Metlo API Security

あなたのAPIを保護します。

MetloはオープンソースのAPIセキュリティプラットフォームです

Metloは、15分以内にセットアップできるオープンソースのAPIセキュリティツールで、エンドポイントを一覧化し、悪意のあるアクターを検出し、悪意のあるトラフィックをリアルタイムでブロックします。

• API攻撃をリアルタイムに検出します。
• 悪意のあるアクターを自動的にブロックします。
• すべてのAPIエンドポイントと機密データのインベントリを作成します。
• APIを本番環境に投入する前にプロアクティブにテストします。

無料で始めましょう！

オープンソース製品をデプロイしたい場合は、AWS、GCP、Azure、Dockerの手順をご用意しています。

機能

• エンドポイントディスカバリー - Metloはネットワークトラフィックをスキャンし、API内のすべてのエンドポイントのインベントリを作成します。
• 機密データスキャン - 各エンドポイントはPIIデータがないかスキャンされ、リスクスコアが割り当てられます。
• 攻撃検出 - MetloはAPIトラフィックを受動的にリッスンし、悪意のあるリクエストすべてにタグを付けます。モデルは悪意のあるリクエストのパターンに基づいて構築され、不正なアクターやAPI攻撃を検出します。
• 攻撃コンテキスト - MetloのUIは攻撃に関する完全なコンテキストを提供し、脆弱性を迅速に修正するのに役立ちます。
• 攻撃ブロッキング - クラウド検出エンジンが不正なアクターを特定し、APIの動作モデルを構築します。各エージェントはこのメタデータをクラウドから取得し、悪意のあるリクエストをリアルタイムでブロックします。
• APIセキュリティテスト - Metloで直接セキュリティテストを構築します。BOLA、Broken Authentication、SQLインジェクションなどのOWASP Top 10脆弱性に対するテストを自動生成します。
• CI/CD統合 - CI/CDと統合して、開発環境およびステージング環境で問題を発見します。

テスト

自動生成できないテストについては、内蔵のテストフレームワークが、最もリスクの高いAPIで100%のセキュリティカバレッジを達成するのに役立ちます。YAML形式でテストを構築し、APIが意図したとおりに動作していることを確認できます。

例えば、次のテストは認証の破損をチェックします。

id: test-payment-processor-metlo.com-user-billing

meta:
  name: test-payment-processor.metlo.com/user/billing Test Auth
  severity: CRITICAL
  tags:
    - BROKEN_AUTHENTICATION

test:
  - request:
      method: POST
      url: https://test-payment-processor.metlo.com/user/billing
      headers:
        - name: Content-Type
          value: application/json
        - name: Authorization
          value: ...
      data: |-
        { "ccn": "...", "cc_exp": "...", "cc_code": "..." }
    assert:
      - key: resp.status
        value: 200
  - request:
      method: POST
      url: https://test-payment-processor.metlo.com/user/billing
      headers:
        - name: Content-Type
          value: application/json
      data: |-
        { "ccn": "...", "cc_exp": "...", "cc_code": "..." }
    assert:
      - key: resp.status
        value: [ 401, 403 ]

詳細はドキュメントをご覧ください。

なぜMetloなのか？

ほとんどの企業は、Webサイトやアプリを動かすために公開APIを採用しています。 これにより、ビジネスの攻撃対象領域が劇的に増加しています。 わずか昨年1年間でAPIセキュリティ侵害は200%増加し、Uber、Meta、Experian、Just Dialなどの企業のAPIから数百万件のレコードが漏洩しました。 セキュリティチームがAPIのセキュリティを強化するためのツールが必要なのは明らかですが、市場には優れたソリューションはありません。

一部のソリューションでは、製品を試すためにセールスコールを経る必要があり、また別のソリューションでは、すべてのAPIトラフィックを自社のクラウドに送信する必要があります。Metloは、セルフホストが可能で、すぐに無料で始められる最初のオープンソースAPIセキュリティプラットフォームです！

オープンソース vs 有料

このリポジトリは完全にMITライセンスです。ユーザー管理、ユーザーロール、攻撃保護などの機能にはエンタープライズライセンスが必要です。詳細についてはお問い合わせください。

開発

Metloをローカルで開発する方法の詳細は、開発ガイドをご確認ください。