Apresentação de ferramentas úteis para avaliação, teste e monitoramento de vulnerabilidades de API.
Ferramentas que enviam solicitações a APIs em execução para detectar vulnerabilidades.
A ferramenta padrão do setor para testes de segurança de APIs e aplicativos da Web. Recursos de interceptação e varredura baseados em proxy.
Importe uma definição OpenAPI/Swagger para rastrear e testar automaticamente todos os endpoints.
Uma ferramenta de teste de segurança de código aberto desenvolvida pela OWASP. Fácil de integrar aos pipelines de CI/CD.
docker run -t ghcr.io/zaproxy/zaproxy:stable zap-api-scan.py \ -t https://api.example.com/openapi.json \ -f openapi \ -r report.html
A ferramenta ideal para desenvolvimento e teste de API. Também é útil para testes de segurança.
// Validação do código de status pm.test("Status is 200", () => { pm.response.to.have.status(200); }); // Validação do cabeçalho de segurança pm.test("Security headers present", () => { pm.response.to.have.header("X-Content-Type-Options"); pm.response.to.have.header("Strict-Transport-Security"); }); // Verificar a exposição de dados confidenciais pm.test("No sensitive data exposed", () => { const body = pm.response.json(); pm.expect(body).to.not.have.property("password"); pm.expect(body).to.not.have.property("password_hash"); pm.expect(body).to.not.have.property("secret"); });
Teste rápido de API a partir da linha de comando. Fácil de criar scripts e automatizar.
# Verificar os cabeçalhos de resposta curl -s -D - -o /dev/null https://api.example.com/health # Tentativa de acesso sem autenticação curl -s -w "%{http_code}" https://api.example.com/api/users # Teste BOLA (acesso ao recurso de outro usuário) curl -s -H "Authorization: Bearer $TOKEN" \ https://api.example.com/api/users/OTHER_USER_ID
Uma ferramenta de análise estática baseada em padrões. Fácil de criar regras personalizadas.
Verificação de vulnerabilidade de dependência e análise de código.
Verificação de vulnerabilidade para gerenciadores de pacotes e contêineres.
npm audit: pacotes do Node.jspip audit: Pacotes Python# Verificar as dependências do Node.js npm audit --production # Verificação de segurança com Semgrep semgrep --config=p/security-audit ./src # Escaneamento de contêineres com Trivy trivy image --severity HIGH,CRITICAL myapp:latest
Definir especificações de API em um formato legível por máquina. Também usado como entrada para testes de segurança.
Uma ferramenta de interface para especificações OpenAPI. Verifica a conformidade com as práticas recomendadas de segurança.
Kong, AWS API Gateway, Apigee e outros.
AWS WAF, Cloudflare, ModSecurity e outros.
ELK Stack, Splunk, Datadog e outros.
Specialized tools for testing and securing LLMs, AI agents, and ML pipelines.
LLM vulnerability scanner that probes for prompt injection, data leakage, hallucination, and other LLM-specific weaknesses.
# Install garak pip install garak # Run prompt injection probes against an OpenAI model garak --model_type openai --model_name gpt-4 \ --probes promptinject # Run all probes and generate report garak --model_type openai --model_name gpt-4 \ --probes all --report_prefix my_audit
Addresses: LLM01: Prompt Injection, LLM06: Excessive Agency
Prompt injection detection framework with multi-layer defense: heuristics, LLM-based analysis, and vector similarity.
Addresses: LLM01: Prompt Injection
Runtime guardrails framework for LLM applications. Define conversation boundaries using Colang rules.
Addresses: LLM02: Insecure Output Handling, ASI07: Inadequate Guardrails
Python Risk Identification Tool for generative AI. Automates red-teaming with multi-turn attack strategies.
Addresses: LLM01: Prompt Injection, LLM07: Insecure Plugin Design
| Finalidade | Ferramenta recomendada | Cronograma |
|---|---|---|
| Verificação de segurança da especificação da API | Spectral | Fase de projeto/especificação |
| Análise de segurança de código | Semgrep | Desenvolvimento / RP |
| Verificação de vulnerabilidade de dependência | Snyk / npm audit | Tempo de construção / periódico |
| Teste manual de segurança | Burp Suite / Postman | Fase de teste/QA |
| Verificação automatizada (CI/CD) | OWASP ZAP | Pré-implantação |
| Proteção do ambiente de produção | WAF + API Gateway | Em operação |
| Monitoramento de registros e detecção de anomalias | SIEM (ELK / Datadog) | Em operação / Contínuo |
| LLM vulnerability scanning | Garak / PyRIT | Pre-deployment / Periodic |
| Prompt injection detection | Rebuff | Runtime / Integration |
| LLM runtime guardrails | NeMo Guardrails | Runtime / Continuous |
| AI red-teaming automation | PyRIT | Testing / QA phase |
| AI model supply chain verification | Semgrep / ModelScan | Build time / Pre-deployment |