Masterclass de Pruebas de Seguridad de GraphQL

GraphQL es un lenguaje de consulta y un tipo de API que se caracteriza por tener una única URL de punto final, generalmente es '/graphql' por convención, aunque esto puede variar.

En un almacén de datos de GraphQL, se realizan principalmente dos tipos de operaciones: consultas, que devuelven los datos consultados, y mutaciones, que normalmente actualizan los datos y devuelven los datos consultados.

El punto de introspección en GraphQL es un endpoint que permite crear consultas de introspección. Estas consultas permiten a GraphQL devolver información del esquema sobre los datos a los que se tiene acceso.

DAST significa Pruebas de Seguridad de Aplicaciones Dinámicas. Es una tecnología de escaneo que se ejecuta contra una aplicación en funcionamiento, sondando con solicitudes diseñadas para buscar vulnerabilidades y analizando las respuestas para determinar posibles problemas de seguridad.

El escaneo DAST se puede integrar y automatizar en el proceso de CI/CD utilizando contenedores Docker y configuraciones YAML, lo que permite su ejecución mediante comandos en plataformas de CI/CD como GitHub Actions y CircleCI.

HawkScan es un escáner basado en la aplicación de OWASP ZAP, empaquetado como un contenedor Docker con un archivo de configuración YAML simple. Se configura y automatiza manteniendo esa configuración YAML en el repositorio de código fuente junto con el código.

Las integraciones con herramientas como Slack, MS Teams o JIRA permiten notificar a los usuarios sobre el inicio, la finalización de escaneos o el descubrimiento de nuevas vulnerabilidades, además de clasificar y asignar problemas para su seguimiento y resolución efectiva.