API Saldırılarına Karşı SIEM Kuralları ve Davranışsal Modeller

API Saldırılarına Karşı SIEM Kuralları ve Davranışsal Modeller konusu, güvenlik ekibinin ham alarmı doğrudan aksiyona çevirmesi için net veri modeli gerektirir. Bu yazı token kötüye kullanımı, bot davranışı ve endpoint taramasını uygulama loglarından yakalamak problemine odaklanır; genel pazarlama anlatımı yerine uygulanabilir sinyal, örnek olay ve ölçüm adımlarını sıralar.

Teknik Problem

Kurumsal ortamlarda en büyük sorun tek bir log kaynağının olayı tam anlatmamasıdır. Ağ, kimlik, cihaz ve uygulama kayıtları ayrı ayrı bakıldığında düşük önem seviyesinde görünebilir. Aynı kayıtlar zaman, kullanıcı ve varlık bağlamıyla birleştiğinde ise müdahale gerektiren bir hikaye ortaya çıkar.

Toplanacak Sinyaller

• aynı token ile farklı ülke ve cihaz parmak izi
• 404/401 oranında ani artış
• normal kullanıcıdan farklı endpoint sıralaması

Bu sinyaller merkezi şemada aynı isimlerle tutulmalıdır. Aksi halde bir ekranda kaynak IP, başka ekranda istemci IP olarak görünen değerler raporlarda tutarsızlık üretir.

Gerçekçi Senaryo

Bir bot önce `/api/users`, sonra `/api/admin`, sonra geçersiz ID'lerle yüzlerce deneme yapıyorsa SIEM kuralı sadece status code değil davranış sırasını izlemelidir.

Uygulama Yaklaşımı

API savunması rate limit ile bitmez; token, fingerprint, rota ve hata tipi birlikte korele edilmelidir.

Ölçüm ve Doğrulama

Başarı metriği: engellenen bot oturumu, doğrulanan token kötüye kullanımı ve false-positive API çağrısı sayısı izlenir.

Ham API logu ve normalize JSON

Korelasyon kuralı

Mimari ve MITRE

MITRE: T1190 Exploit Public-Facing Application, T1110 Brute Force, T1580 Cloud Infrastructure Discovery. False-positive azaltma için healthcheck endpointleri ve bilinen entegrasyon IP'leri ayrı tutulur. Testte 10 dakikalık anonim API logunda bot endpoint sıralaması normal kullanıcı akışından ayrıştırıldı.