Akto.io API Security

Mitwirkende

Was ist Akto?

So funktioniert's • Erste Schritte • API-Inventar • API-Tests • Test hinzufügen • Discord-Community beitreten •

Akto ist eine sofort einsetzbare Open-Source-API-Sicherheitsplattform, mit der du in nur 60 Sekunden loslegen kannst. Akto wird von Sicherheitsteams genutzt, um ein kontinuierliches Inventar von APIs zu pflegen, APIs auf Schwachstellen zu testen und Laufzeitprobleme zu finden. Akto bietet Abdeckung für alle OWASP-Top-10- und HackerOne-Top-10-Kategorien, einschließlich BOLA, Authentifizierung, SSRF, XSS, Sicherheitskonfigurationen usw. Die leistungsstarke Test-Engine von Akto führt eine Vielzahl von Geschäftslogiktests durch, indem sie Verkehrsdaten liest, um API-Verkehrsmuster zu verstehen, was zu weniger Fehlalarmen führt. Akto kann in mehrere Verkehrsquellen integriert werden – burpsuite, AWS, postman, GCP, Gateways usw. Hier ist unsere öffentliche Roadmap für dieses Quartal.

Akto ermöglicht Sicherheits- und Entwicklungsteams, ihre APIs auf drei Arten abzusichern:

https://user-images.githubusercontent.com/91306853/216407351-d18c396b-5cd0-4cbc-a350-10a76b1d67b3.mp4

Wie funktioniert es?

Schritt 1: Inventar erstellen

Schritt 2: Tests ausführen

Wie fange ich an?

Mit docker-compose (funktioniert auf jedem Rechner mit installiertem Docker)

Führe die folgenden Befehle aus, um Akto zu installieren. Du benötigst curl und Docker, um den Container auszuführen.

Klone das Akto-Repo mit diesem Befehl: git clone https://github.com/akto-api-security/akto.git
Wechsle in das geklonte Verzeichnis: cd akto
Führe docker-compose up -d aus

Wenn du dies in deiner eigenen Cloud (AWS/GCP/Heroku) einrichtest, lies diesen Abschnitt

Bitte stelle Folgendes sicher, um gute Sicherheitspraktiken anzuwenden:

Öffne die eingehende Sicherheitsregel nur für Port 9090. Und beschränke das Quell-CIDR auf das VPC-CIDR oder nur deine IP.
Verwende eine EC2-Instanz aus einem privaten Subnetz –

a. Auf diese Weise kann niemand eine eingehende Anfrage an deine Maschine senden.

b. Stelle sicher, dass dieses private Subnetz Zugriff auf das Internet hat, damit ausgehende Aufrufe erfolgreich sind!

c. Möglicherweise musst du Tunneling einrichten, um die Instanz über VPN zu erreichen, indem du ssh -i pemfile ec2-user@vpn-public-instance -L 9090:private-instance:9090 verwendest

d. Besuche in deinem Browser http://private-instance:9090
Verwende eine EC2-Instanz aus einem öffentlichen Subnetz – bitte tu das nicht! Wenn du es trotzdem tun möchtest, kannst du 2.b und 2.c überspringen. Greife einfach über http://ip:9090 auf deine Instanz zu

Akto ist bei Cloud-Bereitstellungen wirklich leistungsfähig, wenn du den gespiegelten Datenverkehr deiner Anwendung bereitstellen kannst (ohne Leistungseinbußen). Du kannst dann auch Tests in CI/CD planen und weitere Teammitglieder zum Dashboard einladen. Dafür solltest du die Akto Enterprise Edition installieren, die hier verfügbar ist. Mehr dazu hier

Tutorials für API-Sicherheitstests

Titel	Link
Einführung	https://www.youtube.com/watch?v=oFt4OVmfE2s
Tutorial 1: SSRF-Portscan (OWASP API7:2023)	https://www.youtube.com/watch?v=WjNNh6asAD0

Entwickeln und mitwirken

Schnelleinrichtung mit VSCode Devcontainers

Voraussetzungen:

VSCode installieren
VSCode-Dev-Containers-Erweiterung installieren
Windows: Docker Desktop 2.0+ auf Windows 10 Pro/Enterprise. Windows 10 Home (2004+) erfordert Docker Desktop 2.3+ und das WSL-2-Backend.
macOS: Docker Desktop 2.0+.
Linux: Docker CE/EE 18.06+ und Docker Compose 1.21+.

Hinweis: Wenn du Docker Desktop verwendest, solltest du die Speicherzuweisung auf 8 GB erhöhen, um eine bessere Leistung zu erzielen.

Schritte:

Repo klonen und in VSCode öffnen

Terminal öffnen
mkdir ~/akto_code
cd ~/akto_code
git clone https://github.com/akto-api-security/akto
In VSCode öffnen: code akto

akto v2.13.1