Presentación de herramientas útiles para la evaluación, comprobación y supervisión de la vulnerabilidad de las API.
Herramientas que envían solicitudes a API en funcionamiento para detectar vulnerabilidades.
La herramienta estándar del sector para pruebas de seguridad de aplicaciones web y API. Capacidades de interceptación y exploración basadas en proxy.
Importe una definición OpenAPI/Swagger para rastrear y probar automáticamente todos los puntos finales.
Una herramienta de pruebas de seguridad de código abierto desarrollada por OWASP. Fácil de integrar en procesos CI/CD.
docker run -t ghcr.io/zaproxy/zaproxy:stable zap-api-scan.py \ -t https://api.example.com/openapi.json \ -f openapi \ -r report.html
La herramienta de referencia para el desarrollo y las pruebas de API. También es útil para pruebas de seguridad.
// Validación del código de estado pm.test("Status is 200", () => { pm.response.to.have.status(200); }); // Validación del encabezado de seguridad pm.test("Security headers present", () => { pm.response.to.have.header("X-Content-Type-Options"); pm.response.to.have.header("Strict-Transport-Security"); }); // Comprobar la exposición de datos sensibles pm.test("No sensitive data exposed", () => { const body = pm.response.json(); pm.expect(body).to.not.have.property("password"); pm.expect(body).to.not.have.property("password_hash"); pm.expect(body).to.not.have.property("secret"); });
Pruebas rápidas de API desde la línea de comandos. Fácil de programar y automatizar.
# Check response headers curl -s -D - -o /dev/null https://api.example.com/health # Intento de acceso sin autenticación curl -s -w "%{http_code}" https://api.example.com/api/users # Prueba BOLA (acceso al recurso de otro usuario) curl -s -H "Authorization: Bearer $TOKEN" \ https://api.example.com/api/users/OTHER_USER_ID
Una herramienta de análisis estático basada en patrones. Fácil de crear reglas personalizadas.
Exploración de vulnerabilidades de dependencia y análisis de código.
Comprobación de vulnerabilidades para gestores de paquetes y contenedores.
npm audit: Paquetes Node.jsauditoría python: Paquetes Python# Comprueba las dependencias de Node.js npm audit --production # Escaneo de seguridad con Semgrep semgrep --config=p/security-audit ./src # Escaneo de contenedores con Trivy trivy image --severity HIGH,CRITICAL myapp:latest
Definir las especificaciones de la API en un formato legible por máquina. También se utiliza como entrada para las pruebas de seguridad.
Herramienta de linter para las especificaciones OpenAPI. Comprueba el cumplimiento de las mejores prácticas de seguridad.
Kong, AWS API Gateway, Apigee y otros.
AWS WAF, Cloudflare, ModSecurity y otros.
ELK Stack, Splunk, Datadog y otros.
Specialized tools for testing and securing LLMs, AI agents, and ML pipelines.
LLM vulnerability scanner that probes for prompt injection, data leakage, hallucination, and other LLM-specific weaknesses.
# Install garak pip install garak # Run prompt injection probes against an OpenAI model garak --model_type openai --model_name gpt-4 \ --probes promptinject # Run all probes and generate report garak --model_type openai --model_name gpt-4 \ --probes all --report_prefix my_audit
Addresses: LLM01: Prompt Injection, LLM06: Excessive Agency
Prompt injection detection framework with multi-layer defense: heuristics, LLM-based analysis, and vector similarity.
Addresses: LLM01: Prompt Injection
Runtime guardrails framework for LLM applications. Define conversation boundaries using Colang rules.
Addresses: LLM02: Insecure Output Handling, ASI07: Inadequate Guardrails
Python Risk Identification Tool for generative AI. Automates red-teaming with multi-turn attack strategies.
Addresses: LLM01: Prompt Injection, LLM07: Insecure Plugin Design
| Propósito | Herramienta recomendada | Cronometraje |
|---|---|---|
| Comprobación de seguridad de la especificación API | Spectral | Fase de diseño / especificación |
| Análisis de seguridad del código | Semgrep | Desarrollo / Relaciones públicas |
| Comprobación de la vulnerabilidad de las dependencias | Snyk / npm audit | Tiempo de construcción / Periódico |
| Pruebas de seguridad manuales | Burp Suite / Postman | Fase de pruebas / control de calidad |
| Análisis automatizado (CI/CD) | OWASP ZAP | Antes del despliegue |
| Protección del entorno de producción | WAF + API Gateway | En funcionamiento |
| Supervisión de registros y detección de anomalías | SIEM (ELK / Datadog) | En funcionamiento / Continuo |
| LLM vulnerability scanning | Garak / PyRIT | Pre-deployment / Periodic |
| Prompt injection detection | Rebuff | Runtime / Integration |
| LLM runtime guardrails | NeMo Guardrails | Runtime / Continuous |
| AI red-teaming automation | PyRIT | Testing / QA phase |
| AI model supply chain verification | Semgrep / ModelScan | Build time / Pre-deployment |