評估概覽
評估內容
端點庫存、版本、用戶角色、架構和測試數據
對物件和功能的認證、權杖和授權進行測試
審查輸入處理、數據外洩、速率限制和資源消耗
受控驗證真實的 API 濫用案例。
來自請求和回應的證據、受影響角色、補救措施和重新測試
測試覆蓋範圍
檢查內容
最終覆蓋範圍取決於協定的系統、存取權限、目標、排除項目及安全要求。
物件與功能授權
身份驗證和權杖生命週期
輸入驗證和注入
速率限制和資源消耗
敏感數據洩露
清單、版本控制和不安全整合
行業參考資料
如何獲取覆蓋範圍資訊
OWASP API 安全十大
基於常見 API 授權、數據、資源及庫存弱點風險的覆蓋範圍。
OWASP 網頁安全測試指南
支援身份驗證、會話、輸入處理和傳輸的測試技術。
NIST SP 800-115
評估規劃、證據處理、分析和緩解。
這些參考資料為評估提供依據。測試本身並不提供認證或保證合規。
最終報告
報告中包含的內容
報告專為決策者和負責修復的團隊而設計。
端點和角色覆蓋範圍摘要
帶有請求證據的已驗證發現
濫用情境和業務影響分析
工程修復指南
驗證重新測試
討論所需的範圍和報告。
DIGITPOL HK 將在測試前確認目標、限制、證據需求和報告要求。