Hızlı cevap: Gölge API (shadow API), bir kurumun farkında olmadığı, belgelenmemiş ya da unutulmuş API uçlarıdır. Eski sürümler, test uçları, kaldırılmış ama hâlâ açık servisler ve envantere girmemiş API'ler bu kapsama girer. Tehlike şudur: koruyamadığınız, hatta var olduğunu bilmediğiniz bir API'yi güvence altına alamazsınız. OWASP API Top 10'da bu, hatalı envanter yönetimi olarak listelenir. Savunmanın temeli, tüm API yüzeyini sürekli keşfetmek ve envantere almaktır.

Gölge API nasıl ortaya çıkar?

API'ler hızlı geliştirilir ve sık değişir. Bir ekip yeni bir sürüm çıkarır ama eskisini kapatmayı unutur; bir test ucu üretime sızar; bir mikroservis kaldırılır ama uç hâlâ yanıt verir. Zamanla kurumun gerçek API yüzeyi, belgelenen ve bilinen yüzeyden çok daha geniş hale gelir. İşte bu bilinmeyen fazlalık gölge API'dir.

Sorun şudur: güvenlik ekibi yalnızca bildiği API'leri korur. Gölge API'ler ise genelde eski, yamasız ve zayıf kimlik doğrulamalıdır, çünkü kimse onları aktif yönetmiyordur. Saldırgan için bunlar ideal giriş noktalarıdır.

Gölge API türleri

Tür Açıklama
Eski sürüm Kapatılmayan önceki API sürümleri (v1, v2 yan yana)
Test ve geliştirme ucu Üretime sızmış hata ayıklama ya da test API'leri
Terk edilmiş uç Kaldırılan servisin hâlâ yanıt veren ucu
Belgelenmemiş uç Envantere ve API dokümanına hiç girmemiş API
Üçüncü taraf Fark edilmeden eklenmiş dış entegrasyon uçları

API keşfi ve envanteri

Gölge API ile mücadelenin tek yolu, API yüzeyini varsaymak değil keşfetmektir. Bu; dış saldırı yüzeyi taraması, trafik analizi ve kaynak kod incelemesiyle tüm API uçlarını ortaya çıkarmayı içerir. Keşfedilen her uç envantere alınır, sahibi ve amacı belirlenir. Envanter sürekli güncellenmelidir, çünkü API yüzeyi her dağıtımla değişir. Bilinmeyen bir uç kapatılır ya da yönetime alınır.

KAOS ve DSET yaklaşımı

DSET, dış saldırı yüzeyi denetiminde kurumun bildiği ve bilmediği API uçlarını ortaya çıkarır ve belgelenen yüzeyle gerçek yüzey arasındaki farkı raporlar. Geliştirdiğimiz KAOS güvenlik motoru, keşifte eski sürüm uçları, test uçları ve terk edilmiş servisleri tespit eder. Saha deneyimimizde en sık gördüğümüz durum, üretime sızmış bir test ucunun ya da kapatılmamış eski bir API sürümünün zayıf kimlik doğrulamayla açık kalmasıdır. Amacımız kurumun gerçek API yüzeyini görünür kılmaktır.

Bağlantılı okumalar: API güvenliği ve OWASP API Top 10, API gateway güvenliği, dış saldırı yüzeyi OSINT, saldırı yüzeyi yönetimi ASM, CTEM sürekli tehdit maruziyeti yönetimi, güvenlik yanlış yapılandırması OWASP.

Sık sorulan sorular

Gölge API ile normal API farkı nedir? Normal API, kurumun bildiği, belgelediği ve aktif yönettiği API'dir. Gölge API ise kurumun farkında olmadığı, belgelenmemiş ya da unutulmuş uçtur: eski bir sürüm, üretime sızmış bir test ucu ya da kaldırılmış ama hâlâ yanıt veren bir servis. Tehlike, gölge API'nin genelde eski, yamasız ve zayıf korumalı olmasıdır.

Gölge API'leri nasıl bulurum? Varsayarak değil keşfederek. Dış saldırı yüzeyi taraması, trafik analizi ve kaynak kod incelemesi, belgelenen yüzeyin ötesindeki uçları ortaya çıkarır. Keşfedilen her uç envantere alınır, sahibi ve amacı belirlenir. Bu keşif tek seferlik değil sürekli olmalıdır, çünkü API yüzeyi her dağıtımla değişir.

Eski API sürümlerini kapatmak neden önemli? Eski bir API sürümü kapatılmadığında, yeni sürüm güvenli olsa bile eski uç zayıf kimlik doğrulama ve yamasız açıklarla erişilebilir kalır. Saldırgan yeni sürümü değil, unutulmuş eski sürümü hedefler. Bu yüzden bir API sürümü kullanımdan kaldırıldığında, uç gerçekten kapatılmalı, yalnızca belgeden silinmemelidir.

Kaynaklar

Kurumunuzun gerçek API yüzeyini keşfetmek ve gölge API'leri ortaya çıkarmak için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.