Einführung von nützlichen Tools für die Bewertung, Prüfung und Überwachung von API-Schwachstellen.
Tools, die Anfragen an laufende APIs senden, um Schwachstellen zu erkennen.
Das Industriestandard-Tool für Webanwendungs- und API-Sicherheitstests. Proxy-basierte Abhör- und Scan-Funktionen.
Importieren Sie eine OpenAPI/Swagger-Definition, um alle Endpunkte automatisch zu crawlen und zu testen.
Ein von OWASP entwickeltes Open-Source-Tool für Sicherheitstests. Leicht in CI/CD-Pipelines zu integrieren.
docker run -t ghcr.io/zaproxy/zaproxy:stable zap-api-scan.py \ -t https://api.example.com/openapi.json \ -f openapi \ -r report.html
Das Tool der Wahl für die Entwicklung und Prüfung von APIs. Auch nützlich für Sicherheitstests.
// Überprüfung des Statuscodes pm.test("Status is 200", () => { pm.response.to.have.status(200); }); // Validierung von Sicherheits-Headern pm.test("Security headers present", () => { pm.response.to.have.header("X-Content-Type-Options"); pm.response.to.have.header("Strict-Transport-Security"); }); // Prüfung auf Exposition sensibler Daten pm.test("No sensitive data exposed", () => { const body = pm.response.json(); pm.expect(body).to.not.have.property("password"); pm.expect(body).to.not.have.property("password_hash"); pm.expect(body).to.not.have.property("secret"); });
Schnelle API-Tests über die Befehlszeile. Einfach zu skripten und zu automatisieren.
# Antwort-Header prüfen curl -s -D - -o /dev/null https://api.example.com/health # Zugriffsversuch ohne Authentifizierung curl -s -w "%{http_code}" https://api.example.com/api/users # BOLA-Test (Zugriff auf die Ressource eines anderen Benutzers) curl -s -H "Authorization: Bearer $TOKEN" \ https://api.example.com/api/users/OTHER_USER_ID
Ein auf Mustern basierendes Werkzeug zur statischen Analyse. Einfache Erstellung benutzerdefinierter Regeln.
Scannen auf Sicherheitslücken und Code-Analyse in Abhängigkeiten.
Schwachstellenprüfung für Paketmanager und Container.
npm audit: Node.js-Paketepip audit: Python-Pakete# Node.js-Abhängigkeiten prüfen npm audit --production # Sicherheitsscan mit Semgrep semgrep --config=p/security-audit ./src # Container-Scan mit Trivy trivy image --severity HIGH,CRITICAL myapp:latest
Definition von API-Spezifikationen in einem maschinenlesbaren Format. Wird auch als Input für Sicherheitstests verwendet.
Ein Linter-Tool für OpenAPI-Spezifikationen. Prüft die Einhaltung der bewährten Sicherheitspraktiken.
Kong, AWS API Gateway, Apigee, und andere.
AWS WAF, Cloudflare, ModSecurity und andere.
ELK Stack, Splunk, Datadog, und andere.
Specialized tools for testing and securing LLMs, AI agents, and ML pipelines.
LLM vulnerability scanner that probes for prompt injection, data leakage, hallucination, and other LLM-specific weaknesses.
# Install garak pip install garak # Run prompt injection probes against an OpenAI model garak --model_type openai --model_name gpt-4 \ --probes promptinject # Run all probes and generate report garak --model_type openai --model_name gpt-4 \ --probes all --report_prefix my_audit
Addresses: LLM01: Prompt Injection, LLM06: Excessive Agency
Prompt injection detection framework with multi-layer defense: heuristics, LLM-based analysis, and vector similarity.
Addresses: LLM01: Prompt Injection
Runtime guardrails framework for LLM applications. Define conversation boundaries using Colang rules.
Addresses: LLM02: Insecure Output Handling, ASI07: Inadequate Guardrails
Python Risk Identification Tool for generative AI. Automates red-teaming with multi-turn attack strategies.
Addresses: LLM01: Prompt Injection, LLM07: Insecure Plugin Design
| Zweck | Empfohlenes Werkzeug | Timing |
|---|---|---|
| Sicherheitsprüfung der API-Spezifikation | Spectral | Entwurfs-/Spezifikationsphase |
| Analyse der Codesicherheit | Semgrep | Entwicklung / PR |
| Prüfung der Anfälligkeit für Abhängigkeiten | Snyk / npm audit | Aufbauzeit / Periodisch |
| Manuelle Sicherheitstests | Burp Suite / Postman | Prüfung / QA-Phase |
| Automatisiertes Scannen (CI/CD) | OWASP ZAP | Vor Einsatzbeginn |
| Schutz der Produktionsumgebung | WAF + API Gateway | In Betrieb |
| Protokollüberwachung und Erkennung von Anomalien | SIEM (ELK / Datadog) | In Betrieb / Kontinuierlich |
| LLM vulnerability scanning | Garak / PyRIT | Pre-deployment / Periodic |
| Prompt injection detection | Rebuff | Runtime / Integration |
| LLM runtime guardrails | NeMo Guardrails | Runtime / Continuous |
| AI red-teaming automation | PyRIT | Testing / QA phase |
| AI model supply chain verification | Semgrep / ModelScan | Build time / Pre-deployment |