Cristian Dinca

Cuprins

VULX

Am construit VULX pentru că verificările de securitate pentru API-uri sunt mult mai utile când se fac în timp ce construiești, nu după ce ceva ajunge în producție.

Capitolul 3Mergedvulx into mainsecuritate API · unelte pentru developeri

Context

Cel mai ieftin moment să repari o vulnerabilitate de API e înainte să existe codul. Multe probleme de API se văd deja în specificație, dacă ceva chiar o citește.

VULX ia o specificație OpenAPI 3.x sau Swagger 2.0 și o verifică după toate cele zece categorii din OWASP API Security Top 10 (2023), de la broken object-level authorization până la consumul nesigur de API-uri terțe.

Ce am făcut

  • Un motor de scanare în Python care procesează job-uri dintr-o coadă Redis.
  • Un API Express pe PostgreSQL care stochează proiectele și rezultatele.
  • Un dashboard React în care vezi proiectele, scanările și problemele găsite.
  • Un CLI pentru automatizare: vulx scan --project-id <id> --fail-on HIGH pică build-ul când rezultatele depășesc pragul, cu output JSON pentru pipeline-uri.
  • Configurări gata făcute pentru GitHub Actions, GitLab CI și Jenkins.
  • Rapoarte PDF cu un rezumat scurt, o matrice de acoperire OWASP, fiecare problemă cu dovezile și soluția ei și un plan de remediere în ordinea priorităților.
  • Organizații cu acces pe roluri și facturare prin Stripe, ca să poată rula ca SaaS.

Stack

TypeScript, Python, React, PostgreSQL, Redis, Docker.

Întoarce paginaCapitolul 4: Cocofy