API 비밀 관리·검증: 로그 기반 실시간 탐지 가이드

## 전제조건
- API 서버가 ELK(Elasticsearch‑Logstash‑Kibana) 스택으로 로그를 수집하고 있다.
- 로그 형식은 JSON이며, `request_body`, `response_body`, `headers`, `query_string` 같은 필드가 존재한다.
- 비밀은 API 키, JWT, 비밀번호 등 32‑64자 영숫자 조합이라고 가정.

## 단계 1. 비밀 패턴 정의
```json
{
"secret_pattern": "[A-Za-z0-9]{32,64}"
}
```
- 정규식은 최소 32자, 최대 64자 영숫자.
- 필요 시 `-` 혹은 `_` 포함하도록 `[-_A-Za-z0-9]{32,64}` 로 확장.

## 단계 2. 필드 매핑
| 로그 필드 | 비밀 가능성 | 필터링 조건 |
|-----------|--------------|--------------|
| request_body | 예 | `json` 파싱 후 `api_key`/`token` 키 존재 |
| headers | 예 | `Authorization` 헤더에 `Bearer` 혹은 `Api-Key` |
| query_string | 예 | `?api_key=` |
| response_body | 예 | 비밀이 반환되는 경우(예: 개발용 토큰) |

## 단계 3. 탐지 룰 작성 (Elastic Query DSL)
```json
{
"query": {
"bool": {
"should": [
{"regexp": {"request_body": {"value": "[A-Za-z0-9]{32,64}"}}},
{"regexp": {"headers": {"value": "(?i)Authorization: Bearer [A-Za-z0-9]{32,64}"}}},
{"regexp": {"query_string": {"value": "api_key=[A-Za-z0-9]{32,64}"}}}
],
"minimum_should_match": 1
}
}
}
```
- `minimum_should_match:1` 으로 어느 한 필드라도 매칭하면 알림.
- `regexp`는 정규식이므로 오탐 가능성이 존재.

## 단계 4. 오탐 감소 조건
1. 문맥 필터: `source_ip`가 내부망(10.0.0.0/8)일 때만 허용.
2. 동시 요청 수: 같은 `client_id`가 5분 안에 10회 이상 비밀 전송 시 경고.
3. 비밀 길이: 64자 미만이면 무시.

```json
{
"filter": {
"bool": {
"must": [
{"range": {"@timestamp": {"gte": "now-5m"}}},
{"term": {"source_ip.keyword": "10.0.0.0/8"}}
],
"should": [
{"range": {"request_count": {"gte": 10}}}
],
"minimum_should_match": 1
}
}
}
```

## 단계 5. 검증 절차
1. 테스트 데이터 삽입: `curl -X POST http://api.local/endpoint -H "Authorization: Bearer abcdef1234567890abcdef1234567890"`.
2. 쿼리 실행: Kibana Dev Tools에서 위 DSL 실행.
3. 결과 확인: `hits.total` 가 1 이상이면 탐지 성공.
4. 오탐 테스트: `Authorization: Bearer 1234` (4자) 삽입 → `hits.total` 0.

## 성공/실패 판단 기준
- 성공: 5분 이내에 실제 비밀이 포함된 요청이 탐지되고, 내부 IP 기준으로 필터링된 뒤 알림이 발생한다.
- 실패: 비밀이 포함된 요청이 탐지되지 않거나, 정상 요청이 오탐으로 알림이 뜬다.

위 절차를 따라 하면 실시간으로 API 비밀 유출을 탐지할 수 있다. 필요에 따라 정규식과 필터를 조정해 정확도를 높이세요.