API 보안 도구

docker run -t ghcr.io/zaproxy/zaproxy:stable zap-api-scan.py \
  -t https://api.example.com/openapi.json \
  -f openapi \
  -r report.html

// 상태 코드 유효성 검사
pm.test("Status is 200", () => {
  pm.response.to.have.status(200);
});

// 보안 헤더 유효성 검사
pm.test("Security headers present", () => {
  pm.response.to.have.header("X-Content-Type-Options");
  pm.response.to.have.header("Strict-Transport-Security");
});

// 민감한 데이터 노출 여부 확인
pm.test("No sensitive data exposed", () => {
  const body = pm.response.json();
  pm.expect(body).to.not.have.property("password");
  pm.expect(body).to.not.have.property("password_hash");
  pm.expect(body).to.not.have.property("secret");
});

# 응답 헤더 확인
curl -s -D - -o /dev/null https://api.example.com/health

# 인증 없이 액세스 시도
curl -s -w "%{http_code}" https://api.example.com/api/users

# BOLA 테스트(다른 사용자의 리소스에 액세스)
curl -s -H "Authorization: Bearer $TOKEN" \
  https://api.example.com/api/users/OTHER_USER_ID

# Install garak
pip install garak

# Run prompt injection probes against an OpenAI model
garak --model_type openai --model_name gpt-4 \
  --probes promptinject

# Run all probes and generate report
garak --model_type openai --model_name gpt-4 \
  --probes all --report_prefix my_audit