웹 API 퍼즈 테스팅

테스팅, 보안, 취약점, 자동화 및 오류.

웹 API 퍼즈 테스팅은 API 동작 파라미터에 예상치 못한 값을 전달해 백엔드에서 예기치 않은 동작과 오류를 일으킵니다. 퍼즈 테스팅으로 다른 QA 프로세스가 놓칠 수 있는 버그와 잠재적 취약점을 찾아냅니다. 퍼즈 테스팅은 GitLab Secure 의 다른 보안 스캐너 및 자체 테스트 프로세스에 더해 사용해야 합니다. GitLab CI/CD 를 사용한다면 CI/CD 워크플로의 일부로 퍼즈 테스트를 실행할 수 있습니다. 개요는 Web API fuzzing - Advanced Security Testing 을 참고합니다. 시작하기 # CI/CD 구성을 편집해 API 퍼징을 시작합니다. 필수 조건: 지원되는 API 유형 중 하나를 사용하는 웹 API: REST API SOAP GraphQL 폼 본문, JSON 또는 XML 다음 형식 중 하나로 된 API 사양: OpenAPI v2 또는 v3 사양 GraphQL 스키마 HTTP Archive(HAR) Postman Collection v2.0 또는 v2.1 Linux/amd64에서 docker 실행기를 사용하는 가용 GitLab Runner. 배포된 대상 애플리케이션. deploy Stage 다음에 fuzz Stage가 CI/CD 파이프라인 정의에 추가되어 있어야 합니다: stages: - build - test - deploy - fuzz API 퍼징을 활성화하려면: 웹 API 퍼징 구성 양식 을 사용합니다. 이 양식에서는 가장 일반적인 API 퍼징 옵션의 값을 선택할 수 있으며, GitLab CI/CD 구성에 붙여넣을 YAML 스니펫을 생성합니다. 결과 이해하기 # 보안 스캔의 출력을 확인하려면: 상단 바에서 Search or go to 를 선택하고 프로젝트를 찾습니다. 왼쪽 사이드바에서 Build > Pipelines 를 선택합니다. 파이프라인을 선택합니다. Security 탭을 선택합니다. 취약점을 선택해 다음을 포함한 세부 정보를 확인합니다: Status: 취약점이 분류되었는지 또는 해결되었는지를 나타냅니다. Description: 취약점의 원인, 잠재적 영향, 권장 조치 단계를 설명합니다. Severity: 영향도에 따라 여섯 단계로 분류됩니다. 자세한 내용은 심각도 수준 을 참고합니다. Scanner: 해당 취약점을 탐지한 분석기를 식별합니다. Method: 취약한 서버 상호 작용 유형을 확인합니다. URL: 취약점의 위치를 표시합니다. Evidence: 해당 취약점의 존재를 증명하는 테스트 케이스를 설명합니다 Identifiers: CWE 식별자처럼 취약점을 분류하는 데 사용한 참조 목록. 보안 스캔 결과를 다운로드할 수도 있습니다: 파이프라인의 Security 탭에서 Download results 를 선택합니다. 자세한 내용은 파이프라인 보안 보고서 를 참고합니다. Note 결과는 기능 브랜치에서 생성됩니다. 기본 브랜치에 머지되면 취약점이 됩니다. 이 구분은 보안 상태를 평가할 때 중요합니다. 최적화 # API 퍼징을 최대한 활용하려면 다음 권장 사항을 따릅니다: 최신 버전의