akto v2.14.7
Proattiva, sicurezza API open source → scoperta API, postura di sicurezza API, test in CI/CD, libreria di test con oltre 1000 test, aggiungi test personalizzati, esposizione di dati sensibili
Akto.io Sicurezza API
Contributori
Cos'è Akto?
Come funziona • Per iniziare • Inventario API • Test delle API • Aggiungi test • Unisciti alla community Discord •
Akto è una piattaforma open source e immediata per la sicurezza delle API che richiede solo 60 secondi per essere avviata. Akto è utilizzato dai team di sicurezza per mantenere un inventario continuo delle API, testare le API per individuare vulnerabilità e trovare problemi in fase di runtime. Akto offre copertura per tutte le categorie OWASP Top 10 e HackerOne Top 10, tra cui BOLA, autenticazione, SSRF, XSS, configurazioni di sicurezza, ecc. Il potente motore di test di Akto esegue una varietà di test di logica di business leggendo i dati del traffico per comprendere i pattern del traffico API, riducendo i falsi positivi. Akto può integrarsi con molteplici fonti di traffico: burpsuite, AWS, postman, GCP, gateway, ecc. Ecco la nostra roadmap pubblica per questo trimestre.
Akto consente ai team di sicurezza e ingegneria di proteggere le loro API facendo tre cose:
Come funziona?
Passo 1: Crea inventario
Passo 2: Esegui i test
Come iniziare?
Usando docker-compose (funziona su qualsiasi macchina con Docker installato)
Esegui i seguenti comandi per installare Akto. Avrai bisogno di avere curl e Docker installati per eseguire il container..
- Clona il repository Akto usando questo comando
git clone https://github.com/akto-api-security/akto.git - Vai nella directory clonata
cd akto - Esegui
docker-compose up -d
Se lo stai configurando nel tuo Cloud (AWS/GCP/Heroku), leggi questa sezione
Assicurati di seguire le seguenti buone pratiche di sicurezza
-
Apri la regola di sicurezza in ingresso solo per la porta 9090. E limita il CIDR di origine al CIDR della VPC o al tuo IP.
-
Usa un'EC2 da una subnet privata -
a. In questo modo, nessuno potrà effettuare una richiesta in ingresso verso la tua macchina.
b. Assicurati che questa subnet privata abbia accesso a Internet così che le chiamate in uscita possano riuscire!
c. Potresti dover configurare un tunnel per accedere all'istanza tramite VPN usando
ssh -i pemfile ec2-user@vpn-public-instance -L 9090:private-instance:9090d. Nel tuo browser, visita
http://private-instance:9090 -
Usa un'EC2 da una subnet pubblica - per favore non farlo! Se vuoi comunque farlo, puoi saltare 2.b e 2.c. Accedi semplicemente alla tua istanza tramite
http://ip:9090
Akto è davvero potente nel deployment su Cloud se puoi fornire il traffico mirrorato della tua applicazione (0 impatto sulle prestazioni). Potrai anche pianificare test in CI/CD e invitare più membri del team nella dashboard. Per questo, dovresti installare la versione Akto Enterprise disponibile qui. Leggi di più qui
Tutorial sui test di sicurezza API
| Titolo | Link |
|---|---|
| Introduzione | https://www.youtube.com/watch?v=oFt4OVmfE2s |
| Tutorial 1: SSRF Port Scanning (OWASP API7:2023) | https://www.youtube.com/watch?v=WjNNh6asAD0 |
Sviluppa e contribuisci
Configurazione rapida con VSCode Devcontainers
Prerequisiti:
- Installa VSCode
- Installa l'estensione Dev Containers di VSCode
- Windows: Docker Desktop 2.0+ su Windows 10 Pro/Enterprise. Windows 10 Home (2004+) richiede Docker Desktop 2.3+ e il backend WSL 2.
- macOS: Docker Desktop 2.0+.
- Linux: Docker CE/EE 18.06+ e Docker Compose 1.21+.
Nota: Se usi Docker Desktop, considera di cambiare l'allocazione di memoria a 8 GB per prestazioni migliori
Passaggi:
Clona il repository e aprilo in VSCode
- Apri il terminale
mkdir ~/akto_codecd ~/akto_codegit clone https://github.com/akto-api-security/akto- Aprilo in VSCode:
code akto
Avvia il Dev Container
- Vai su Visualizza > Riquadro comandi e digita: Dev Containers: Riapri nel Container
- Attendi che il Dev Container venga configurato.
- Apri localhost:9090 nel tuo browser web per vedere la dashboard di Akto