Kod Olarak Altyapı Güvenlik Taraması

Kod Olarak Altyapı (IaC) araçları (örneğin Terraform, AWS CloudFormation, Ansible ve Helm), altyapının sürüm denetimli yapılandırma dosyalarında tanımlanmasına olanak tanır. Bu yaklaşım tekrarlanabilirlik, denetlenebilirlik ve otomasyon gibi büyük yararlar sağlar; ancak önemli bir güvenlik riski de oluşturur: IaC dosyalarındaki yanlış yapılandırmalar, geniş ölçekte güvensiz altyapı üretir. 50 ortamda dağıtılan tek bir yanlış yapılandırılmış Terraform modülü, aynı anda 50 savunmasız sistem oluşturur. IaC güvenlik taraması, yapılandırma dosyalarını uygulanmadan önce denetleyerek bu sorunu ele alır ve güvenliği geliştirici iş akışının erken aşamalarına taşır.

Güvenlik taraması araçları, gerçek dünyadaki bulut ortamlarında görülen en yaygın IaC yanlış yapılandırmalarını arar: genel erişimi etkinleştirilmiş veya beklemede şifrelemesi olmayan S3 kovaları; hassas bağlantı noktalarında (22, 3389, 1433) 0.0.0.0/0 gelen kurallarına sahip güvenlik grupları; şifrelemesi olmayan veya genel erişime açık veritabanları; * Resource ya da eylem joker karakterlerine sahip IAM ilkeleri; bir bölgede devre dışı bırakılmış CloudTrail; anahtar döndürmesi olmayan KMS anahtarları ve HTTPS yerine HTTP dinleyicileri kullanan yük dengeleyiciler. Bu bulgular, CIS AWS Foundations gibi bulut güvenliği kıyaslamaları tarafından gerçekleştirilen Checks ile büyük ölçüde örtüşür.

Checkov (Bridgecrew/Prisma Cloud tarafından geliştirilmiştir), Terraform, CloudFormation, Kubernetes bildirimlerini, Helm çizelgelerini ve Dockerfile'ları destekleyen, IaC için kullanılan popüler bir açık kaynaklı statik analiz aracıdır. CIS kıyaslamaları, GDPR, SOC 2 ve HIPAA ile eşleştirilmiş 1.000'den fazla yerleşik politikayla birlikte gelir. checkov -d . komutunun çalıştırılması, geçerli dizindeki tüm IaC dosyalarını tarar ve kaynak yolları ile düzeltme yönergelerini içeren, başarılı, başarısız ve atlanan denetimlerin renklerle kodlandığı bir rapor oluşturur. Checkov, kritik denetimler başarısız olduğunda dağıtımları engellemek için CI/CD işlem hatlarına entegre edilebilir.

tfsec (artık Trivy'nin IaC tarama özelliğinin bir parçasıdır), HCL söz dizimini derinlemesine anlayan ve böylece değerleri modüller ile değişken dosyaları arasında izleyebilen, Terraform'a özel bir güvenlik tarayıcısıdır. Daha basit tarayıcıların aksine tfsec, sorunun birden fazla dosyaya yayıldığı yanlış yapılandırmaları algılayabilir; örneğin, tek başına güvenli görünen ancak başka bir dosyadaki kaynağa bağlanmış bir güvenlik grubu kuralını tespit edebilir. tfsec; önem düzeyleri (CRITICAL, HIGH, MEDIUM, LOW), CWE kimlikleri ve düzeltme belgelerine doğrudan bağlantılar içeren bulgular üretir; bu da bulguları geliştiriciler için uygulanabilir hâle getirir.

En kritik IaC güvenlik sorunlarından biri, yapılandırma dosyalarına sabit kodlanmış gizli bilgilerdir — Git'e kaydedilen parolalar, API anahtarları, TLS özel anahtarları ve veritabanı bağlantı dizeleri. IaC depoları çoğunlukla ekipler arasında paylaşılır ve sürüm denetimi geçmişinde saklanır; bu nedenle bir gizli bilgi yalnızca bir kez kaydedilmiş olsa bile fiilen kalıcı olarak ele geçirilmiş sayılır (Git geçmişi değiştirilemez). Checkov, detect-secrets, git-secrets ve TruffleHog gibi araçlar gizli bilgi kalıplarını tarar. Çözüm, sabit kodlanmış değerleri hiçbir zaman kullanmamak ve bunların yerine ortam değişkenlerinden veya gizli bilgi depolarından alınan girdi değişkenlerini kullanmaktır.

Policy as Code (PaC) çerçeveleri, güvenlik ekiplerinin özel kuralları kod olarak yazmasına ve bunları tutarlı biçimde uygulamasına olanak tanır. Open Policy Agent (OPA) ve Conftest, CI/CD işlem hatlarında herhangi bir yapılandırılmış veriyi — Terraform planlarını, Kubernetes bildirimlerini ve Helm değerlerini — doğrulayan Rego politikalarının yazılmasına olanak tanır. HashiCorp Sentinel, Terraform Enterprise ve Cloud'a yerleşik olarak gelir; bu sayede “tüm S3 Bucket'larında şifreleme etkin olmalıdır” gibi politikalar planlama sırasında uygulanabilir ve politikayı ihlal edecek tüm uygulama işlemleri engellenebilir. Bu araçlar, güvenlik gereksinimlerinin kod hâline getirilmesine ve yönettikleri altyapıyla birlikte sürüm denetiminde tutulmasına olanak tanır.

Yapılandırma sapması, dağıtılmış altyapının gerçek durumu IaC tanımından saptığında ortaya çıkar; bunun nedeni çoğunlukla bir kişinin bulut konsolu üzerinden elle değişiklik yapmasıdır. Bir geliştiricinin önündeki engeli “geçici olarak” kaldırmak için elle eklenen güvenlik grubu kuralı kalıcı bir açık hâline gelir. Sapma algılama araçları, istenen durumu (IaC dosyalarını) dağıtılmış gerçek durumla sürekli karşılaştırır ve farklılıklar konusunda uyarı verir. AWS Config, Terraform Cloud'un sapma algılama özelliği ve CSPM araçları (Prisma Cloud, Wiz) bu yeteneği sağlar. Konsol değişiklikleriyle ortaya çıkan güvenlik yanlış yapılandırmaları, saldırganlar bunları keşfetmeden önce yakalanır.

Değişmez altyapı, sunucuların ve yapılandırmaların yerinde hiçbir zaman değiştirilmemesi; bunun yerine değişikliklerin yeni kaynaklar (yeni AMI'ler ve yeni kapsayıcı görüntüleri) oluşturup eskilerin yerini alması anlamına gelir. Tüm altyapı değişikliklerinin IaC taramasını ve onay iş akışlarını tetikleyen bir Git çekme isteği üzerinden gerçekleştirilmesini gerektiren GitOps ile birleştirildiğinde, yapılandırma sapması tasarım gereği ortadan kalkar: Bir şey elle değiştirilemiyorsa sapamaz. Kubernetes için ArgoCD ve Terraform için Atlantis gibi araçlar, her türlü farklılığın otomatik bir uzlaştırmayı veya uyarıyı tetiklediği GitOps iş akışlarını uygular.

IaC güvenlik taraması bazen SAST (Statik Uygulama Güvenliği Testi) ile karıştırılır; ancak bunlar farklı yapıtları hedefler. SAST, uygulama kaynak kodunu (Python, Java, JavaScript) SQL ekleme saldırısı veya arabellek taşması gibi güvenlik açıkları açısından analiz eder. IaC taraması ise altyapı yapılandırma dosyalarını bulut güvenliği yanlış yapılandırmaları açısından analiz eder; uygulama kodu söz konusu değildir. Eksiksiz bir DevSecOps işlem hattı her ikisini de içerir: uygulama kodunda SAST ve altyapı dosyalarında IaC taraması. Her ikisi de herhangi bir dağıtımdan önce CI/CD içinde çalıştırılır. Bazı birleşik platformlar (Snyk IaC, Prisma Cloud), uygulama ve altyapı taramasını tek bir araçta birleştirir.

Etkili IaC güvenlik taraması otomatikleştirilmeli ve zorunlu kılınmalıdır; isteğe bağlı olmamalıdır. Tipik bir CI/CD entegrasyonu şu adımları içerir: her çekme isteğinde Checkov ve tfsec'i çalıştırmak; CRITICAL bulgular varsa işlem hattını başarısız kılmak; geliştiricilerin görebilmesi için bulguları çekme isteği yorumları olarak eklemek; belgelenmiş gerekçelerle bastırılmış bulguların bir listesini tutmak ve sapmaları tespit etmek için dağıtılmış kaynaklara karşı her gece tarama çalıştırmak. Checkov ile pre-commit gibi araçları kullanan ön işleme kancaları, sorunları kod işlem hattına ulaşmadan önce bile yakalayabilir. Yanlış pozitiflerin yönetimi önemlidir; çok fazla ilgisiz bulgu gören geliştiriciler bunları görmezden gelmeye başlar.

Terraform'un durum dosyası (terraform.tfstate), yönetilen tüm kaynakların eksiksiz envanterini içerir ve çoğu zaman veritabanı parolaları, TLS özel anahtarları ve IAM erişim anahtarı kimlikleri gibi hassas çıktı değerlerini düz metin olarak barındırır. Durum dosyaları hiçbir zaman Git'e kaydedilmemelidir. Bunun yerine, sunucu tarafı şifrelemesi etkin bir uzak arka uç (DynamoDB kilitlemeli AWS S3, Terraform Cloud veya GitLab tarafından yönetilen durum) kullanılmalıdır. Durum arka ucuna erişim IAM aracılığıyla sıkı biçimde denetlenmelidir; durum dosyasını okuyabilen herkes tüm altyapı ayrıntılarını listeleyebilir ve gömülü gizli bilgileri çıkarabilir.

Bu derste ele alınan CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: herkese açık S3 Bucket'ları, açık güvenlik grupları ve sabit kodlanmış gizli bilgiler gibi IaC yanlış yapılandırmaları, dağıtımdan önce Checkov ve tfsec gibi araçlar tarafından otomatik olarak algılanır; Kod Olarak Politika çerçeveleri (OPA/Conftest, HashiCorp Sentinel), özel kurumsal güvenlik gereksinimlerinin otomatik işlem hattı kapıları olarak uygulanmasına olanak tanır ve Terraform durum dosyaları, hassas kaynak ayrıntıları içerebilecekleri için sıkı erişim denetimlerine sahip şifrelenmiş uzak arka uçlarda saklanmalıdır. Sıradaki derste APT yaşam döngüsünü ve gelişmiş tehditlerin ağların içinde nasıl kalıcı hâle geldiğini inceleyeceğiz.