metlo/jobrunner

Metlo API安全平台

概述和主要用途

Metlo是一个开源API安全平台，旨在帮助用户全面保护API安全。通过扫描API流量并分析跟踪数据，Metlo能够创建完整的API端点和敏感数据清单，检测常见API漏洞，在生产前主动测试API，并实时监测和响应API***，为企业API安全提供全生命周期防护。

核心功能和特性

• 端点发现：自动扫描网络流量，生成API中所有端点的详细清单，全面掌握API资产
• 敏感数据扫描：对每个端点进行PII数据识别，并根据风险等级进行评分
• 漏洞发现：针对未认证端点泄露敏感数据、缺少HSTS头、URL参数包含PII数据、Open API规范差异等问题生成实时警报
• API安全测试：提供直观的HTTP请求编辑器和JavaScript断言功能，直接在平台内构建安全测试
• CI/CD集成：与持续集成/持续部署流程无缝集成，在开发和测试阶段提前发现安全问题
• ***检测：通过机器学习算法建立API基线行为模型，实时识别偏离正常模式的异常行为
• 上下文：提供事件的完整上下文信息，帮助安全团队快速定位并修复漏洞

使用场景和适用范围

Metlo适用于各类需要保障API安全的场景：

• 拥有公开API的企业，需监控和减少API***面
• 大型企业或需要空气隔离系统的组织，可通过自托管方式部署
• 开发团队在API开发和测试阶段进行安全验证
• 安全团队需要实时监控API流量并检测潜在***
• 需要符合数据安全合规要求的组织，通过敏感数据扫描确保合规性

使用方法和配置说明

部署方式

Metlo提供三种使用方式，满足不同需求：

1. Metlo Cloud（推荐）

   • 适用于大多数用户，可扩展至每月数亿请求
   • 自动管理升级和迁移，无需维护基础设施
   • 免费开始，无需***，访问 [***] 创建账户
   • 详细配置参见官方入门指南

2. Metlo Self Hosted

   • 适合大型企业或需要空气隔离系统的场景
   • 在自有云环境部署，完全控制数据和基础设施
   • 访问 [***] 创建账户，按自托管指南配置

3. 开源版本

   • 完全开源，可部署到各类环境，支持AWS、GCP、Azure和Docker
   • 部署文档：
     • AWS部署
     • GCP部署
     • Azure部署
     • Docker部署

Docker部署示例

Docker部署的基本流程（详细步骤参见官方Docker部署文档）：

1. 拉取Metlo镜像
2. 配置必要环境变量（数据库连接、API密钥等）
3. 使用docker-compose启动服务栈

安全测试框架

Metlo内置测试框架，帮助实现高风险API的100%安全覆盖。通过YAML格式定义测试用例，验证API安全性。示例测试用例（检查身份验证漏洞）：

yaml
id: test-payment-processor-metlo.com-user-billing

meta:
  name: test-payment-processor.metlo.com/user/billing 身份验证测试
  severity: CRITICAL
  tags:
    - BROKEN_AUTHENTICATION

test:
  - request:
      method: POST
      url: https://test-payment-processor.metlo.com/user/billing
      headers:
        - name: Content-Type
          value: application/json
        - name: Authorization
          value: ...
      data: |-
        { "ccn": "...", "cc_exp": "...", "cc_code": "..." }
    assert:
      - key: resp.status
        value: 200
  - request:
      method: POST
      url: https://test-payment-processor.metlo.com/user/billing
      headers:
        - name: Content-Type
          value: application/json
      data: |-
        { "ccn": "...", "cc_exp": "...", "cc_code": "..." }
    assert:
      - key: resp.status
        value: [ 401, 403 ]

更多测试用例编写方法参见官方测试文档。

开源与付费版本

本仓库基于MIT许可证完全开源。企业级功能（如用户管理、角色权限、高级防护）需要企业许可证，联系获取详情。

开发指南

如需本地开发Metlo，参见开发指南。