Metlo API Security

保护您的API。

Metlo 是一个开源的API安全平台

Metlo 是一个开源API安全工具，您可以在15分钟内完成部署，它能够盘点您的端点、检测恶意行为，并实时拦截恶意流量。

• 实时检测API攻击。
• 自动拦截恶意行为者。
• 创建所有API端点和敏感数据的清单。
• 在API投入生产前主动进行安全测试。

免费开始使用！

如果您想部署我们的开源产品，我们提供了面向 AWS、GCP、Azure 和 Docker 的部署说明。

功能特性

• 端点发现 - Metlo 扫描网络流量，为您API中的每一个端点建立清单。
• 敏感数据扫描 - 每个端点都会进行PII数据扫描，并给出风险评分。
• 攻击检测 - Metlo 被动监听您的API流量，并标记每一个恶意请求。我们的模型基于恶意请求的模式来检测恶意行为者和API攻击。
• 攻击上下文 - Metlo 的界面可提供攻击的完整上下文，帮助您快速修复漏洞。
• 攻击拦截 - 我们的云端检测引擎识别恶意行为者，并构建您API的工作模型。每个代理从云拉取这些元数据，实时拦截恶意请求。
• API安全测试 - 直接在Metlo中构建安全测试。自动生成针对OWASP Top 10漏洞（如BOLA、身份验证失效、SQL注入等）的测试用例。
• CI/CD集成 - 与您的CI/CD流水线集成，在开发和预发布阶段发现安全问题。

测试

对于那些无法自动生成的测试，我们内置的测试框架帮助您在对最高风险的API上实现100%的安全覆盖率。您可以用YAML格式构建测试，确保API按预期工作。

例如，以下测试用于检查身份验证失效：

id: test-payment-processor-metlo.com-user-billing

meta:
  name: test-payment-processor.metlo.com/user/billing Test Auth
  severity: CRITICAL
  tags:
    - BROKEN_AUTHENTICATION

test:
  - request:
      method: POST
      url: https://test-payment-processor.metlo.com/user/billing
      headers:
        - name: Content-Type
          value: application/json
        - name: Authorization
          value: ...
      data: |-
        { "ccn": "...", "cc_exp": "...", "cc_code": "..." }
    assert:
      - key: resp.status
        value: 200
  - request:
      method: POST
      url: https://test-payment-processor.metlo.com/user/billing
      headers:
        - name: Content-Type
          value: application/json
      data: |-
        { "ccn": "...", "cc_exp": "...", "cc_code": "..." }
    assert:
      - key: resp.status
        value: [ 401, 403 ]

更多信息请查看我们的文档。

为什么选择Metlo？

大多数企业已经采用面向公众的API来驱动其网站和应用程序，这显著增加了企业的攻击面。仅在过去一年中，API安全漏洞事件就增加了200%，Uber、Meta、Experian和Just Dial等公司的API泄露了数百万条记录。显然，安全团队需要工具来帮助保护API安全，但市场上却没有优秀的解决方案。

有些解决方案要求您先经过销售电话才能试用产品，而另一些则要求您将所有API流量发送到他们自己的云端。Metlo 是第一个开源的API安全平台，您可以自行托管，并立即免费开始使用！

开源版与付费版

本仓库完全采用MIT许可。用户管理、用户角色和攻击防护等功能需要企业许可证。如需更多信息，请联系我们。

开发

请查看我们的开发指南，了解如何在本地开发Metlo。