Pasif ağ izleme, makine öğrenimi ve kural tabanlı WAF mimarisini birleştiren tam yığın (full-stack) API güvenlik platformu. Geleneksel araçların asla göremediği LLM uç noktaları ve gölge API'ler üzerinde tam koruma sağlayın.
Krepost, ağ hattınıza müdahale etmeden çalışır. Mevcut sensörlerden gelen ham trafiği asenkron olarak işleyerek gerçek zamanlı analiz üretir.
Krepost, operasyonel iş akışınızı etkilemeden çalışması için asenkron bir tüketim modeli kullanır. Ham trafik sensörler kanalıyla yakalandığı an, NATS JetStream üzerinde kuyruğa alınır. Uygulamalarınızın performansında 1 milisaniye bile yavaşlama gerçekleşmez.
Anlık uç noktalar, saniye başına istek oranları (RPS) ve makine öğrenimi kararları anlık tepkisellik için bellek üzerinde (In-Memory) tutulurken; saldırı kayıtları, WAF kuralları ve sistem yapılandırmaları Elasticsearch indekslerinde kalıcı olarak saklanır.
Ham trafiği analiz ederek sisteminizdeki her açığı kapatan entegre yetenek yelpazesi.
Aynalanan canlı trafik üzerinden tüm uç noktaları (endpoints) otomatik olarak haritalandırır. Belgelenmemiş gizli "Shadow API" yapılarını anında yüzeye çıkarır.
Her uç nokta üzerinde çalışan makine öğrenimi modelleri, verinin yapısını çözümler ve hassas veri tiplerini tespit ederek sınıflandırır.
SQLi, XSS, SSRF ve RCE dahil olmak üzere 30'dan fazla kategoride tam trafik denetimi. İsteklerin başlık, gövde, sorgu ve yol alanlarını regex ile analiz eder.
Kurum içi barındırdığınız (Self-hosted) yapay zeka ve büyük dil modellerini (LLM) hedef alan özel saldırılara karşı eş zamanlı koruma kalkanı geliştirir.
Görsel ve blok tabanlı kural geliştirici motoru sayesinde sensörlerinizin üzerine anlık olarak kurallar tanımlayın ve trafiği yönlendirin.
API veri sızdırma ve tarama (enumeration) saldırılarını yakalamak üzere farklı istek adımlarını tek bir istemci kimliği altında birleştirir.
Krepost, trafiği sadece pasif olarak izlemekle kalmaz, kurallarla şekillendirmenizi sağlar. Sensörler üzerinden akan veriler hiyerarşik işlem adımlarına (Pipelines) tabi tutulur:
İstek özelliklerini AND/OR mantıksal operatörleriyle saniyeler içinde tartar.
JWT/OAuth kimlik doğrulamasını üstlenir ve IP başına RPS (Saniye başı istek) sınırları çizer.
Regex veya JSONPath kullanarak veriyi dönüştürür; trafiği Mock SQL kümelerine veya ana sunucuya yönlendirir.
API'ler artık modern uygulamaların omurgasını oluşturuyor — ve tam da bu yüzden saldırganların birincil hedefi haline geldiler. İşte güvenlik ekiplerinin gündeminde olması gereken temel başlıklar.
Sektörün referans aldığı OWASP, API'lere özgü en kritik 10 risk kategorisini şu şekilde tanımlıyor. Krepost'un WAF ve keşif motoru bu kategorilerin büyük bölümünü doğrudan hedefler.
Belgelenmemiş, eski veya test amaçlı bırakılmış API uç noktaları envanter dışında kalır. Güvenlik ekibi bir uç noktayı bilmiyorsa onu koruyamaz — sürekli, pasif keşif bu yüzden kritik.
Bir kullanıcının kimliğini doğrulamak yeterli değildir; her istekte "bu kullanıcı bu veriye/işleme erişebilir mi?" sorusunun da denetlenmesi gerekir. BOLA ve fonksiyon seviyesi yetki açıkları en sık istismar edilen zafiyetlerdir.
Prompt injection, jailbreak ve hassas veri sızıntısı gibi riskler klasik WAF kurallarıyla yakalanamaz. LLM trafiğinin mesaj bazında içerik ve niyet analizinden geçmesi gerekir.
Sınırsız istek boyutu, sayfalama veya toplu işlem uç noktaları; kaynak tükenmesi (DoS) ve kaba kuvvet saldırıları için kolay hedef oluşturur. IP, kullanıcı veya API anahtarı bazında hız sınırlama şarttır.
Loglar dağınık, tutarsız veya eksikse bir saldırının adli analizi imkansızlaşır. İstek, yanıt ve tetiklenen kuralın aynı ekranda ilişkilendirilmesi, ortalama tespit ve müdahale süresini (MTTD/MTTR) doğrudan kısaltır.
Ağ içi trafiği "güvenli" varsaymak yerine her isteği doğrulamak, mikroservisler arası API çağrılarında da kimlik doğrulama ve yetkilendirme katmanını zorunlu kılar.
Kurum içi barındırılan LLM'ler ve ajans (agentic) yapay zeka sistemleri, klasik API güvenliğinden farklı bir tehdit modeli getiriyor. Krepost'un LLM Security modülü, mesaj bazlı içerik analiziyle bu boşluğu kapatır.
OWASP GenAI Security Project'in güncel listesi, LLM tabanlı uygulamalardaki en kritik 10 riski sıralar. Ajans tabanlı sistemlerin yaygınlaşmasıyla birlikte liste; tedarik zinciri, aşırı özerklik ve sınırsız kaynak tüketimi gibi başlıkları da kapsayacak şekilde genişledi.
Doğrudan (direct) enjeksiyon kullanıcı girdisiyle, dolaylı (indirect) enjeksiyon ise modele okutulan bir doküman, e-posta veya web sayfası içine gizlenmiş talimatlarla gerçekleşir. Regex tabanlı WAF kuralları bu saldırıları görmez; niyet ve içerik analizi gerekir.
Modeller eğitim verisini veya sistem promptunu hedefli sorgularla ifşa edebilir. Müşteri verisi, API anahtarları veya iç dokümanlarla beslenen self-hosted LLM'lerde bu risk özellikle kritik hale gelir.
Bir LLM ajanına ihtiyacından fazla araç, geniş yetki veya onay gerektirmeyen otonomi verildiğinde, ele geçirilmiş bir prompt; e-posta gönderebilir, kayıt silebilir veya yetkisiz işlem yapabilir.
Retrieval-Augmented Generation mimarilerinde vektör deposuna kötü amaçlı içerik enjekte edilebilir veya yetersiz erişim kontrolü, kiracılar (tenant) arası veri sızıntısına yol açabilir.
Kontrolsüz istek hacmi hem hizmet kesintisine (DoS) hem de kullanım başına ücretlendirilen model maliyetlerinin patlamasına ("denial of wallet") yol açabilir. Token ve istek bazlı hız sınırlama şarttır.
Her LLM mesajı; Illegal, Violence, Adult, Sensitive ve Safe risk seviyelerine göre gerçek zamanlı skorlanır. Safe dışındaki her mesaj otomatik olarak saldırı olarak işaretlenir ve forensic görünümde izlenebilir.
Geleneksel çözümler ile modern, görünmez API güvenliği arasındaki net farklar.
| ❌ Krepost Olmadan | ✅ Krepost İle (Günümüz) |
|---|---|
| Gölge (Shadow) ve belgelenmemiş API uç noktaları ağda gizlice çoğalır. | Her uç nokta asenkron trafik analiziyle otomatik keşfedilir ve sınıflandırılır. |
| Klasik WAF sistemleri sadece bilinen yollardaki bilinen paternleri yakalar. | 30'dan fazla gelişmiş saldırı tipi tüm API kanallarında eş zamanlı taranır. |
| PII (Kişisel Veri) ve Finansal veri sızıntıları haftalarca fark edilmeden kalır. | Veri maruziyeti ve KVKK uyumluluk ihlalleri gerçek zamanlı olarak haritalandırılır. |
| Kurum içi geliştirilen LLM / Yapay zeka servisleri saldırılara açık durumdadır. | LLM sorgu ve yanıtları mesaj bazında içerik risk skorlamasından geçirilir. |
| Adli vakaların analizi karmakarışık log dosyaları arasına dağılır. | İstek, yanıt ve tetiklenen kurallar tek bir adli arayüzde birleşik sunulur. |
Krepost bünyesindeki her bir WAF kuralı, özelleştirilmiş bildirim teslimat entegrasyonlarına bağlanabilir. Böylece bir saldırı anında ilgili ekip anında haberdar edilir.
Özelleştirilmiş konu başlıkları ve alıcı listeleri ile anlık SMTP uyarıları.
Tehdit ve ihlal olaylarını doğrudan SIEM altyapınıza asenkron iletin.
Herhangi bir harici HTTP uç noktasına anlık veri tetikleme imkanı.
Krepost'u kendi lokal veya bulut altyapınızda ayağa kaldırmak, API trafiğinizde sıfır kayıpla tam görünürlük kazanmak için ekibimizle iletişime geçin.
Formu doldurun, ekibimiz altyapınıza özel bir demo ve fizibilite görüşmesi için sizinle iletişime geçsin.