Hızlı cevap: API gateway, bir kurumun API'lerinin önünde duran ve tüm isteklerin geçtiği merkezi kontrol katmanıdır. Kimlik doğrulama, yetkilendirme, hız sınırı, istek doğrulama ve izlemeyi tek noktada uygular. Güvenlik açısından güçlü bir fırsattır: doğru yapılandırıldığında API'lere tutarlı bir savunma sağlar. Ama yanlış yapılandırıldığında tek bir zayıf noktada tüm API trafiğini riske atar. API gateway güvenliği, bu merkezi kapının kendisinin sertleştirilmesidir.

API gateway ne işe yarar?

Modern uygulamalar çok sayıda API ve mikroservisten oluşur. Her birini ayrı ayrı korumak hem zor hem tutarsızdır. API gateway, tüm bu API'lerin önüne tek bir kapı koyar: gelen her istek önce buradan geçer, kimlik doğrulanır, yetki kontrol edilir, hız sınırlanır ve istek doğrulanır.

Bu merkezileşme güçlü bir güvenlik avantajıdır çünkü savunma tek yerde ve tutarlı uygulanır. Ama aynı merkezileşme, gateway yanlış yapılandırıldığında tek bir noktadan tüm API'leri etkileyen bir risk de yaratır.

API gateway güvenlik kontrolleri

Kontrol Amaç
Kimlik doğrulama Her isteğin kimliğini doğrulama (token, mTLS)
Yetkilendirme İsteğin o kaynağa erişim yetkisini kontrol
Hız sınırı Kötüye kullanım ve DoS'u sınırlama
İstek doğrulama Şema ve girdi doğrulama, zararlı istekleri eleme
İzleme ve kayıt Tüm API trafiğinin denetlenebilir kaydı
Arka uç yalıtımı Gerçek servisleri doğrudan dışarıya açmama

Sık yapılan hatalar

  • Yetkilendirmenin yalnızca gateway'de yapılması, arka uç servislerin gateway'e körü körüne güvenmesi (ve doğrudan erişilebilir kalması).
  • Hız sınırının eksik olması, API'nin kötüye kullanıma ve DoS'a açık kalması.
  • Gateway'in arkasındaki servislerin ayrıca kimlik doğrulamaması (iç trafik güvenli varsayılır).
  • Hassas bilginin gateway günlüklerinde açıkça tutulması.
  • Eski ve kullanılmayan API uçlarının gateway'de açık kalması.

KAOS ve DSET yaklaşımı

DSET, API gateway ve arkasındaki servislerin güvenlik denetimini yapar: yetkilendirme gerçekten her katmanda mı uygulanıyor, arka uç servisler gateway atlanarak doğrudan erişilebiliyor mu. Geliştirdiğimiz KAOS güvenlik motoru, API uçlarında eksik yetki kontrolünü ve gateway'i atlayan doğrudan erişilebilir servisleri raporlar. Saha deneyimimizde en sık gördüğümüz sorun, arka uç servislerin gateway'e güvenip kendi başına kimlik doğrulamamasıdır. Amacımız gateway'in gerçekten tutarlı bir savunma sağlayıp sağlamadığını göstermektir.

Bağlantılı okumalar: API güvenliği ve OWASP API Top 10, mTLS çift taraflı TLS API güvenliği, API hız sınırlama ve bot yönetimi, gölge API ve API keşfi, JWT güvenliği ve saldırıları, OAuth 2 ve OIDC akış saldırıları.

Sık sorulan sorular

API gateway tek başına API'lerimi güvende tutar mı? Hayır. API gateway güçlü ve tutarlı bir savunma katmanıdır ama tek başına yeterli değildir. En sık hata, arka uç servislerin gateway'e körü körüne güvenip kendi başına kimlik doğrulamaması ve gateway atlandığında doğrudan erişilebilir kalmasıdır. Doğru yaklaşım, gateway'i merkezi kontrol olarak kullanmak ama arka uç servislerde de kimlik ve yetki uygulamaktır.

API gateway ile WAF aynı şey mi? Hayır, ikisi farklı ama tamamlayıcıdır. WAF bilinen web saldırı desenlerini filtreler. API gateway ise kimlik doğrulama, yetkilendirme, hız sınırı ve yönlendirme gibi API yaşam döngüsü kontrollerini uygular. Birçok kurum ikisini birlikte kullanır: gateway API mantığını, WAF saldırı desenlerini yönetir.

Arka uç servisleri gateway arkasında ekstra korumak gerekir mi? Evet. Gateway bir kontrol noktasıdır ama arka uç servisler ona körü körüne güvenmemeli. Bir saldırgan gateway'i atlatır ya da iç ağa ulaşırsa, kendi başına kimlik doğrulamayan servisler savunmasız kalır. Sıfır güven ilkesi gereği, iç trafik de doğrulanmalı ve servisler gateway'den bağımsız olarak kimlik kontrolü yapmalıdır.

Kaynaklar

API gateway ve servis mimarinizin güvenlik denetimi için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.