Güvenli Bağımlılık Yönetimi

Modern uygulamalar yüzlerce üçüncü taraf paketi içe aktarır. Her bağımlılık ve onun geçişli bağımlılıkları saldırı yüzeyinizi genişletir. Popüler bir kütüphanedeki güvenlik açığı (Log4j'deki Log4Shell gibi), binlerce uygulamayı aynı anda açığa çıkarabilir.

Kilit dosyaları (package-lock.json, yarn.lock, Pipfile.lock), geçişli bağımlılıklar da dâhil olmak üzere her bağımlılığı tam bir sürüme sabitler. Kilit dosyalarını sürüm denetimine kaydedin. Bu, tekrarlanabilir derlemeler sağlar ve güvenlik açıklarına yol açabilecek yanlışlıkla yapılan sürüm yükseltmelerini önler.

SCA araçları, güvenlik açığı bulunan paketleri belirlemek için bağımlılık ağaçlarını CVE veritabanlarına göre tarar. OWASP Dependency-Check, Snyk ve GitHub Dependabot, bilinen güvenlik açıklarını otomatik olarak algılar ve giderim yönergeleriyle birlikte düzeltilmiş sürümleri önerir.

Dependabot ve Renovate Bot, yeni ve geriye dönük uyumlu sürümler kullanılabilir olduğunda otomatik olarak çekme istekleri açar. Güvenlik güncellemelerine öncelik verirler. Bağımlılıkları en az düzeyde manuel çabayla güncel tutmak için, sürekli tümleştirme denetimleri başarılı olan yama güncellemelerinde otomatik birleştirmeyi yapılandırın.

Bir bağımlılık eklemeden önce indirme sayısını, son dönemdeki işleme etkinliğini, açık sorunların sayısını, lisans uyumluluğunu ve bilinen CVE geçmişini kontrol edin. Bakımı iyi yapılan ve etkin güvenlik müdahale süreçlerine sahip paketleri, bakımı yapılmayan alternatiflere tercih edin.

Doğrudan bağımlılıklarınız kendi bağımlılıklarını da beraberinde getirir. event-stream olayı: Saldırganlar, milyonlarca paket tarafından kullanılan geçişli bir bağımlılığın denetimini ele geçirdi. Yalnızca doğrudan bağımlılıkları değil, bağımlılık ağacının tamamını denetleyin.

Bağımlılık karmaşası saldırıları, iç paketlerle aynı ada sahip kötü amaçlı paketlerin herkese açık kayıt depolarında yayımlanmasını içerir. Kapsamlı paket adları, özel kayıt deposu kimlik doğrulaması ve .npmrc veya pip.conf içinde onaylı kayıt depolarını izin listesine alma yöntemleriyle riski azaltın.

Yazılım Bileşenleri Listesi (SBOM), yazılımınızdaki tüm bileşenlerin makine tarafından okunabilir envanteridir. Syft veya CycloneDX ile SBOM'ler oluşturun. Yeni CVE'ler yayımlandığında SBOM'ler güvenlik açığının etkisini hızla değerlendirmenizi sağlar; etkilenen sürümleri dakikalar içinde belirleyebilirsiniz.

OSS lisansları çeşitli yükümlülükler getirir. GPL, kaynak kodun açıklanmasını gerektirebilir. MIT ve Apache 2.0 izin verici lisanslardır. FOSSA ve TLDR-Legal, lisans uyumluluğunu değerlendirmenize yardımcı olur. Ticari ürünlerde GPL'nin yanlışlıkla kullanılmasını önlemek için lisans taramasını sürekli tümleştirme süreçlerine ekleyin.

CDN üzerinden sunulan betikler için Alt Kaynak Bütünlüğü (SRI), integrity özniteliğinde bir kriptografik özet kullanır. npm package.json bir integrity alanı içerir. Tedarik zincirindeki kötü amaçlı değişiklikleri belirlemek için sürekli tümleştirme sırasında paketleri indirirken sağlama toplamlarını doğrulayın.

Kritik güvenlik açıkları için güvenlik yamalarını CVE yayımlandıktan sonraki 24-48 saat içinde uygulayın. Önceliklendirme yapmak için CVSS puanlarını ve istismar edilebilirlik verilerini kullanın. Gerçek ortamda istismar edilebilir bir güvenlik açığı bulundurmaktansa, geriye dönük uyumsuz bir değişiklik getiren yamalı bir bağımlılık kullanmak daha iyidir.

Bağımlılık karmaşası saldırısı nedir?

Güvenli bağımlılık yönetimi; sürümlerin kilit dosyalarında sabitlenmesini, sürekli tümleştirme ve sürekli teslim süreçlerinde SCA taraması çalıştırılmasını, yama güncellemelerinin otomatikleştirilmesini, etkinin değerlendirilmesi için SBOM'ler oluşturulmasını ve yeni bağımlılıkları benimsemeden önce güvenlik durumlarının değerlendirilmesini gerektirir.