Implementando Testes de Segurança de API com 42Crunch

Visão Geral

42Crunch é uma plataforma de segurança de API que combina testes de segurança Shift-Left com proteção em tempo de execução Shield-Right. Ela oferece API Audit para análise de segurança estática de definições OpenAPI, API Conformance Scan para detecção dinâmica de vulnerabilidades e API Protect para prevenção de ameaças em tempo real. A plataforma se integra a pipelines CI/CD e IDEs para identificar as vulnerabilidades do OWASP API Security Top 10 antes e depois da implantação.

Quando Usar

• Ao implantar ou configurar a implementação de testes de segurança de API com as capacidades do 42Crunch em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Conta na plataforma 42Crunch (nível gratuito disponível para avaliação)
• Definições de OpenAPI Specification (OAS) v2.0, v3.0 ou v3.1 para as APIs alvo
• IDE com extensão 42Crunch (VS Code, IntelliJ ou Eclipse)
• Pipeline CI/CD (Jenkins, GitHub Actions, Azure DevOps ou GitLab CI)
• Instância de API em execução para escaneamento dinâmico (conformance scan)
• Ambiente Node.js ou Python para ferramentas CLI

Conceitos Principais

API Audit (Análise Estática)

O API Audit realiza análise de segurança estática de definições OpenAPI sem a necessidade de uma API em execução. Ele avalia a especificação contra mais de 300 verificações de segurança organizadas em categorias:

Categorias de Pontuação de Segurança:

• Validação de Dados: Definições de esquema, restrições de parâmetros, validação de resposta
• Autenticação: Definições de esquema de segurança, requisitos de escopo
• Segurança de Transporte: Esquemas de URL do servidor, requisitos de TLS
• Tratamento de Erros: Definições de resposta de erro, prevenção de vazamento de informações

Executando API Audit via Extensão VS Code:

1. Instale a extensão 42Crunch do marketplace do VS Code
2. Abra um arquivo de especificação OpenAPI (YAML ou JSON)
3. Clique no ícone de auditoria de segurança na barra de ferramentas do editor
4. Revise a pontuação de segurança (0-100) e as descobertas individuais
5. Resolva os problemas usando a orientação de remediação inline

Exemplo de Definição OpenAPI com Controles de Segurança:

openapi: 3.0.3
info:
  title: Secure User API
  version: 1.0.0
servers:
  - url: https://api.example.com/v1
    description: Production server (HTTPS only)
security:
  - BearerAuth: []
paths:
  /users/{userId}:
    get:
      operationId: getUserById
      summary: Retrieve user by ID
      parameters:
        - name: userId
          in: path
          required: true
          schema:
            type: string
            format: uuid
            pattern: '^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$'
            maxLength: 36
      responses:
        '200':
          description: User details
          content:
            application/json:
              schema:
                $ref: '#/components/schemas/User'
        '400':
          description: Invalid request
          content:
            application/json:
              schema:
                $ref: '#/components/schemas/Error'
        '401':
          description: Unauthorized
        '404':
          description: User not found
components:
  securitySchemes:
    BearerAuth:
      type: http
      scheme: bearer
      bearerFormat: JWT
  schemas:
    User:
      type: object
      required:
        - id
        - email
      properties:
        id:
          type: string
          format: uuid
          readOnly: true
        email:
          type: string
          format: email
          maxLength: 254
        name:
          type: string
          maxLength: 100
          pattern: '^[a-zA-Z\s\-]+$'
      additionalProperties: false
    Error:
      type: object
      required:
        - code
        - message
      properties:
        code:
          type: integer
          format: int32
        message:
          type: string
          maxLength: 256
      additionalProperties: false

API Conformance Scan (Teste Dinâmico)

O conformance scan testa dinamicamente uma API em execução contra seu contrato OpenAPI para detectar vulnerabilidades em tempo de execução, incluindo problemas do OWASP API Security Top 10:

Configuração do Scan v2:

# 42c-conf.yaml
version: "2.0"
scan:
  target:
    url: https://api.example.com/v1
  authentication:
    - type: bearer
      token: "${API_TOKEN}"
      in: header
      name: Authorization
  settings:
    maxScanTime: 3600

…