Akto.io API Security

Contribuidores

O que é a Akto?

Como funciona • Primeiros passos • Inventário de APIs • Testes de API • Adicionar teste • Junte-se à comunidade no Discord •

A Akto é uma plataforma instantânea e open source de segurança de APIs que leva apenas 60 segundos para começar a ser usada. A Akto é usada por equipes de segurança para manter um inventário contínuo de APIs, testar APIs em busca de vulnerabilidades e encontrar problemas em tempo de execução. A Akto oferece cobertura para todas as categorias do OWASP Top 10 e do HackerOne Top 10, incluindo BOLA, autenticação, SSRF, XSS, configurações de segurança, etc. O poderoso motor de testes da Akto executa uma variedade de testes de lógica de negócio lendo dados de tráfego para entender o padrão de tráfego das APIs, resultando em menos falsos positivos. A Akto pode se integrar a várias fontes de tráfego - burpsuite, AWS, postman, GCP, gateways, etc. Aqui está o nosso roadmap público para este trimestre.

A Akto permite que equipes de segurança e engenharia protejam suas APIs ao fazer três coisas:

https://user-images.githubusercontent.com/91306853/216407351-d18c396b-5cd0-4cbc-a350-10a76b1d67b3.mp4

Como funciona?

Passo 1: Criar inventário

Passo 2: Executar testes

Como começar?

Usando docker-compose (funciona em qualquer máquina com Docker instalado)

Execute os seguintes comandos para instalar a Akto. Você precisará ter curl e Docker instalados para executar o contêiner..

Clone o repositório da Akto usando este comando git clone https://github.com/akto-api-security/akto.git
Vá para o diretório clonado cd akto
Execute docker-compose up -d

Se você estiver configurando isto na sua própria nuvem (AWS/GCP/Heroku), leia esta seção

Certifique-se do seguinte para boas práticas de segurança

Abra a regra de segurança de entrada apenas para a porta 9090. E restrinja o CIDR de origem apenas ao CIDR da VPC ou ao seu IP.
Use uma EC2 de uma sub-rede privada -

a. Dessa forma, ninguém conseguirá fazer uma solicitação de entrada para a sua máquina.

b. Garanta que essa sub-rede privada tenha acesso à Internet para que as chamadas de saída sejam bem-sucedidas!

c. Talvez seja necessário configurar um túnel para acessar a instância via VPN usando ssh -i pemfile ec2-user@vpn-public-instance -L 9090:private-instance:9090

d. No seu navegador, visite http://private-instance:9090
Use uma EC2 de uma sub-rede pública - por favor, não faça isso! Se você ainda quiser fazer isso, pode pular 2.b e 2.c. Simplesmente acesse a sua instância via http://ip:9090

A Akto é realmente poderosa na implantação em nuvem se você puder fornecer o tráfego espelhado da sua aplicação (0 impacto no desempenho). Você também poderá agendar testes em CI/CD e convidar mais membros da equipe para o painel. Para isso, você deve instalar a edição Enterprise da Akto disponível aqui. Leia mais sobre isso aqui

Tutoriais de testes de segurança de API

Título	Link
Introdução	https://www.youtube.com/watch?v=oFt4OVmfE2s
Tutorial 1: Varredura de portas via SSRF (OWASP API7:2023)	https://www.youtube.com/watch?v=WjNNh6asAD0

Desenvolva e contribua

Configuração rápida usando Devcontainers do VSCode

Pré-requisitos:

Instale o VSCode
Instale a extensão Dev Containers do VSCode
Windows: Docker Desktop 2.0+ no Windows 10 Pro/Enterprise. O Windows 10 Home (2004+) requer Docker Desktop 2.3+ e o back-end WSL 2.
macOS: Docker Desktop 2.0+.
Linux: Docker CE/EE 18.06+ e Docker Compose 1.21+.

Nota: Se estiver usando o Docker Desktop, considere alterar a alocação de memória para 8 GB para obter melhor desempenho

Passos:

Clone o repositório e abra no vscode

Abra o terminal
mkdir ~/akto_code
cd ~/akto_code
git clone https://github.com/akto-api-security/akto
Abra no VScode: code akto

Inicie o Dev Container

Vá para Exibir > Paleta de Comandos e digite: Dev Containers: Reopen in Container
Aguarde o Dev Container ser configurado.
Abra localhost:9090 no seu navegador para ver o painel da Akto

akto v2.14.7