شرکت Siemba قابلیت جدیدی را برای شناسایی خودکار آسیب‌پذیری‌های Insecure Direct Object Reference (IDOR) در APIهای محیط Production معرفی کرده است. این ابزار قادر است APIهای مبتنی بر REST، GraphQL و SOAP را برای شناسایی کلاس‌های آسیب‌پذیری که منجر به نشت داده‌های مشتریان می‌شوند، مورد بررسی قرار دهد.
تسریع در شناسایی آسیب‌پذیری‌های Authorization
آسیب‌پذیری IDOR در واقع یک نقص در احراز سطح دسترسی (Authorization) است. در این حالت، یک Endpoint آسیب‌پذیر نمی‌تواند بررسی کند که آیا شناسه (Identifier) ارسال شده توسط کاربر متعلق به خود او است یا خیر؛ بنابراین با تغییر یک عدد یا شناسه ساده در درخواست، مهاجم می‌تواند داده‌های کاربران دیگر را مشاهده یا تغییر دهد. این نقص که در استانداردهای OWASP تحت عنوان Broken Object Level Authorization (BOLA) شناخته می‌شود، رتبه اول لیست 10 آسیب‌پذیری برتر APIهای OWASP را دارد.
در حالی که بررسی دستی این آسیب‌پذیری‌ها در مقیاس بالا بسیار زمان‌بر و خسته‌کننده است، این راهکار جدید می‌تواند مجموعه‌ای شامل ۲۰۰ نقطه اتصال (Endpoint) را در کمتر از یک ساعت تست کند؛ فرآیندی که پیش‌تر توسط متخصصان تست نفوذ روزها یا هفته‌ها زمان می‌برد.
مکانیزم تحلیل و پوشش پروتکل‌ها
این سیستم برای شروع تست از تعاریف API موجود مانند فایل‌های OpenAPI، Swagger یا مجموعه‌های Postman استفاده می‌کند. برخلاف ابزارهای سنتی که تنها بر اساس Status Code یا Signatureها تصمیم می‌گیرند، این پلتفرم پاسخ‌های واقعی API را تحلیل می‌کند تا از ایجاد Noise و گزارش‌های نادرست (False Positive) جلوگیری کند.
- REST: تست پارامترهای Path، Query، Header و Body.
- GraphQL: تحلیل Introspection برای بررسی Schema Exposure، عمق Queryها و دسترسی‌های سطح Field.
- SOAP: تحلیل WSDL برای شناسایی XML External Entity (XXE)، Signature Wrapping و پیکربندی‌های نادرست WS-Security.
تکمیل اتوماسیون با تست نفوذ انسانی
اگرچه اتوماسیون می‌تواند ۹ مورد از ۱۰ رده OWASP API Security را پوشش دهد، اما مواردی نظیر Broken Function Level Authorization و مسیرهای پیچیده حمله (Chained Attack Paths) همچنان نیازمند تحلیل متخصصان تست نفوذ است. با استفاده از این ابزار، متخصصان می‌توانند به جای صرف زمان برای شناسایی اولیه (Reconnaissance)، مستقیماً بر روی تحلیل‌های پیچیده و مرزهای دسترسی (Privilege Boundaries) تمرکز کنند.
همچنین، این پلتفرم امکان کنترل سرعت تست (Throttle) را فراهم می‌کند تا از اختلال در سرویس‌های عملیاتی در ساعات پیک کاری جلوگیری شود و اجازه می‌دهد تست‌ها مستقیماً روی محیط Production اجرا شوند، جایی که منطق Authorization و داده‌ها واقعی هستند.
