق حدود وصول مساحة العمل داخل مرشحات الاستعلام.
- تحقق من تطبيق RBAC لعمليات القراءة والكتابة.
- أكد أن الوصول إلى بيانات المستأجر مقيد دائمًا بسياق مساحة العمل النشطة.
- راجع المسارات الإدارية فقط وضوابط الامتيازات المرتفعة.
What success looks like
راجع المسارات الإدارية فقط وضوابط الامتيازات المرتفعة.
2
الخطوة 2
التحقق من ضوابط منع الإساءة
تحقق من أن التدفقات الحساسة تتضمن تحديد معدل الطلبات وأن العمليات مرتفعة الكلفة لا يمكن إساءة استخدامها.
- راجع حدود المعدل في مسار المصادقة وسلوك 429.
- راجع حدود المعدل في دورة حياة المستأجر وإدارة الهوية.
- راجع ضوابط العدالة لكل مستأجر أثناء أحمال الاستيعاب العالية.
What success looks like
راجع ضوابط العدالة لكل مستأجر أثناء أحمال الاستيعاب العالية.
3
الخطوة 3
التحقق من الجرد وإدارة التغييرات
استخدم جرد API بإصدارات وخطة إيقاف تدريجي للحفاظ على توافق الضوابط مع سطح نقاط النهاية الفعلي.
- راجع عناصر الجرد التي تتضمن نموذج المصادقة وحدود الوصول.
- تتبع عناصر الإيقاف التدريجي مع تواريخ هدف واضحة.
- أعد هذا التقييم مرة واحدة على الأقل كل ربع سنة.
What success looks like
أعد هذا التقييم مرة واحدة على الأقل كل ربع سنة.
What success looks like
- تم توثيق ملكية ضوابط API ودورية المراجعة لكل فئة من نقاط النهاية الحرجة.
- تتوفر أدلة حديثة مرتبطة بالمراجعين لضوابط التفويض وتحديد المعدل وجرد API.