Detecção de Ataques de Enumeração de API

Visão Geral

Ataques de enumeração de API ocorrem quando atacantes sondam sistematicamente endpoints de API com identificadores sequenciais ou previsíveis para descobrir e acessar recursos não autorizados. A Autorização Quebrada em Nível de Objeto (BOLA), classificada como API1:2023 no OWASP API Security Top 10, é a vulnerabilidade de API mais crítica. Atacantes manipulam identificadores de objetos (IDs de usuário, números de pedido, referências de conta) em requisições de API para contornar a autorização e acessar dados de outros usuários. A detecção requer o monitoramento de padrões de tentativas rápidas de acesso sequencial, falhas de autorização e comportamento anormal de uso da API.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de ataques de enumeração de API
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Gateway de API ou proxy reverso com logs ativados (Kong, AWS API Gateway, Apigee)
• Plataforma SIEM (Splunk, Elastic SIEM ou Microsoft Sentinel)
• Acesso aos logs do servidor de API com detalhes das requisições
• Web Application Firewall (WAF) com capacidades de proteção de API
• Compreensão do modelo de autorização da API e dos esquemas de identificadores de objetos

Padrões de Ataque para Detectar

1. Enumeração de ID Sequencial

Atacantes iteram por identificadores numéricos ou previsíveis:

GET /api/v1/users/1001 -> 200 OK
GET /api/v1/users/1002 -> 200 OK
GET /api/v1/users/1003 -> 403 Forbidden
GET /api/v1/users/1004 -> 200 OK
GET /api/v1/users/1005 -> 200 OK
...

Indicadores de Detecção:

• Requisições sequenciais rápidas para o mesmo endpoint com IDs incrementais
• Mistura de respostas 200/403/401 da mesma origem
• Taxa de requisições excedendo o comportamento normal do usuário
• Acesso a recursos fora do escopo do usuário autenticado

2. Enumeração de UUID/GUID

Mesmo identificadores não sequenciais podem ser enumerados se vazados através de outros endpoints:

# Attacker first harvests UUIDs from a list endpoint
GET /api/v1/posts?page=1  -> Returns post objects with author UUIDs

# Then uses those UUIDs to access restricted user data
GET /api/v1/users/a3f2c1e4-... -> Private user profile
GET /api/v1/users/b7d9e8f1-... -> Private user profile

3. Enumeração por Manipulação de Parâmetros

# Authenticated as user_id=100, attempting to access other users' orders
GET /api/v1/orders?user_id=101
GET /api/v1/orders?user_id=102
GET /api/v1/orders?user_id=103

Regras de Detecção

Consultas de Detecção Splunk

# Detect sequential ID enumeration on API endpoints
index=api_logs sourcetype=api_access
| rex field=uri_path "(?<endpoint>/api/v\d+/\w+/)(?<object_id>\d+)"
| stats count as request_count,
        dc(object_id) as unique_ids,
        values(status_code) as status_codes,
        min(_time) as first_seen,
        max(_time) as last_seen
  by src_ip, endpoint, user_session
| eval time_span = last_seen - first_seen
| eval requests_per_second = request_count / max(time_span, 1)
| where unique_ids > 20 AND requests_per_second > 2
| eval severity = case(
    unique_ids > 100, "critical",
    unique_ids > 50, "high",
    unique_ids > 20, "medium",
    1==1, "low"
  )
| sort - unique_ids
| table src_ip, endpoint, unique_ids, request_count, requests_per_second,
        status_codes, severity

# Detect BOLA via authorization failure patterns
index=api_logs sourcetype=api_access status_code IN (401, 403)
| bin _time span=5m
| stats count as failure_count,
        dc(uri_path) as unique_paths,
        values(uri_path) as attempted_paths
  by _time, src_ip, user_id
| where failure_count > 10
| eval attack_type = if(unique_paths > 5, "enumeration", "brute_force")

Regras de Detecção Elastic SIEM

{
  "rule": {
    "name": "Detecção de Enumeração de Objetos de API",
    "description": "Detecta acesso sequencial rápido a objetos de API com resultados de autorização mistos",
    "type": "threshold",
    "index": ["api-access-*"],
    "query": {
      "bool": {
        "must": [
          { "regexp": { "url.path": "/api/v[0-9]+/[a-z]+/[0-9]+" } }
        ],
        "should": [
          { "term": { "http.response.status_code": 200 } },
          { "term": { "http.response.status_code": 403 } },
          { "term": { "http.response.status_code": 401 } }
        ]
      }
    },
    "threshold": {
      "field": ["source.ip"],
      "value": 50,
      "cardinality": [

…