Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Detection Improvement

Aperta
  • Qualcosa non va?
#80 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
45/100
Tipo di issue
Funzionalità
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
json, python
Ambito
data, security

Direzione di ricerca

Start by reading the repository’s existing T1190 detection data and its neighboring detection entries to see how guidance is represented in STIX. Compare the proposed API patterns with that structure and references, then determine which additions fit the existing data model. Done means the agreed API-specific guidance is represented consistently in the relevant T1190 data.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

T1190 — Exploit Public-Facing Application: API-Specific Detection Guidance

Current state: T1190 detection focuses on web application exploit signatures. API exploitation patterns are underrepresented.

Proposed Detection Additions
Data Source Data Component Description
Application Log Application Log Content Monitor API gateway and application logs for requests containing anomalous parameter values in JSON request bodies, such as nested objects with unexpected depth, array parameters with abnormal element counts, or field names matching internal-only properties (role, isAdmin, permissions). These patterns may indicate mass assignment or injection attempts against API endpoints.
Application Log Application Log Content Monitor API authentication logs for JWT tokens with manipulated header parameters. Tokens containing "alg": "none", jku or x5u headers pointing to external domains, or kid values containing path traversal sequences (../) indicate API-specific exploitation attempts.
Network Traffic Network Traffic Content Monitor for HTTP requests to API endpoints containing Server-Side Request Forgery indicators in JSON body fields: internal IP addresses (127.0.0.1, 169.254.169.254, 10.x.x.x, 192.168.x.x), cloud metadata hostnames (metadata.google.internal), or unusual URL schemes (file://, gopher://) in parameters that accept URLs (webhookUrl, callbackUrl, importUrl, templateUrl).
Network Traffic Network Traffic Content Monitor API rate limiting headers (X-RateLimit-Remaining, Retry-After) in outbound responses. A high volume of 429 responses from API endpoints to a single source, combined with subsequent successful requests from varied source addresses, may indicate rate limit bypass attempts preceding credential stuffing or data scraping.
Cloud Service Cloud Service Metadata Monitor cloud API gateway access logs for OAuth scope escalation attempts — token requests where the requested scope exceeds the originally authorized scope, or API calls that use access tokens to perform operations outside the token's scope claim.
References
  • OWASP. (2023). OWASP API Security Top 10 2023. OWASP Foundation.
  • PortSwigger. (2023). API Testing Methodology. PortSwigger Web Security Academy.
Lingua principale
Python
Stelle
701
Fork
150
Nessuna PR unita negli ultimi 30g

Preparare l'ambiente

Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di mitre-attack/attack-stix-data

Tutte le issue di mitre-attack/attack-stix-data

Issue simili

Altre issue su Python

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.