Para quem não sabe, GraphQL é uma linguagem de query e runtime para APIs desenvolvida pelo Facebook e agora é open-source (alívio 😌).
E como qualquer outro software, o GraphQL também tem seus próprios prós e contras.
Você pode ignorar contras relacionados a recursos ou funcionalidades. Mas e se eu te disser que existe uma lista de vulnerabilidades no GraphQL?
Não se preocupe. Existem várias ferramentas que ajudarão você a encontrar e corrigir as vulnerabilidades de segurança do GraphQL.
Mas antes de apresentar as ferramentas, primeiro, vamos dar uma olhada no que é GraphQL e quais são suas vulnerabilidades.
últimas postagens
O que é GraphQL?
Para explicar o que é GraphQL, imagine um cenário; você está sentado em um restaurante pedindo almoço.
Mas você pode não querer o prato exato mencionado no menu. Às vezes, você pode querer incluir/remover alguns ingredientes. Digamos que você seja alérgico a nozes e queira personalizar a comida como quiser.
Pense no GraphQL como um garçom que personaliza sua comida especificada e obtém exatamente o que você pediu, mas o GraphQL trabalha com os dados dos servidores.
O uso de aplicativos modernos e tecnológicos pode fornecer dados específicos que economizam muita largura de banda e também melhoram a experiência do usuário.
Leia mais sobre o principal software GraphQL.
Vulnerabilidades do GraphQL
Aqui está uma lista da lista potencial de vulnerabilidades que podem ser usadas por pessoas com intenções obscuras de violar informações confidenciais.
- Busca excessiva e busca insuficiente: essa vulnerabilidade pode esgotar demais os recursos do servidor. Se as instruções para buscar dados do GraphQL forem impróprias, isso pode levar a over-fetching (obtém mais dados do que o solicitado) ou under-fetching (obtém menos dados do que o solicitado e faz com que o usuário solicite os dados várias vezes).
- Excesso de exposição de dados: quando o controle de acesso é mal configurado, ele expõe os dados críticos. E se o servidor permitir acesso não autorizado, qualquer hacker com habilidades suficientes pode violar os dados facilmente.
- Problema de consultas aninhadas: por padrão, não há limite de complexidade, o que permite enviar consultas complexas. Agora pense em várias consultas complexas aninhadas que adquirirão todos os recursos do sistema, levando a uma resposta lenta e até mesmo a um possível ataque DOS (Denial Of Service).
- Injeções: GraphQL nada mais é do que uma linguagem de consulta com entrada fornecida pelo usuário, o que significa simplesmente que, se sua API não for segura, ela pode ser injetada com código malicioso e seu banco de dados, sistema de arquivos e até mesmo a rede e o sistema operacional podem ser direcionados.
- Bombas GraphQL: foram descobertas em agosto de 2022 e afetam as APIs implementadas Carregamento de arquivos GraphQL. Este é um ataque DOS (Denial Of Service) que envolve o envio de muitas solicitações HTTP para o terminal GraphQL.
- Cabeçalhos HTTP mal configurados: embora pareça nada, acredite, isso pode causar muito mais danos do que você pensa. Se não for configurado corretamente, ele pode abrir portas para ataques como CSRF (Cross-Site Request Forgery), MIME sniffing, Man in the Middle attack e muito mais.
- A limitação de taxa está configurada incorretamente ou não está configurada: A limitação de taxa nada mais é do que limitar o número de consultas que o cliente pode fazer em um período de tempo específico. E se não for configurado, isso leva a uma ameaça potencial do DOS!
Parece assustador? Não é?
Agora vou compartilhar algumas das melhores ferramentas que você pode usar para encontrar e corrigir vulnerabilidades do GraphQL e proteger seu servidor. Aqui está um resumo das ferramentas que discutiremos.
Recursos notáveis do produtoFuja da segurança do GraphQLVarreduras rápidas, riscos reais, integração com ferramentas de desenvolvedorScanner Inviciti GraphQLVerifica vários ataques, proteção contra ataques modernosTeste StackHawk GraphQLVerificações contínuas de vulnerabilidade, segurança automatizadaSegurança do BeagleTeste ativo, integração CI/CD, relatórios detalhadosSegurança de ponto GraphQLOpção gratuita, verificação de endpoint, banco de dados atualizadoTeste de caneta Qualysec GraphQLAnálise OWASP Top 10, teste de API dinâmico/estáticoVerificação de segurança do AppCheckTeste de API, SPA e endpoint, suporte Jira/TeamCitySinopse API Security TestingTeste contínuo em segundo plano, mapeamento visual de falhasTeste de API de segurança brilhanteFoco em microsserviço, CLI, baseado em SaaS, integração CI/CD
Fuja da segurança do GraphQL
Escapar constrói seus produtos mantendo os desenvolvedores em mente, e seu verificador de segurança GeaphQL não é diferente.
Sendo um dos poucos provedores de serviços de segurança, você pode ter certeza de que a nova vulnerabilidade será verificada em um momento.
Mas tem mais:
- Demora cerca de 60 segundos para iniciar a primeira varredura!
- O banco de dados do Escape foi mantido atualizado quanto às vulnerabilidades.
- Mostra riscos reais em vez de mostrar problemas que podem ser um risco.
- Integração com suas ferramentas de desenvolvedor favoritas.
Portanto, se você está procurando uma solução rápida e fácil para verificar a vulnerabilidade do GraohQL, o Escape pode ser sua próxima parada.
Scanner Inviciti GraphQL
Anteriormente conhecido como Netsparker, Inviciti é um dos nomes mais confiáveis e populares entre as APIs de digitalização.
Mas o que um cliente quer saber é de quantos tipos de ataques ele pode cuidar, então aqui está uma lista de ataques graves e vulnerabilidades que podem ser verificados com este produto:
- Injeção de comando cego
- Injeção cega de SQL
- injeção de comando
- Execução remota de código
- Falsificação de solicitação do lado do servidor
Uma solução sólida para ser salvo dos ataques modernos.
Teste de segurança do StackHawk GraphQL
A melhor parte de usar Teste GraphQL do StackHawk é que ele verifica todas as vulnerabilidades do GraphQL a cada pull request.
E se esse recurso principal não for suficiente para conquistar seu coração, aqui estão os recursos mais interessantes do StackHawk:
- Testes de segurança automatizados.
- Testes e correções extremamente rápidos
- IU fácil
- Documentação magnífica para fácil auto-fixação
Muito legal. Certo?
Segurança do Beagle
Segurança do Beagle é especializada no fornecimento de soluções automatizadas de teste de segurança de aplicativos da Web e ajuda as empresas a identificar e corrigir falhas de segurança.
E suas quatro principais características os tornam super especiais:
- Testes intensivos e ativos
- Integrado com CI/CD
- Relatórios detalhados
- Sugestões de correção detalhadas de especialistas em segurança
Você também pode usar seus verificador de avaliação de site gratuito para encontrar vulnerabilidades em seu site.
GraphQL ponto Segurança (graphql.security)
Se você está procurando uma opção gratuita e confortável com recursos limitados, não há nada que supere a oferta de graphql.security.
Este também é um produto da Escapar para que você possa ter certeza de seus testes e confiabilidade.
E alguns dos principais recursos incluem:
- Banco de dados atualizado do Escape
- Nenhum registro necessário
- Capacidade de verificar endpoint em um único clique
- Serviço gratuito
Portanto, se você está apenas começando seu negócio on-line e tem restrições orçamentárias, eu recomendo usar o graph.security.
Teste de penetração da API Qualysec GraphQL
Qualysec fornece GraphQL API Penetration Testing profissional e é um serviço de avaliação de segurança cibernética, para que você possa descobrir vulnerabilidades e corrigi-las e ter certeza de todos os problemas de segurança.
E aqui estão alguns recursos interessantes que eles fornecem:
- Produto analisado para o OWASP Top 10 GraphQL API Testing para obter proteção contra as ameaças mais comuns.
- Teste dinâmico de API.
- Teste de API estática.
- Análise de composição de software.
Além dos recursos de segurança, seu relatório para verificação de vulnerabilidade é excelente, pois inclui um relatório de penetração, relatório de reteste, carta de atestado e certificado de segurança.
Verificação de segurança do AppCheck
Appcheck oferece assistência completa para testar APIs, mas não apenas isso. Ele vem com vários recursos, como rastreamento de SPA, descoberta de endpoint e muito mais.
Mas tem mais:
- Economiza tempo com fluxo de trabalho prático.
- Compatível com Jira, TeamCity e outras ferramentas de desenvolvimento.
- Descubra zero dias, mais de 100.000 falhas de segurança conhecidas e OWASP completo.
Uma lista bastante grande de recursos. Não é?
Sinopse API Security Testing
Sinopse tem um programa de teste de API que descobrirá automaticamente os endpoints expostos de seu aplicativo, e tudo isso será executado continuamente em segundo plano!
Ainda não é o suficiente para convencê-lo? Aqui estão mais alguns recursos incríveis:
- Aponta falhas no código e nos dados com mapeamento visual
- Descoberta automática de vulnerabilidade
- Avaliação de ameaças e riscos
Teste de API de segurança brilhante
segurança brilhante Os serviços são projetados para ambientes de microsserviços modernos e fornecem integração perfeita com fluxos de trabalho SDLC, CI/CD e git para que as vulnerabilidades possam ser detectadas com a maior facilidade possível.
E aqui estão alguns dos principais recursos da segurança Bright:
- CLI conveniente para desenvolvedores
- 100% baseado em SaaS
- Integração CI/CD
- Vulnerabilidades mapeadas para o OWASP API Security Top 10
Empacotando…
Neste tutorial, expliquei as principais vulnerabilidades do GraphQL e as melhores ferramentas para encontrar vulnerabilidades do GraphQL e corrigi-las.
Espero que você ache este guia útil.
Você também pode estar interessado em ler sobre GraphQL vs. REST API e quando usar qual.