The Cloudflare Blog
·
主动防御：为API引入有状态漏洞扫描器
内容提要
Cloudflare推出了Web和API漏洞扫描器的测试版，专注于检测API中的BOLA漏洞。传统防御无法有效应对API逻辑缺陷，因此需要主动检测。该扫描器将帮助识别复杂的API漏洞，未来将扩展到更多安全扫描类型。
关键要点
-
Cloudflare推出Web和API漏洞扫描器的测试版，专注于检测API中的BOLA漏洞。
-
传统防御无法有效应对API逻辑缺陷，因此需要主动检测。
-
该扫描器将帮助识别复杂的API漏洞，未来将扩展到更多安全扫描类型。
-
API漏洞与传统网络应用漏洞不同，主要是逻辑缺陷而非语法错误。
-
BOLA攻击示例：攻击者利用有效的请求修改他人订单的送货地址。
-
API开发者需要实施权限验证以防止此类漏洞。
-
Cloudflare的API扫描器通过主动发送测试流量来检测漏洞。
-
传统的动态应用安全测试（DAST）工具配置复杂，难以使用。
-
Cloudflare的扫描器能够快速构建扫描计划，简化了使用过程。
-
扫描器利用OpenAPI文档构建API调用图，自动推断数据依赖关系。
-
Cloudflare的扫描器使用AI技术解决API文档中的模糊问题。
-
扫描器的控制平面与Cloudflare的基础设施集成，确保安全性和可靠性。
-
客户的API凭证通过HashiCorp的Vault Transit Secret Engine进行加密，确保安全。
-
BOLA漏洞扫描现已向所有API Shield客户开放测试，未来将扩展到其他常见漏洞。
-
Cloudflare计划在未来增加对OWASP Web Top 10的支持，包括SQL注入和跨站脚本攻击。
延伸解读
API漏洞的独特性
与传统网络应用漏洞不同，API漏洞主要是逻辑缺陷而非语法错误。这意味着即使请求的格式和内容都正确，仍可能因为缺乏适当的权限验证而导致安全问题。开发者需要特别关注API的授权逻辑，以防止如BOLA这样的攻击。
主动检测的重要性
传统的防御措施往往无法有效应对API中的逻辑缺陷，因此主动检测显得尤为重要。Cloudflare的新扫描器通过主动发送测试流量来识别潜在漏洞，这种方法能够在攻击发生之前发现问题，提升API的安全性。
Cloudflare扫描器的优势
Cloudflare的API扫描器通过集成OpenAPI文档，自动构建API调用图，简化了扫描过程。这种自动化不仅提高了效率，还减少了手动配置的复杂性，使得安全团队能够更快地识别和修复漏洞。
未来扩展的潜力
目前Cloudflare的扫描器专注于BOLA漏洞，但未来计划扩展到OWASP Web Top 10中的其他常见漏洞，如SQL注入和跨站脚本攻击。这一扩展将进一步增强API和Web应用的整体安全防护能力。
延伸问答
Cloudflare的API漏洞扫描器主要检测什么类型的漏洞？
主要检测API中的BOLA漏洞，即Broken Object Level Authorization。
为什么传统的防御措施无法有效应对API逻辑缺陷？
因为API漏洞主要是逻辑缺陷，而不是语法错误，传统防御措施难以识别这些有效的HTTP请求。
Cloudflare的扫描器如何检测API漏洞？
通过主动发送测试流量和被动监听现有API流量来检测漏洞。
BOLA攻击的一个示例是什么？
攻击者利用有效的请求修改他人订单的送货地址，例如通过PATCH请求插入他人的订单ID。
Cloudflare的API扫描器如何简化使用过程？
扫描器能够快速构建扫描计划，减少复杂配置的需求，用户只需提供API凭证。
Cloudflare计划在未来增加哪些漏洞扫描类型？
计划增加对OWASP Web Top 10的支持，包括SQL注入和跨站脚本攻击等常见漏洞。
