Improper Inventory Management
🎯 Mục tiêu học: hiểu rủi ro khi tổ chức không nắm rõ hết mình đang có bao nhiêu API, phiên bản nào còn chạy — "bạn không thể bảo vệ thứ bạn không biết là đang tồn tại".
Rủi ro là gì
Hệ thống phát triển qua nhiều năm thường tích luỹ: API version cũ (v1) vẫn chạy song song v2 mới nhưng ít được vá lỗi bảo mật hơn; môi trường staging/test vô tình public ra internet; API nội bộ (dùng giữa các service) không có tài liệu chính thức nhưng vẫn truy cập được từ ngoài nếu biết đúng URL.
Checklist kiểm tra
Cách kiểm tra
| Mã TC | Nội dung | Kỳ vọng |
|---|---|---|
| TC-INV-01 | Rà soát xem các version API cũ hơn (vd /v1/... khi hệ thống đã có /v2/...) có còn hoạt động không | Version cũ hoặc đã bị tắt hẳn, hoặc được bảo trì/bảo mật tương đương version mới — không bị bỏ quên |
| TC-INV-02 | Thử truy cập các domain/subdomain môi trường test-staging (vd staging-api.example.com) từ internet công khai | Không truy cập được từ ngoài, hoặc yêu cầu xác thực riêng — môi trường test không nên public |
| TC-INV-03 | Rà soát danh sách endpoint thực tế (qua log truy cập, hoặc quét theo pattern) đối chiếu với tài liệu API chính thức | Không có endpoint nào tồn tại và hoạt động mà không có trong tài liệu/không ai chịu trách nhiệm quản lý |
📌 Ghi nhớ
Đây là hạng mục duy nhất trong 10 hạng mục OWASP không nằm ở 1 request cụ thể, mà ở việc quản lý tổng thể — Tester nên định kỳ rà soát lại toàn bộ danh sách API đang chạy, không chỉ test API được giao.
📖 Thuật ngữ Anh–Việt (mục này)
Đề thi dùng thuật ngữ tiếng Anh — nhớ đúng cụm bên trái. Bấm 🔊 để nghe từng từ, hoặc "Đọc tất cả" để nghe lần lượt Anh → (vài giây) → Việt.
| Thuật ngữ (EN) | Nghĩa & ghi nhớ nhanh |
|---|---|
| API inventory | Danh mục toàn bộ API đang tồn tại và hoạt động trong hệ thống |
| Shadow API | API tồn tại và hoạt động nhưng không được ghi nhận/quản lý chính thức |
| Deprecated version | Phiên bản API cũ đã ngừng khuyến khích dùng nhưng có thể vẫn còn chạy |
📎 Nội dung do maiqai.com biên soạn dựa trên OWASP API Security Top 10 (2023, CC BY-SA 4.0), diễn giải lại bằng tiếng Việt kèm ví dụ minh hoạ riêng.