🧨 OWASP Noir: карта API прямо из исходного кода
OWASP Noir - это open source SAST инструмент, который анализирует исходный код и извлекает доступные точки входа приложения, такие как пути, HTTP методы, параметры, заголовки, cookies и файлы, где они определены.
В ту же карту попадают недокументированные, устаревшие и скрытые API.
⚙️ Функционал
Инструмент определяет язык и фреймворк проекта, анализирует маршрутизацию и формирует список точек входа.
Актуальный README заявляет поддержку 205 фреймворков. Если встроенного анализатора для конкретного фреймворка недостаточно, можно подключить LLM через OpenAI, Ollama и другие поддерживаемые провайдеры.
🔎 Из кода сразу в Burp или ZAP
Результат можно экспортировать в OpenAPI, JSON, YAML, SARIF, Postman, cURL и другие форматы либо передать маршруты напрямую в Burp Suite, ZAP, Caido или Gori.
Это позволяет DAST сканеру получить точки входа, которые он мог пропустить при обычном обходе приложения.
🤖 Контекст для AI аудита
Для каждой точки входа Noir может добавить вызываемые функции, проверки, валидаторы, потенциально опасные операции и другие сигналы.
Вместо всего репозитория LLM получает сфокусированный контекст вокруг конкретных обработчиков. Для автоматизации есть GitHub Action, SARIF и коды завершения для CI/CD.
Проект входит в OWASP Foundation с июня 2024 года и распространяется под MIT.
🔗 GitHub: OWASP Noir
Stay secure and read SecureTechTalks 📚
#кибербезопасность #OWASP #Noir #AppSec #SAST #DAST #APISecurity #AISecurity #DevSecOps #SecureTechTalks
OWASP Noir - это open source SAST инструмент, который анализирует исходный код и извлекает доступные точки входа приложения, такие как пути, HTTP методы, параметры, заголовки, cookies и файлы, где они определены.
В ту же карту попадают недокументированные, устаревшие и скрытые API.
⚙️ Функционал
Инструмент определяет язык и фреймворк проекта, анализирует маршрутизацию и формирует список точек входа.
Актуальный README заявляет поддержку 205 фреймворков. Если встроенного анализатора для конкретного фреймворка недостаточно, можно подключить LLM через OpenAI, Ollama и другие поддерживаемые провайдеры.
🔎 Из кода сразу в Burp или ZAP
Результат можно экспортировать в OpenAPI, JSON, YAML, SARIF, Postman, cURL и другие форматы либо передать маршруты напрямую в Burp Suite, ZAP, Caido или Gori.
Это позволяет DAST сканеру получить точки входа, которые он мог пропустить при обычном обходе приложения.
🤖 Контекст для AI аудита
Для каждой точки входа Noir может добавить вызываемые функции, проверки, валидаторы, потенциально опасные операции и другие сигналы.
Вместо всего репозитория LLM получает сфокусированный контекст вокруг конкретных обработчиков. Для автоматизации есть GitHub Action, SARIF и коды завершения для CI/CD.
Проект входит в OWASP Foundation с июня 2024 года и распространяется под MIT.
🔗 GitHub: OWASP Noir
Stay secure and read SecureTechTalks 📚
#кибербезопасность #OWASP #Noir #AppSec #SAST #DAST #APISecurity #AISecurity #DevSecOps #SecureTechTalks