Görünmeyen Kapılar: Gölge API'lar Ve Makinelerin Sessiz Riski
Siber güvenliği çoğu zaman devasa surlar, aşılması güç şifreleme sistemleri ve sürekli nöbet tutan güvenlik duvarları üzerinden düşünürüz. Oysa günümüzün dijital dünyasında tehditler her zaman dışarıdan gelen büyük ve gürültülü saldırılar şeklinde ortaya çıkmıyor. Bazen asıl risk, sistemin içinde unutulmuş bir bağlantıdan kaynaklanıyor.
Teknoloji dünyasında giderek daha fazla dikkat çeken bu kör noktanın adı: Gölge API’ler (Shadow APIs).
Bugün internet üzerindeki iletişimin önemli bir bölümü insanlar arasında değil, sistemler arasında gerçekleşiyor. Bir internet sitesine giriş yaptığımızda, akıllı saatimiz sağlık verilerini bir uygulamaya aktardığında veya telefonumuz evimizdeki akıllı cihazlarla haberleştiğinde arka planda sürekli bir veri alışverişi yaşanıyor.
Benzer bir yapı sanayi dünyasında da karşımıza çıkıyor. Modern üretim tesislerinde robotlar, sensörler, otomasyon altyapıları ve yönetim sistemleri kesintisiz biçimde veri paylaşarak üretim süreçlerini destekliyor. Bu iletişimi mümkün kılan araçlardan biri de API’lerdir (Uygulama Programlama Arayüzleri).
API’ler, farklı yazılımların ve sistemlerin belirli kurallar çerçevesinde birbiriyle iletişim kurmasını sağlayan arayüzlerdir. Bir sistem diğerinden veri istediğinde, bir uygulama başka bir hizmeti kullandığında veya üretim verileri yönetim yazılımına aktarıldığında bu iletişimin arkasında çoğu zaman bir API bulunur.
Sorun, kurumların kullandığı bütün API’lerin her zaman aynı ölçüde görünür olmamasıdır.
Gölge API Nedir?
Bir şirket yeni bir uygulama geliştirdiğinde, mevcut sistemlerini güncellediğinde veya otomasyon altyapısını yenilediğinde çok sayıda yeni bağlantı ortaya çıkabilir. Test amacıyla oluşturulan uç noktalar, ekiplerin kendi ihtiyaçları için geliştirdiği servisler ya da resmî süreçlere dahil edilmeden devreye alınan bağlantılar zamanla kurumun API envanteri dışında kalabilir.
Kurumsal olarak takip edilmeyen, dokümante edilmeyen veya güvenlik ekiplerinin bilgisi dışında çalışan bu bağlantılar gölge API olarak adlandırılır.
Bununla birlikte, kullanımdan kaldırıldığı düşünülen eski API sürümleri farklı bir grupta değerlendirilir. Görevini tamamlamış olmasına rağmen çalışmaya ve erişilebilir durumda kalmaya devam eden bu servisler, güvenlik literatüründe genellikle zombi API olarak tanımlanır.
İki kavram arasındaki fark önemli olsa da ortaya çıkardıkları temel risk aynıdır: Kurumun varlığından haberdar olmadığı veya artık takip etmediği bir bağlantı, kritik sistemlere erişmeye devam edebilir.
Örneğin yıllar önce bir mobil uygulamanın eski sürümü için açılmış bir API, yeni uygulamada artık kullanılmıyor olabilir. Ancak ilgili uç nokta sunucuda çalışmaya devam ediyorsa ve güncel güvenlik politikalarına dahil edilmemişse saldırganlar için unutulmuş bir erişim yoluna dönüşebilir.
Bir bağlantının kullanılmıyor olması, kapatıldığı anlamına gelmez.
Neden Tespit Edilmeleri Zordur?
Gölge API’leri tehlikeli hale getiren temel unsur, ürettikleri trafiğin her zaman şüpheli görünmemesidir.
Güvenlik sistemleri, bildikleri ve izleme kapsamına aldıkları varlıklar üzerinde daha etkili çalışır. Varlığı bilinmeyen bir API için doğru güvenlik kuralı, erişim politikası veya davranış modeli oluşturmak ise oldukça zordur.
Bir saldırgan erişilebilir durumdaki eski veya unutulmuş bir API’yi keşfettiğinde sistemi zorla aşmak zorunda kalmayabilir. Eğer ilgili API güncel kimlik doğrulama, yetkilendirme ve izleme politikalarının dışında kalmışsa gönderilen istek, olağan bir servis çağrısı gibi görünebilir.
Bu nedenle gölge API’ler üzerinden gerçekleşen erişimler her zaman büyük ve dikkat çekici saldırılara dönüşmez. Bazı durumlarda saldırganlar uzun süre fark edilmeden veri toplayabilir, sistemin çalışma biçimini inceleyebilir veya daha kritik erişim noktalarına ulaşmak için altyapıyı gözlemleyebilir.
Tehlike, saldırının ne kadar gelişmiş olduğundan çok, kullanılan kapının kimse tarafından izlenmiyor olmasından kaynaklanır.
Görünmeyen API’ler Nasıl Ortaya Çıkarılır?
Bu sorunun çözümü yalnızca yeni bir güvenlik ürünü satın almak değildir. İlk adım, kurumun sahip olduğu dijital varlıkları gerçekten tanımasıdır.
Canlı ağ trafiğinin incelenmesi, API ağ geçidi ve sunucu kayıtlarının karşılaştırılması, dokümante edilmiş API’lerle kullanılan uç noktalar arasındaki farkların belirlenmesi bu sürecin temel parçalarıdır.
Aynı zamanda her API için bir sorumlu, kullanım amacı ve yaşam döngüsü belirlenmelidir. Test amacıyla oluşturulan servislerin ne zaman kapatılacağı bilinmeli, eski sürümler kontrollü biçimde devre dışı bırakılmalı ve API envanteri geliştirme süreçleriyle birlikte güncellenmelidir.
Çünkü güncelliğini kaybeden bir envanter, kısa süre içinde gerçeği yansıtmayan bir listeye dönüşür.
Güvenlik, Görünürlükle Başlar
Dijital altyapılar büyüdükçe sistemler arasındaki bağlantıların sayısı da artıyor. Yeni uygulamalar, bulut hizmetleri, üretim sistemleri ve üçüncü taraf yazılımlar kurumsal yapıya dahil oldukça takip edilmesi gereken yüzey genişliyor.
Bu nedenle mesele yalnızca daha güçlü şifreleme sistemleri kurmak veya daha gelişmiş güvenlik ürünleri kullanmak değildir. Bunlardan önce, neyin korunması gerektiğinin eksiksiz biçimde bilinmesi gerekir.
Bir kurum sahip olduğu API’leri, bu API’lerin hangi verilere ulaştığını ve kimler tarafından kullanıldığını bilmiyorsa güvenlik yatırımlarının önemli bir bölümü yalnızca görünen alanları koruyacaktır.
Kusursuz görünen bir binayı korumak için yalnızca ön kapıyı kilitlemek yeterli değildir. Bazen en büyük risk, yıllar önce açık bırakılmış ve artık kimsenin varlığını hatırlamadığı arka kapıdır.