评估概览
评估内容
端点库存、版本、用户角色、架构和测试数据
对对象和功能的认证、令牌和授权进行测试
审查输入处理、数据外泄、速率限制和资源消耗
受控验证真实的 API 滥用案例。
来自请求和响应的证据、受影响角色、补救措施和重新测试
测试覆盖范围
检查内容
最终覆盖范围取决于约定的系统、访问权限、目标、排除项目及安全要求。
对象与功能授权
身份验证和令牌生命周期
输入验证和注入
速率限制和资源消耗
敏感数据泄露
清单、版本控制和不安全整合
行业参考资料
如何获取覆盖范围信息
OWASP API 安全十大
基于常见 API 授权、数据、资源及库存弱点风险的覆盖范围。
OWASP Web 安全测试指南
支持身份验证、会话、输入处理和传输的测试技术。
NIST SP 800-115
评估规划、证据处理、分析和缓解。
这些参考资料为评估提供依据。测试本身并不提供认证或保证合规。
最终报告
报告中包含的内容
报告专为决策者和负责修复的团队而设计。
端点和角色覆盖范围摘要
带有请求证据的已验证发现
滥用情景和业务影响分析
工程修复指南
验证重新测试
讨论所需的范围和报告。
DIGITPOL HK 将在测试前确认目标、限制、证据需求和报告要求。