Akto.io API 보안

기여자

Akto란 무엇인가?

작동 방식 • 시작하기 • API 인벤토리 • API 테스트 • 테스트 추가 • Discord 커뮤니티 참여하기 •

Akto는 시작하는 데 단 60초밖에 걸리지 않는 즉시 사용 가능한 오픈소스 API 보안 플랫폼입니다. 보안 팀은 Akto를 사용하여 API 인벤토리를 지속적으로 유지 관리하고, API의 취약점을 테스트하며, 런타임 문제를 찾아냅니다. Akto는 BOLA, 인증, SSRF, XSS, 보안 구성 등을 포함한 모든 OWASP Top 10 및 HackerOne Top 10 카테고리를 지원합니다. Akto의 강력한 테스트 엔진은 트래픽 데이터를 읽어 API 트래픽 패턴을 파악함으로써 다양한 비즈니스 로직 테스트를 실행하며, 이를 통해 오탐(false positives)을 줄여줍니다. Akto는 burpsuite, AWS, postman, GCP, 게이트웨이 등 여러 트래픽 소스와 통합할 수 있습니다. 이번 분기의 공개 로드맵은 여기에서 확인할 수 있습니다.

Akto는 보안 및 엔지니어링 팀이 다음 세 가지 작업을 통해 API를 보호할 수 있게 해줍니다:

https://user-images.githubusercontent.com/91306853/216407351-d18c396b-5cd0-4cbc-a350-10a76b1d67b3.mp4

어떻게 동작하나요?

1단계: 인벤토리 생성

2단계: 테스트 실행

시작하는 방법

docker-compose 사용하기 (Docker가 설치된 모든 머신에서 동작)

Akto를 설치하려면 다음 명령어를 실행하세요. 컨테이너를 실행하려면 curl과 Docker가 설치되어 있어야 합니다..

다음 명령어로 Akto 저장소를 클론하세요 git clone https://github.com/akto-api-security/akto.git
클론한 디렉토리로 이동하세요 cd akto
docker-compose up -d를 실행하세요

자체 클라우드(AWS/GCP/Heroku)에 설정하는 경우 이 섹션을 읽어보세요

좋은 보안 관행을 위해 다음 사항을 확인하세요

인바운드 보안 규칙을 포트 9090만 열어두세요. 그리고 소스 CIDR을 VPC CIDR 또는 본인 IP로만 제한하세요.
프라이빗 서브넷의 EC2를 사용하세요 -

a. 이렇게 하면 아무도 머신으로 인바운드 요청을 보낼 수 없습니다.

b. 아웃바운드 호출이 성공할 수 있도록 이 프라이빗 서브넷이 인터넷에 접근할 수 있는지 확인하세요!

c. ssh -i pemfile ec2-user@vpn-public-instance -L 9090:private-instance:9090를 사용하여 VPN을 통해 인스턴스에 접근하려면 터널링을 설정해야 할 수도 있습니다.

d. 브라우저에서 http://private-instance:9090에 접속하세요
퍼블릭 서브넷의 EC2를 사용하세요 - 그러지 마세요! 그래도 이렇게 하려면 2.b와 2.c를 건너뛰어도 됩니다. http://ip:9090으로 인스턴스에 접속하기만 하면 됩니다.

애플리케이션의 미러링된 트래픽(성능 영향 0)을 제공할 수 있다면 Akto는 클라우드 배포에서 매우 강력합니다. 또한 CI/CD에서 테스트를 예약하고 대시보드에 더 많은 팀원을 초대할 수도 있습니다. 이를 위해 여기에서 제공되는 Akto 엔터프라이즈 에디션을 설치해야 합니다. 자세한 내용은 여기에서 확인하세요.

API 보안 테스트 튜토리얼

제목	링크
소개	https://www.youtube.com/watch?v=oFt4OVmfE2s
튜토리얼 1: SSRF 포트 스캐닝 (OWASP API7:2023)	https://www.youtube.com/watch?v=WjNNh6asAD0

개발 및 기여

VSCode Devcontainers를 사용한 빠른 설정

사전 요구사항:

VSCode 설치
VSCode Dev Containers 확장 프로그램 설치
Windows: Windows 10 Pro/Enterprise에서 Docker Desktop 2.0+ 버전. Windows 10 Home(2004+)은 Docker Desktop 2.3+ 및 WSL 2 백엔드가 필요합니다.
macOS: Docker Desktop 2.0+.
Linux: Docker CE/EE 18.06+ 및 Docker Compose 1.21+.

참고: Docker Desktop을 사용하는 경우 더 나은 성능을 위해 메모리 할당을 8GB로 변경하는 것을 고려하세요.

단계:

저장소 클론 및 VSCode에서 열기

터미널을 엽니다
mkdir ~/akto_code
cd ~/akto_code
git clone https://github.com/akto-api-security/akto
VSCode에서 열기: code akto

Dev Container 시작

보기(View) > 명령 팔레트(Command Palette)로 이동하여 다음을 입력하세요: Dev Containers: Reopen in Container
Dev Container가 설정될 때까지 기다립니다.
웹 브라우저에서 localhost:9090을 열어 Akto 대시보드를 확인합니다

수동 설치 지침

사전 요구사항

OpenJDK 8, node(v18.7.0+ 링크), npm(v8.15.0+), maven (v3.6.3 링크), MongoDB (v5.0.3+ 링크)

저장소 클론

mkdir ~/akto_code
cd akto_code
git clone https://github.com/akto-api-security/akto

데이터베이스 설정

새 터미널 탭을 엽니다
cd ~
mkdir ~/akto_mongo_data
<path_to_mongo_folder>/bin/mongod --dbpath ~/akto_mongo_data

프론트엔드 설정

새 터미널 탭을 엽니다
cd ~/akto_code/akto
cd apps/dashboard/web/polaris_web
npm install
npm run hot

대시보드 설정

새 터미널 탭을 엽니다
cd ~/akto_code/akto
export AKTO_MONGO_CONN="mongodb://localhost:27017"
export DASHBOARD_MODE="local_deploy"
mvn clean install
mvn --projects :dashboard --also-make jetty:run -Djetty.port=9090

테스트 설정

새 터미널 탭을 엽니다
cd ~/akto_code/akto
cd apps/testing
export AKTO_MONGO_CONN="mongodb://localhost:27017"
mvn compile; mvn exec:java -Dexec.mainClass="com.akto.testing.Main"

Testing CLI 도구 사용

testing CLI 도구를 실행하려면 다음 명령어를 실행하세요

akto

인기