IAST百科全书第14期:IAST是怎么梳理API的?
2023-8-16 18:34:10 Author: mp.weixin.qq.com(查看原文) 阅读量:4 收藏

IAST百科全书第14期

IAST是怎么梳理API的?

/火/线/安/全/

0x001

hello大家好,欢迎来到IAST百科全书第14期。

随着现代应用和APP的持续发展,它们的功能和模块不断变得更加复杂,开发者们引入了第三方组件和微服务等创新技术。

这些不同的组件和微服务之间需要通过API进行通信和互相调用,这种依赖关系也随着应用数量和复杂程度的增加而变得更为频繁。

然而,这也导致了一个问题,许多企业难以准确地追踪自己使用了多少个API,更不用说有效地对这些API进行管理,以规避潜在的API安全问题了。

借助IAST工具,我们可以有效地进行API接口的统计和梳理,从而帮助企业实现对API的规范化管理。那么,IAST工具是如何实现API梳理的呢?

IAST采用了插桩技术,这种技术天然适用于跨服务和微服务的环境。在插桩之后,IAST可以在应用运行时捕获到所有交互数据,其中当然也包括了API数据。

IAST通过分析应用运行过程中调用的API,可以从应用中提取与API相关的信息,然后自动对应用和API的代码进行分析,从而完成对API资产的梳理工作。

根据我们目前的经验,IAST实现API发现主要有两种方式:

01

框架分析

首先是框架分析。这种方法基于应用中已有的标准方法,在程序运行时,IAST会读取API,并调用框架中的接口定义方法。

通过这些已有的框架方法,IAST可以获取程序中的API资产。

目前,洞态已经支持对springboot、springMVC和dubbo框架中的API进行收集。通过解析字节码的结果,洞态能够识别出Java类和方法中所包含的API,并从中获取全量的API接口信息。

02

Agent流量分析

另一种方法是Agent流量分析。通过在插桩后的Agent收集测试过程中使用到的API信息,IAST可以持续监控和分析发送到应用的流量,从而更深入地梳理应用接口的资产清单。

最后,IAST会从多种渠道获得的数据进行对比和分析,最终完成对API的梳理工作,帮助企业更好地管理和保障API的安全性。

好了

今天的IAST百科全书就到这里

关于IAST的更多落地实践

可以扫码看看洞态IAST的落地实践案例

关于IAST的其他疑问

也欢迎随时联系我们咨询

我们下期再见!

往期推荐


文章来源: https://mp.weixin.qq.com/s?__biz=MzU4MjEwNzMzMg==&mid=2247493622&idx=2&sn=171206643cb2457675c51f3e085e20eb&chksm=fdbfce5dcac8474bc7bbc29b7429f4d23f508893daae02bb1803e96723d6a8f81d9fb82a7252&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh