Для тих, хто не знає, GraphQL — це мова запитів і середовище виконання для API, розроблених Facebook, і тепер є відкритим кодом (полегшення 😌).
Як і будь-яке інше програмне забезпечення, GraphQL також має свої плюси та мінуси.
Ви можете ігнорувати недоліки, пов’язані з функціями чи функціями. Але що, якщо я скажу вам, що в GraphQL є список вразливостей?
Не хвилюйтесь. Існують різні інструменти, які допоможуть вам знайти та усунути вразливості системи безпеки GraphQL.
Але перш ніж я познайомлю вас з інструментами, спершу давайте подивимося, що таке GraphQL і які його вразливості.
Що таке GraphQL?
Щоб пояснити, що таке GraphQL, уявіть сценарій; ви сидите в ресторані і замовляєте обід.
Але ви можете не захотіти, щоб у меню була вказана саме ця страва. Іноді ви можете включити/видалити деякі інгредієнти. Скажімо, у вас алергія на горіхи і ви хочете налаштувати їжу на свій розсуд.
Подумайте про GraphQL як про офіціанта, який налаштовує вказану вами їжу та отримує саме те, що ви просили, але GraphQL працює на даних із серверів.
Використовуючи таку технологію, сучасні додатки можуть отримувати певні дані, що значно економить пропускну здатність, а також покращує взаємодію з користувачем.
Дізнайтеся більше про найкраще програмне забезпечення GraphQL.
Уразливості GraphQL
Ось список можливих вразливостей, якими можуть скористатися люди з темними намірами для зламу конфіденційної інформації.
- Надмірна і недостатня вибірка: ця вразливість може надмірно виснажувати ресурси сервера. Якщо інструкції щодо отримання даних із GraphQL є неправильними, це може призвести до надлишкової вибірки (отримує більше даних, ніж запитувано) або недостатньої (отримує менше даних, ніж запитувано, і змушує користувача запитувати дані кілька разів).
- Надмірний доступ до даних: якщо керування доступом неправильно налаштовано, критичні дані відкриваються. І якщо сервер дозволяє несанкціонований доступ, то будь-який хакер з достатніми навичками може легко зламати дані.
- Проблема з вкладеними запитами: за замовчуванням немає обмежень на складність, що дозволяє надсилати складні запити. Тепер подумайте про кілька складних запитів, вкладених у систему, які залучатимуть усі системні ресурси, що призведе до повільної відповіді та навіть потенційної DOS-атаки (відмова в обслуговуванні).
- Ін’єкції: GraphQL — це не що інше, як мова запитів із наданими користувачем введеннями, що просто означає, що якщо ваш API небезпечний, у нього може бути впроваджено зловмисний код, і ваша база даних, файлова система і навіть мережа та ОС можуть стати ціллю.
- Бомби GraphQL: їх було виявлено в серпні 2022 року та впливають на реалізовані API Завантаження файлів GraphQL. Це атака DOS (відмова в обслуговуванні), яка передбачає надсилання багатьох HTTP-запитів до кінцевої точки GraphQL.
- Неправильно налаштовані заголовки HTTP: хоча це звучить як нічого, повірте мені, це може завдати набагато більше шкоди, ніж ви думаєте. Якщо його не налаштовано належним чином, він може відкрити ворота для таких атак, як CSRF (міжсайтова підробка запитів), перехоплення MIME, атака «Людина посередині» та багато іншого.
- Обмеження швидкості налаштовано неправильно або не налаштовано: обмеження швидкості – це не що інше, як обмеження кількості запитів, які клієнт може зробити за певний період часу. І якщо не налаштувати, це призводить до потенційної загрози DOS!
Звучить страшно? чи не так?
Зараз я поділюся деякими з найкращих інструментів, якими можна скористатися для пошуку й усунення вразливостей GraphQL і захисту вашого сервера. Ось короткий перелік інструментів, які ми обговоримо.
Відомі характеристики продуктуВихід із безпеки GraphQLШвидке сканування, реальні ризики, інтеграція з інструментами розробникаСканер Inviciti GraphQLСканує різні атаки, сучасний захист від атакТестування StackHawk GraphQLПостійні перевірки вразливостей, автоматизована безпекаБігль БезпекаАктивне тестування, інтеграція CI/CD, детальні звітиGraphQL dot SecurityБезкоштовний варіант, перевірка кінцевої точки, актуальна база данихТестування пера Qualysec GraphQLOWASP Top 10 аналіз, динамічне/статичне тестування APIСканування безпеки AppCheckAPI, SPA та тестування кінцевих точок, підтримка Jira/TeamCityКороткий опис Тестування безпеки APIБезперервне фонове тестування, візуальне відображення дефектівТестування Bright Security APIФокус на мікросервісах, CLI, SaaS, інтеграція CI/CD
Вихід із безпеки GraphQL
Втеча будує свої продукти, пам’ятаючи про розробників, і його засіб перевірки безпеки GeaphQL нічим не відрізняється.
Будучи одним із небагатьох постачальників послуг безпеки, ви можете бути впевнені, що нова вразливість буде просканована миттєво.
Але тут є ще щось:
- Щоб розпочати перше сканування, потрібно приблизно 60 секунд!
- База даних Escape постійно оновлюється щодо вразливостей.
- Показує реальні ризики, а не проблеми, які можуть бути ризиком.
- Інтеграція з вашими улюбленими інструментами розробника.
Отже, якщо ви шукаєте швидке та просте рішення для перевірки вразливості GraohQL, Escape може стати вашою наступною зупинкою.
Сканер Inviciti GraphQL
Раніше відомий як Netsparker, Inviciti є одним із найбільш надійних і популярних імен серед API сканування.
Але клієнт хоче знати, скільки типів атак він може впоратися, тому ось список серйозних атак і вразливостей, які можна просканувати за допомогою цього продукту:
- Сліпа ін’єкція команди
- Сліпа ін’єкція SQL
- Введення команди
- Віддалене виконання коду
- Підробка запитів на стороні сервера
Надійне рішення для захисту від сучасних атак.
Тестування безпеки StackHawk GraphQL
Найкраща частина використання Тестування StackHawk GraphQL перевіряє всі вразливості GraphQL під час кожного запиту на отримання.
І якщо цієї ключової функції недостатньо, щоб завоювати ваше серце, ось ще цікаві функції від StackHawk:
- Автоматизоване тестування безпеки.
- Блискавичне тестування та виправлення
- Зручний інтерфейс
- Чудова документація для легкого самостійного виправлення
Дуже здорово. правильно?
Бігль Безпека
Бігль Безпека спеціалізується на наданні автоматизованих рішень для тестування безпеки веб-додатків і допомагає компаніям виявляти та виправляти недоліки безпеки.
Чотири ключові особливості роблять їх надзвичайно особливими:
- Інтенсивне та активне тестування
- Інтеграція з CI/CD
- Детальні звіти
- Детальні пропозиції щодо виправлення від експертів із безпеки
Ви також можете використовувати їх безкоштовна перевірка оцінки веб-сайту щоб знайти вразливі місця на вашому сайті.
GraphQL dot Security (graphql.security)
Якщо вам потрібен безкоштовний варіант із обмеженими можливостями, тоді нічого не зрівняється з пропозицією graphql.security.
Це також продукт від Втеча тому ви можете бути впевнені в їхніх тестах і надійності.
І деякі з ключових функцій включають:
- Актуальна база даних Escape
- Реєстрація не потрібна
- Можливість перевірити кінцеву точку в один клік
- Безкоштовне обслуговування
Отже, якщо ви тільки починаєте свій онлайн-бізнес і маєте бюджетні обмеження, я настійно рекомендую використовувати graph.security.
Тестування API Qualysec GraphQL на проникнення
Qualysec надає професійне тестування GraphQL API Penetration Testing і є службою оцінки кібербезпеки, тож ви можете виявити вразливості та виправити їх і бути впевненим у всіх проблемах безпеки.
І ось деякі цікаві функції, які вони надають:
- Продукт проаналізовано для тестування OWASP Top 10 GraphQL API для захисту від найпоширеніших загроз.
- Динамічне тестування API.
- Статичне тестування API.
- Аналіз складу програмного забезпечення.
Крім функцій безпеки, їхній звіт про сканування вразливостей є видатним, оскільки він містить звіт про проникнення, звіт про повторне тестування, лист атестації та сертифікат безпеки.
Сканування безпеки AppCheck
Appcheck надає повну допомогу для тестування API, але не тільки це. Він оснащений кількома функціями, такими як сканування SPA, виявлення кінцевих точок тощо.
Але тут є ще щось:
- Економить час завдяки практичному робочому процесу.
- Сумісний із Jira, TeamCity та іншими інструментами розробки.
- Відкрийте для себе нуль днів, а також понад 100 000 відомих недоліків безпеки та повний OWASP.
Досить великий список функцій. чи не так?
Короткий опис Тестування безпеки API
Конспект має програму тестування API, яка автоматично виявляє відкриті кінцеві точки вашої програми, і все це працюватиме у фоновому режимі безперервно!
Все ще недостатньо, щоб переконати вас? Ось ще кілька дивовижних функцій:
- Виявляє недоліки в коді та даних за допомогою візуального відображення
- Автоматичне виявлення вразливих місць
- Оцінка загрози та ризику
Тестування Bright Security API
Яскрава охорона Служби розроблені для сучасних мікросервісних середовищ і забезпечують повну інтеграцію з SDLC, CI/CD і робочими процесами git, щоб уразливості можна було виявити якомога легше.
Ось деякі ключові особливості безпеки Bright:
- Зручний CLI для розробників
- 100% заснований на SaaS
- Інтеграція CI/CD
- Уразливості зіставлено з топ-10 безпеки OWASP API
Підведенню…
У цьому підручнику я пояснив ключові вразливості GraphQL і найкращі інструменти для пошуку та усунення вразливостей GraphQL.
Сподіваюся, цей посібник буде для вас корисним.
Вам також може бути цікаво почитати про GraphQL проти REST API і про те, коли використовувати.