The Cloudflare Blog
·
主动防御：为API引入有状态漏洞扫描器
内容提要
Cloudflare推出了Web和API漏洞扫描器的测试版，专注于检测API中的BOLA漏洞。传统防御无法有效应对API逻辑缺陷，因此需要主动检测。该扫描器将帮助识别复杂的API漏洞，未来将扩展到更多安全扫描类型。
关键要点
-
Cloudflare推出Web和API漏洞扫描器的测试版，专注于检测API中的BOLA漏洞。
-
传统防御无法有效应对API逻辑缺陷，因此需要主动检测。
-
该扫描器将帮助识别复杂的API漏洞，未来将扩展到更多安全扫描类型。
-
API漏洞与传统网络应用漏洞不同，主要是逻辑缺陷而非语法错误。
-
BOLA攻击示例：攻击者利用有效的请求修改他人订单的送货地址。
-
API开发者需要实施权限验证以防止此类漏洞。
-
Cloudflare的API扫描器通过主动发送测试流量来检测漏洞。
-
传统的动态应用安全测试（DAST）工具配置复杂，难以使用。
-
Cloudflare的扫描器能够快速构建扫描计划，简化了使用过程。
-
扫描器利用OpenAPI文档构建API调用图，自动推断数据依赖关系。
-
Cloudflare的扫描器使用AI技术解决API文档中的模糊问题。
-
扫描器的控制平面与Cloudflare的基础设施集成，确保安全性和可靠性。
-
客户的API凭证通过HashiCorp的Vault Transit Secret Engine进行加密，确保安全。
-
BOLA漏洞扫描现已向所有API Shield客户开放测试，未来将扩展到其他常见漏洞。
-
Cloudflare计划在未来增加对OWASP Web Top 10的支持，包括SQL注入和跨站脚本攻击。
延伸问答
Cloudflare的API漏洞扫描器主要检测什么类型的漏洞？
Cloudflare的API漏洞扫描器主要检测BOLA漏洞，即破损的对象级别授权漏洞。
为什么传统的防御措施无法有效应对API逻辑缺陷？
传统防御措施主要针对语法错误，而API逻辑缺陷是有效的HTTP请求，但违反了业务逻辑，因此需要主动检测。
Cloudflare的API扫描器如何构建扫描计划？
扫描器通过OpenAPI文档构建API调用图，自动推断数据依赖关系，从而生成扫描计划。
BOLA漏洞的一个示例是什么？
一个示例是攻击者利用有效的请求修改他人订单的送货地址，尽管请求的头部和认证令牌都是有效的。
Cloudflare的API扫描器如何确保客户API凭证的安全？
Cloudflare使用HashiCorp的Vault Transit Secret Engine对客户API凭证进行加密，确保凭证在存储和使用过程中的安全性。
未来Cloudflare的API扫描器将扩展到哪些其他漏洞类型？
未来将扩展到OWASP Web Top 10中的其他常见漏洞，如SQL注入和跨站脚本攻击。
