Bu blog, "Software Supply Chain : Saldırganların Yararlandığı Zayıf Halkalar" adlı web seminerimizden önemli noktalar ele almaktadır. Web seminerinin tamamını buradan izleyebilirsiniz.
Kuruluşlar daha fazla açık kaynak bileşene, harici pakete ve otomatikleştirilmiş geliştirme süreçlerine güvenmeye başladıkça, Software zinciri riskleri önemli ölçüde artmıştır. Eskiden zararsız görünen küçük boşluklar, özellikle bağımlılıklar derinleşip doğrulanması zorlaştıkça, artık gerçek sonuçlar doğurmaktadır.
Bu değişimin açık bir örneği, son zamanlarda ortaya çıkan npm Shai-Hulud solucanı ve Shai-Hulud 2.0'dır. Bu solucanlar, güvenliği ihlal edilmiş paketler aracılığıyla yayılmış ve birkaç saat içinde binlerce alt projeyi etkilemiştir. Bu tür olaylar bir şeyi açıkça ortaya koymaktadır: Tedarik zincirindeki zayıflıklar artık sınırlı kalmamakta, tüm ekosistemlere yayılmaktadır.
Modern yazılımların %70-90'ı açık kaynak bileşenlerden oluşuyor ve bunların çoğu geliştiriciler tarafından doğrudan görülmüyor. Bu nedenle, küçük sorunlar hızla büyük risklere dönüşebiliyor. Ancak, kuruluşların yalnızca %15'i bu açık kaynak riskini nasıl yönetecekleri konusunda kendilerine güveniyor. 2025 yılına kadar kötü niyetli yapay zeka saldırılarının %70'inin tedarik zincirlerini hedef alacağı tahmin ediliyor. Bu nedenle, yazılım tedarik zincirindeki zayıf halkaları belirlemek artık çok önemli hale geldi.
Mühendislik ve güvenlik ekipleri için bunun faydası çok basit: Bu zayıf noktaların nerede olduğunu bilmek, daha az sürpriz, daha hızlı tepki süreleri ve bir sonraki tedarik zinciri manşetine çıkma olasılığının çok daha düşük olması anlamına gelir.
SBOM'lar Artık İsteğe Bağlı Değil
Yazılım tedarik zinciri risklerini yönetmek ve güvenlik açıklarına yanıt vermek için kuruluşların yazılım yığınlarında neler bulunduğuna dair net bir görüşe sahip olmaları gerekir. Bu görünürlüğün temeli, bileşen risklerini anlamak ve sorunlar ortaya çıktığında hızlıca harekete geçmek için gereken şeffaflığı sağlayan SBOM'dur (yazılım malzeme listesi).
SBOM, bir uygulamada kullanılan tüm kapalı ve açık kaynaklı bileşenlerin, lisansların ve bağımlılıkların ayrıntılı bir envanteri olarak tanımlanır. Bu envanter, şeffaflık, uyumluluk ve risk yönetimi için gerekli verileri sağlar.
Bugün savunmasız veya zararlı olmayan şeyler yarın kolayca öyle hale gelebilir. Eski sürümler de dahil olmak üzere güvenlik açıkları sürekli olarak ortaya çıktığı için, sürekli izleme ve envanterleme gereklidir.
George PrichiciBaşkan Yardımcısı, Ürünler, OPSWAT
SBOM ve SCA
Önemli bir nokta, SBOM ile SCA (Software Analizi) arasındaki farktır. SBOM, envanter veya bileşenlerin listesidir. SCA ise bu bileşenlerin herhangi birinin savunmasız, güncel olmayan veya riskli olup olmadığını değerlendirir. Bu iki unsur bir araya geldiğinde, kuruluşlara bilinçli kararlar almak, güvenlik sorunlarına daha hızlı yanıt vermek ve genel risk yönetimini güçlendirmek için gerekli içgörüyü sağlar.
| Kategori | SBOM | SCA |
|---|---|---|
Amaç | Bileşenlerin envanteri |
Bileşenlerdeki güvenlik açıklarını belirleyin
|
Risk Kapsamı | Uyumluluk ve görünürlük | Güvenlik riskleri, CVE'ler, çalışma zamanı riski |
Zamanlama | Dağıtım öncesi / tedarik | Sürekli / derleme ve çalışma zamanı |
SolarWinds gibi saldırılarla kısmen tetiklenen küresel hareketler, artık SBOM'ları zorunlu hale getiriyor. CISA, NSA ve NIST gibi kurumların yanı sıra AB ve NATO müttefiki ülkeler de SBOM şeffaflığını artık isteğe bağlı değil, tüm yazılım satıcıları için temel bir beklenti haline getiriyor.
Saldırganların Yararlandığı 7 Kritik Zayıf Nokta
Modern gelişimin hızı, üçüncü taraf ve açık kaynak koduna olan yoğun bağımlılıkla birleştiğinde, ciddi güvenlik açıkları ortaya çıkarmıştır. Tehdit aktörleri yedi temel zayıf halkayı istismar etmektedir:
1. Açık Kaynak ve Bağımlılık Riski
Geliştiriciler hızı öncelikli hale getirdiğinde, genellikle tam bir kod incelemesi yapmadan büyük açık kaynaklı kütüphaneler kullanırlar. Tek bir bileşen, ek geçişli bağımlılıklar getirebilir. Yalnızca en üst seviyeyi izlerseniz, bu gizli geçişli bağımlılıklara enjekte edilen kötü amaçlı kodları gözden kaçırabilirsiniz.
Bu model, açık kaynak ekosistemlerinde sürekli olarak gördüğümüz bir durumdur. Bir paket güvenliği ihlal edildiğinde, bağımlılık zincirleri aracılığıyla yayılabilir ve kimse fark etmeden milyonlarca kez indirilebilir. Kripto kötü amaçlı yazılımların dahil olduğu yakın tarihli bir npm tedarik zinciri saldırısı, bunun pratikte nasıl gerçekleştiğini açıkça göstermektedir.
En iyi uygulamalar:
- Tüm açık kaynak paketlerini ve bunların tam bağımlılık zincirlerini tarayarak, güvenlik açıklarını, eski bileşenleri veya gizli kötü amaçlı yazılımları kod tabanınıza ulaşmadan önce tespit edin.
- Güvenli bileşenler, yeni CVE'ler veya kötü amaçlı güncellemeler ortaya çıktıkça riskli hale gelebileceğinden, bağımlılıkları zaman içinde sürekli olarak izleyin.
- Güvenilir kayıt defterlerini kullanın ve paket bütünlüğünü doğrulayın, böylece indirdiğiniz paketlerin tahrif edilmediğinden emin olun.
- Uyumsuz veya viral lisans koşullarının yapılarınıza sızmaması için riskli lisansları işaretleyen veya engelleyen politikalar uygulayın.
- Yeni yayınlanan paketleri, incelenene kadar kullanmayı ertelemeyi sağlayarak, incelenmemiş veya kötü amaçlı sürümlerin ortamınıza girme olasılığını azaltın.
2. Lisanslama Riski
Lisanslama sorunları artık mühendislik alanını da hukuk kadar etkiliyor. GPL gibi viral lisanslar, uygulamanızın aynı lisans altında yayınlanmasını zorunlu kılabilir ve bu da şirketinizin kendi Fikri Mülkiyet Haklarını (IP) kaybetmesine neden olabilir. Lisans koşulları, eski ve daha önce uyumlu olan sürümler için bile değişebileceğinden, sürekli izleme gereklidir.
En iyi uygulamalar:
- Geliştirme sürecinin erken aşamalarında, otomatik lisans algılama aracını kullanarak yüksek riskli veya uyumsuz lisansları tespit edin. Bunun neden önemli olduğuna dair daha ayrıntılı bir açıklama burada yer almaktadır: Açık Kaynak Güvenliğinde Lisans Algılamanın Önemli Rolü.
- Uyumluluğu veya IP maruziyetini etkileyebilecek değişiklikleri yakalamak için lisans değişikliklerini sürekli olarak takip edin.
- Kısıtlayıcı veya viral lisanslara sahip bileşenleri kod tabanına girmeden önce engelleyin veya inceleyin.
- Denetimleri ve risk değerlendirmelerini basitleştirmek için kullanılan tüm lisansların net bir envanterini tutun.
3. SBOM Veri Eksiklikleri veya Eksik SBOM'lar
Yönetmelikler SBOM'ların paylaşılmasını zorunlu kılsa da, üst düzey bir liste yeterli değildir. Etkili bir risk azaltma ve önleme için yazar, katkıda bulunanlar, yayın sıklığı ve bakım durumu gibi ayrıntılı veri noktaları gereklidir.
En iyi uygulamalar:
- Bileşenleri yeniden tarayarak SBOM raporlarını geliştirin ve güncellenmiş lisans verileri, güvenlik açığı durumu ve diğer önemli meta verilerle zenginleştirin. Bunun nasıl yapılacağına dair ayrıntılı bir örnek, CycloneDX SBOM Raporu Doğrulama ve Zenginleştirme başlığı altında burada özetlenmiştir.
- Bilgilerin eksiksiz, doğru ve eyleme geçirilebilir olmasını sağlamak için otomatik araçlar kullanarak SBOM'ları doğrulayın ve zenginleştirin.
- Satıcılardan, geçişli bağımlılıklar ve tüm ilgili meta veriler dahil olmak üzere tam SBOM derinliği sağlamalarını isteyin.
- Bileşenler geliştikçe veya yeni güvenlik açıkları ortaya çıktıkça SBOM envanterlerini sürekli olarak güncelleyin ve izleyin.
4. Üçüncü Taraf Satıcılar
Güvendiğiniz her satıcı, tedarik zincirinizin bir parçası haline gelir. Satıcılar eski veya güvenliği ihlal edilmiş bileşenler gönderirse, bu riski siz de üstlenirsiniz. Geçişli bağımlılıklar da dahil olmak üzere eksiksiz SBOM'lar, bir olay sırasında satıcıları takip etmek yerine maruz kaldığınız riski hızlı bir şekilde anlamanızı sağlar. Software Supply Chain Bağımlılık Güvenlik Açıklarını Yönetme başlıklı yakın tarihli bir yazıda, ekiplerin sürecin bu kısmını nasıl güçlendirebilecekleri ele alınmaktadır.
5. AI Supply Chain
AI'nın hızla benimsenmesi nedeniyle, ekipler genellikle normal kısıtlamaları atlatarak bunu önemli bir saldırı vektörü haline getiriyor. Saldırganlar, makine öğrenimi modellerine, PICO dosyalarına veya açık kaynak kütüphanelerine kötü amaçlı kod enjekte ediyor. Typosquatting, kullanıcıların yanlış kütüphaneyi çekebileceği Pytorch gibi ortamlarda yaygındır. Bu, kötü amaçlı yazılımları iletebilir ve mühendisin makinesinde tam uzaktan kod yürütülmesine yol açabilir.
6.Container
Konteyner taramaları, yalnızca güvenlik açıklarına odaklanmanın ötesine geçmelidir. Modern güvenlik, kamuya açık konteyner görüntülerinde yayınlanan kötü amaçlı yazılımları, kripto madencilerini ve hızlı hareket eden tehditleri de taramalıdır. NVIDIA Container CVE-2024-0132'nin yakın zamanda yapılan bir analizi, bu sorunların ne kadar kolay gözden kaçabileceğini göstermektedir.
7. Gizli Bilgiler ve Kimlik Bilgilerinin Sızdırılması
Ekipler hızlı hareket ettiğinde, test amacıyla erişim anahtarlarını veya kimlik bilgilerini genellikle kaynak koduna sabit olarak yazarlar. Daha sonra üzerine yazılsa bile, bu gizli bilgiler genellikle Git geçmişinde kalır ve saldırganlar tarama yoluyla bunları kolayca bulabilir. Gizli Tehditleri Ortaya Çıkarmak: Koddaki Gizli Bilgileri Algılama, bu tür ifşaların nasıl gerçekleştiğini ve ekiplerin bunları önlemek için neler yapabileceğini gösterir.
Secure BirSoftware Supply Chain Giden Yol
Bu tehditlere karşı koymak için, güvenlik "sola kayma" zihniyetini benimsemelidir. Bu, sürümden önce uygulanan aynı politikaların geliştirme döngüsünün daha erken aşamalarında uygulanması gerektiği anlamına gelir. Amaç, güvenliği mevcut CI/CD boru hattının üzerine bir katman olarak entegre etmektir. Bu otomatik yaklaşım, mühendislik verimliliğini etkilemeden gerektiğinde uygulamanın sağlanmasını garanti eder.
Kapsamlı bir çözüm şunları sağlamalıdır:
- Boru hattı boyunca otomatik tedarik zinciri taraması
- Kaynak kodu, kapsayıcılar ve satıcı tarafından sağlanan dosyalara ilişkin görünürlük
- CVE'lerin ötesine geçen analizlerle kötü amaçlı yazılımları, lisans sorunlarını ve açığa çıkan gizli bilgileri tespit edin
OPSWAT Bu Boşlukları Kapatmaya Nasıl OPSWAT ?
- Kötü amaçlı yazılımları erken aşamada tespit etmek Multiscanning
- GitHub, GitLab, TeamCity, Jenkins ve daha fazlası için entegre CI/CD güvenlik geçişleri
- Otomatik SBOM oluşturma ve güvenlik açığı eşleme
- Artefakt imzalaması ve bütünlük doğrulaması
- Gizli bilgilerin taranması ve kimlik bilgilerinin güvenliğinin sağlanması
Bugün, uzmanlarımızdan biriyle görüşerek, sisteminiz için özel çözümler bulun.
