akto-api-security/aktoOpen-Source-API-Sicherheitsplattform für kontinuierliche API-Erkennung, Schwachstellentests und Laufzeit-Bedrohungserkennung. Integriert sich in CI/CD-Pipelines und deckt die OWASP Top 10 mit über 1000 integrierten Tests ab.
So funktioniert's • Erste Schritte • API-Inventar • API-Tests • Test hinzufügen • Discord-Community beitreten •
Akto ist eine sofort einsetzbare Open-Source-API-Sicherheitsplattform, mit der du in nur 60 Sekunden loslegen kannst. Akto wird von Sicherheitsteams genutzt, um ein kontinuierliches Inventar von APIs zu pflegen, APIs auf Schwachstellen zu testen und Laufzeitprobleme zu finden. Akto bietet Abdeckung für alle OWASP-Top-10- und HackerOne-Top-10-Kategorien, einschließlich BOLA, Authentifizierung, SSRF, XSS, Sicherheitskonfigurationen usw. Die leistungsstarke Test-Engine von Akto führt eine Vielzahl von Geschäftslogiktests durch, indem sie Verkehrsdaten liest, um API-Verkehrsmuster zu verstehen, was zu weniger Fehlalarmen führt. Akto kann in mehrere Verkehrsquellen integriert werden – burpsuite, AWS, postman, GCP, Gateways usw. Hier ist unsere öffentliche Roadmap für dieses Quartal.
Akto ermöglicht Sicherheits- und Entwicklungsteams, ihre APIs auf drei Arten abzusichern:
Schritt 1: Inventar erstellen
Schritt 2: Tests ausführen
Führe die folgenden Befehle aus, um Akto zu installieren. Du benötigst curl und Docker, um den Container auszuführen.
git clone https://github.com/akto-api-security/akto.gitcd aktodocker-compose up -d ausBitte stelle Folgendes sicher, um gute Sicherheitspraktiken anzuwenden:
Öffne die eingehende Sicherheitsregel nur für Port 9090. Und beschränke das Quell-CIDR auf das VPC-CIDR oder nur deine IP.
Verwende eine EC2-Instanz aus einem privaten Subnetz –
a. Auf diese Weise kann niemand eine eingehende Anfrage an deine Maschine senden.
b. Stelle sicher, dass dieses private Subnetz Zugriff auf das Internet hat, damit ausgehende Aufrufe erfolgreich sind!
c. Möglicherweise musst du Tunneling einrichten, um die Instanz über VPN zu erreichen, indem du ssh -i pemfile ec2-user@vpn-public-instance -L 9090:private-instance:9090 verwendest
d. Besuche in deinem Browser http://private-instance:9090
Verwende eine EC2-Instanz aus einem öffentlichen Subnetz – bitte tu das nicht! Wenn du es trotzdem tun möchtest, kannst du 2.b und 2.c überspringen. Greife einfach über http://ip:9090 auf deine Instanz zu
Akto ist bei Cloud-Bereitstellungen wirklich leistungsfähig, wenn du den gespiegelten Datenverkehr deiner Anwendung bereitstellen kannst (ohne Leistungseinbußen). Du kannst dann auch Tests in CI/CD planen und weitere Teammitglieder zum Dashboard einladen. Dafür solltest du die Akto Enterprise Edition installieren, die hier verfügbar ist. Mehr dazu hier
| Titel | Link |
|---|---|
| Einführung | https://www.youtube.com/watch?v=oFt4OVmfE2s |
| Tutorial 1: SSRF-Portscan (OWASP API7:2023) | https://www.youtube.com/watch?v=WjNNh6asAD0 |
Hinweis: Wenn du Docker Desktop verwendest, solltest du die Speicherzuweisung auf 8 GB erhöhen, um eine bessere Leistung zu erzielen.
mkdir ~/akto_codecd ~/akto_codegit clone https://github.com/akto-api-security/aktocode akto