Para aqueles que não estão familiarizados, GraphQL é uma linguagem de consulta e um ambiente de execução para APIs, originalmente desenvolvida pelo Facebook e que agora é de código aberto (um alívio, não é?).
Assim como qualquer outra tecnologia, o GraphQL possui seus próprios méritos e deméritos.
Você pode ignorar as desvantagens relacionadas a recursos ou funcionalidades. Mas, e se eu lhe dissesse que existe uma lista de vulnerabilidades em GraphQL?
Não se preocupe. Há várias ferramentas disponíveis para ajudá-lo a identificar e corrigir as falhas de segurança do GraphQL.
Antes de explorarmos as ferramentas, vamos entender o que é GraphQL e quais são suas vulnerabilidades.
O que é GraphQL?
Para ilustrar o conceito de GraphQL, imagine a seguinte situação: você está em um restaurante, prestes a pedir o almoço.
No entanto, você pode não querer o prato exatamente como descrito no menu. Às vezes, você pode querer adicionar ou remover alguns ingredientes. Suponha que você tenha alergia a nozes e queira personalizar sua refeição ao seu gosto.
Considere o GraphQL como um garçom que personaliza seu pedido e garante que você receba exatamente o que solicitou, só que o GraphQL opera com dados de servidores.
O uso de aplicações modernas e tecnológicas possibilita a obtenção de dados específicos, o que economiza largura de banda e melhora a experiência do usuário.
Leia mais sobre o principal software GraphQL.
Vulnerabilidades do GraphQL
A seguir, apresentamos uma lista de vulnerabilidades potenciais que podem ser exploradas por indivíduos mal-intencionados para violar informações confidenciais:
- Sobrecarga e subcarga de dados: Essa vulnerabilidade pode sobrecarregar os recursos do servidor. Se as instruções para recuperar dados do GraphQL forem inadequadas, isso pode levar a uma sobrecarga (obtenção de mais dados do que o necessário) ou subcarga (obtenção de menos dados do que o necessário, o que obriga o usuário a fazer múltiplas solicitações).
- Exposição excessiva de dados: Quando o controle de acesso é mal configurado, ele pode expor dados críticos. Se o servidor permitir acesso não autorizado, hackers com habilidades suficientes podem obter acesso aos dados com facilidade.
- Problemas com consultas aninhadas: Por padrão, não há limite para a complexidade, o que permite o envio de consultas complexas. Imagine várias consultas complexas aninhadas, que podem consumir todos os recursos do sistema, resultando em uma resposta lenta ou até mesmo em um possível ataque de Negação de Serviço (DoS).
- Injeções: GraphQL é essencialmente uma linguagem de consulta com entrada fornecida pelo usuário. Isso significa que, se sua API não for segura, ela pode ser alvo de injeção de código malicioso, comprometendo o banco de dados, o sistema de arquivos, a rede e o sistema operacional.
- Bombas GraphQL: Descobertas em agosto de 2022, elas afetam APIs que implementam Carregamento de arquivos GraphQL. Este ataque de Negação de Serviço (DoS) envolve o envio de um grande volume de solicitações HTTP para o ponto de acesso GraphQL.
- Cabeçalhos HTTP mal configurados: Embora possa parecer trivial, configurações incorretas de cabeçalhos HTTP podem abrir portas para ataques como Cross-Site Request Forgery (CSRF), sniffing de MIME, ataques do tipo “Man in the Middle”, entre outros.
- Limitação de taxa mal configurada ou inexistente: A limitação de taxa restringe o número de consultas que um cliente pode fazer em um determinado período de tempo. Se não for configurada, pode levar a uma ameaça de Negação de Serviço (DoS)!
Assustador, não é?
Agora, vou compartilhar algumas das melhores ferramentas que você pode usar para encontrar e corrigir vulnerabilidades em GraphQL, protegendo seu servidor. Aqui está um resumo das ferramentas que abordaremos:
| Produto | Recursos Notáveis |
| Escape GraphQL Security | Varreduras rápidas, riscos reais, integração com ferramentas de desenvolvedor |
| Invicti GraphQL Scanner | Verifica vários ataques, proteção contra ataques modernos |
| StackHawk GraphQL Security Testing | Verificações contínuas de vulnerabilidade, segurança automatizada |
| Beagle Security | Teste ativo, integração CI/CD, relatórios detalhados |
| GraphQL.security | Opção gratuita, verificação de endpoint, banco de dados atualizado |
| Qualysec GraphQL API Penetration Testing | Análise OWASP Top 10, teste de API dinâmico/estático |
| AppCheck Security Scanning | Teste de API, SPA e endpoint, suporte Jira/TeamCity |
| Synopsys API Security Testing | Teste contínuo em segundo plano, mapeamento visual de falhas |
| Bright Security API Testing | Foco em microsserviço, CLI, baseado em SaaS, integração CI/CD |
Escape GraphQL Security
Escape desenvolve seus produtos com foco nas necessidades dos desenvolvedores, e seu verificador de segurança GraphQL não é exceção.
Sendo um dos poucos fornecedores de serviços de segurança, você pode ter certeza de que novas vulnerabilidades serão identificadas rapidamente.
Mas há mais:
- Leva cerca de 60 segundos para iniciar a primeira varredura!
- O banco de dados do Escape é mantido atualizado com as últimas vulnerabilidades.
- Ele destaca riscos reais, em vez de problemas que podem potencialmente causar danos.
- Integra-se com suas ferramentas de desenvolvedor favoritas.
Portanto, se você está buscando uma solução rápida e fácil para verificar as vulnerabilidades do GraphQL, o Escape pode ser sua escolha ideal.
Invicti GraphQL Scanner
Anteriormente conhecido como Netsparker, Invicti é um dos nomes mais confiáveis e populares no campo de varredura de APIs.
O que importa para o cliente é o número de tipos de ataques que ele consegue detectar. Aqui está uma lista de ataques sérios e vulnerabilidades que podem ser identificados com este produto:
- Injeção de comando cega
- Injeção SQL cega
- Injeção de comando
- Execução remota de código
- Falsificação de solicitação do lado do servidor
Uma solução robusta para se proteger contra ataques modernos.
StackHawk GraphQL Security Testing
O principal benefício de usar o teste GraphQL do StackHawk é que ele verifica todas as vulnerabilidades do GraphQL a cada pull request.
Se esse recurso principal não for suficiente para conquistá-lo, aqui estão os recursos mais notáveis do StackHawk:
- Testes de segurança automatizados.
- Testes e correções ultrarrápidos
- Interface de usuário simples
- Documentação clara para fácil correção
Muito bom, não é?
Beagle Security
Beagle Security é especializada em fornecer soluções automatizadas de testes de segurança de aplicativos web, ajudando empresas a identificar e corrigir falhas de segurança.
Suas quatro características principais os tornam excepcionais:
- Testes ativos e intensivos
- Integração com CI/CD
- Relatórios detalhados
- Sugestões de correção detalhadas de especialistas em segurança
Você também pode usar o verificador de avaliação de site gratuito deles para encontrar vulnerabilidades em seu site.
GraphQL.security
Se você está procurando uma opção gratuita e confortável com recursos limitados, nada supera a oferta do graphql.security.
Este também é um produto da Escape, então você pode confiar em seus testes e confiabilidade.
E alguns dos principais recursos incluem:
- Banco de dados atualizado da Escape
- Não requer registro
- Capacidade de verificar o ponto de acesso com um único clique
- Serviço gratuito
Portanto, se você está começando seu negócio online e tem restrições orçamentárias, eu recomendaria o uso do graph.security.
Qualysec GraphQL API Penetration Testing
Qualysec fornece testes de penetração profissionais de API GraphQL e é um serviço de avaliação de segurança cibernética. Assim, você pode descobrir e corrigir vulnerabilidades, garantindo que todos os problemas de segurança sejam abordados.
E aqui estão alguns recursos interessantes que eles oferecem:
- Produto analisado em relação ao OWASP Top 10 GraphQL API Testing para proteção contra as ameaças mais comuns.
- Teste dinâmico de API.
- Teste estático de API.
- Análise de composição de software.
Além dos recursos de segurança, o relatório para verificação de vulnerabilidades é excelente, pois inclui um relatório de penetração, um relatório de reteste, uma carta de atestado e um certificado de segurança.
AppCheck Security Scanning
AppCheck oferece assistência completa para testar APIs, mas não se limita a isso. Ele vem com vários recursos, como rastreamento de SPA, descoberta de endpoint e muito mais.
Mas há mais:
- Economiza tempo com um fluxo de trabalho conveniente.
- Compatível com Jira, TeamCity e outras ferramentas de desenvolvimento.
- Descobre zero-days, mais de 100.000 falhas de segurança conhecidas e cumpre o padrão OWASP.
Uma lista impressionante de recursos, não é?
Synopsys API Security Testing
Synopsys possui um programa de teste de API que descobrirá automaticamente os pontos de acesso expostos de sua aplicação, e tudo isso será executado continuamente em segundo plano!
Ainda não o convenceu? Aqui estão mais alguns recursos incríveis:
- Identifica falhas no código e nos dados com mapeamento visual
- Descoberta automática de vulnerabilidades
- Avaliação de ameaças e riscos
Bright Security API Testing
Os serviços da Bright Security são projetados para ambientes de microsserviços modernos e fornecem integração perfeita com fluxos de trabalho SDLC, CI/CD e git, permitindo que as vulnerabilidades sejam detectadas com a maior facilidade possível.
E aqui estão alguns dos principais recursos da Bright Security:
- CLI conveniente para desenvolvedores
- 100% baseado em SaaS
- Integração CI/CD
- Vulnerabilidades mapeadas para o OWASP API Security Top 10
Concluindo…
Neste guia, expliquei as principais vulnerabilidades do GraphQL e as melhores ferramentas para identificar e corrigir vulnerabilidades do GraphQL.
Espero que você tenha achado este guia útil.
Você também pode estar interessado em aprender sobre GraphQL vs. REST API e quando usar cada um.