Tedarik Zinciri Tehditleri

Bir yazılım tedarik zinciri saldırısı, bir kuruluşu doğrudan ihlal ederek değil, kuruluşun güvendiği ve kullandığı bir şeyi bozarak tehlikeye atar: bir kütüphane, derleme aracı, kapsayıcı temel görüntüsü veya güncelleme sunucusu.

Modern yazılımlar yüzlerce üçüncü taraf bileşeninden oluşturulduğu için, zehirlenmiş tek bir bağlantı kendisinden sonraki her kullanıcıya miras kalır. Saldırgan bir kez yatırım yapar ve çok sayıda kurbana ulaşır.

• Güvenin tersine dönmesi — güvenlik sınırı kendi kodunuzun dışına taşınır
• Geçişli etki alanı — tek bir kötü paket binlerce derlemeye yayılır

Doğrudan bir bağımlılık eklediğinizde, çoğu zaman hiç seçmediğiniz onlarca geçişli bağımlılığı da çekersiniz. Tipik bir Node veya Python uygulaması birkaç paket tanımlar, ancak sonunda yüzlerce pakete çözümlenir.

Gerçekte ne gönderdiğinizi görmek için yalnızca bildirim dosyasını değil, çözümlenmiş ağacın tamamını listeleyin:

Saldırganlar, popüler paketlere benzeyen adlara sahip kötü amaçlı paketler yayımlar ve ölümcül bir yazım hatası yapılmasını bekler.

• Yazım hatasıyla ad taklidi — reqeusts yerine requests
• Bileşimli ad taklidi — gerçek adı taklit eden python-requests
• Bağımlılık karmaşası — genel kullanıma açık bir paketi, kurum içindeki özel paketinizle aynı adla yayımlamak; böylece yanlış yapılandırılmış bir çözümleyici saldırganın sürümünü indirir

Güvenilir bir kurum içi kayıt deposunu sabitleyerek ve kapsamlı ya da ad alanı içeren özel paketler kullanarak savunma sağlayın.

Meşru ve geniş ölçüde güvenilen bir paket, bakımcısının hesabı ele geçirilirse veya kötü amaçlı bir katkıcı yayımlama yetkisi kazanırsa tehdit hâline gelebilir.

Yakın zamanda yaşanan gerçek olaylar, saldırganların bakımcıların kimlik bilgilerini kimlik avıyla ele geçirdiğini ve ardından kurulum sırasında belirteçleri dışarı aktaran zehirlenmiş bir yama sürümü yayımladığını gösteriyor.

• Tüm yayımlama hesaplarında iki faktörlü kimlik doğrulamayı zorunlu kılın
• Kapsamlandırılmış yayımlama belirteçlerine ve korumalı sürümlere sahip paketleri tercih edin
• Kritik bağımlılıklarda beklenmedik yeni bakımcılar olup olmadığını izleyin

Birçok ekosistem, uygulamanız daha çalışmadan, kurulum sırasında kod çalıştırır. Bir npm install komutu, ortam değişkenlerini veya SSH anahtarlarını çalan bir postinstall kancasını çalıştırabilir.

Sürekli tümleştirme ortamında keyfi kurulum betiklerini devre dışı bırakın ve bunlara ihtiyaç duyan her paketi denetleyin:

Derleme ortamının kendisi yüksek değerli bir hedeftir. Saldırgan bir derleyiciyi, sürekli tümleştirme çalıştırıcısı görüntüsünü veya derleme eklentisini zehirlerse, kaynak kodunuz temiz olsa bile ürettiği her çıktı arka kapı içerir.

Klasik örnek, kötü amaçlı yazılımı meşru bir kod imzalama anahtarıyla imzalayan ve kurbanların bunu gerçek kabul etmesini sağlayan Truva atı yerleştirilmiş bir güncelleme mekanizmasıdır.

• Derleme altyapısını tam anlamıyla sıkılaştırılmış bir üretim ortamı olarak ele alın
• Geçici ve yeniden üretilebilir derleme çalıştırıcıları kullanın
• İmzalama anahtarlarını derleme makinesinden ayırın

Bir kilit dosyası, kesin sürümleri ve içerik karmalarını sabitler; böylece bağımlılıkların yeniden çözümlenmesi farklı bir çıktıyı sessizce araya sokamaz. Bu dosyayı her zaman depoya kaydedin ve bağımlılıkları serbestçe yeniden çözümlemek yerine sürekli tümleştirme ortamının dosyayı doğrulamasını sağlayın.

Bütünlük alanı bir karma depolar; indirilen tar arşivi bu karmayla eşleşmezse kurulum başarısız olur.

CVE olarak izlenen, bilinen güvenlik açıklarına sahip sürümler, tedarik zincirindeki en yaygın zayıflıktır. Yazılım Bileşimi Analizi (SCA) araçları, çözümlenmiş bağımlılıklarınızı güvenlik açığı veritabanlarıyla karşılaştırır.

Taramaları sürekli tümleştirme ortamında çalıştırın ve kritik bulgular olduğunda derlemeleri başarısız sayın:

Değişken sürüm aralıkları (^1.2.0), yeni sürümlerin otomatik olarak gelmesine izin verir. Bu kullanışlıdır, ancak sizi kötü amaçlı bir yamaya açık bırakır.

• Kesin sürümlere sabitleyin ve yükseltmeleri bilinçli biçimde gözden geçirin
• Kapsayıcı görüntülerini latest gibi değiştirilebilir etiketlere göre değil, özet değerine göre sabitleyin
• Kritik bağımlılıkları kendi deponuza veya aynanıza dahil edin; böylece üst kaynaktan silinmeleri sizi bozamasın veya zehirleyemesin

Tedarik zincirini güvenceye almak tek seferlik bir tarama değil, sürekli devam eden bir iştir. Ne gönderdiğinizi, nereden geldiğini ve ne zaman güvenlik açığı hâline geldiğini bilmeniz gerekir.

• Her sürüm için bir SBOM oluşturun (sonraki ders)
• Bir çıktının nasıl üretildiğini kanıtlayabilmek için derleme köken bilgilerini kaydedin
• Yeni açıklanan bir CVE'nin daha önce gönderilmiş derlemelerin yeniden değerlendirilmesini tetiklemesi için güvenlik duyurularına abone olun

Güvenilmeyen girdinin girdiği her aşamayı haritalayın: geliştirici makineleri, kaynak kod yönetimi, bağımlılık kayıt depoları, derleme sistemi, çıktı depolama alanı ve güncelleme kanalı. Bunların her biri olası bir enjeksiyon noktasıdır.

Her aşama için şunları sorun: buraya kim yazabilir, bir ele geçirme ona ne yapma olanağı tanır ve bunu nasıl tespit edebilirim? Böylece genel bir kontrol listesi yerine önceliklendirilmiş bir denetim listesi elde edersiniz.

Bağımlılıkların neden saldırı vektörleri olduğunu ve bu maruziyeti nasıl azaltacağınızı öğrendiniz.

• Güvenin tersine dönmesi, güvenliğinizin denetlemediğiniz üçüncü taraflara bağlı olması anlamına gelir
• Temel tehditler: yazım hatasıyla ad taklidi, bağımlılık karmaşası, bakımcı hesabının ele geçirilmesi, kötü amaçlı kurulum betikleri ve ele geçirilmiş derleme araçları
• Temel savunmalar: bütünlük karmaları içeren kilit dosyaları, SCA taraması, özet değerine göre kesin sürüm sabitleme, yayımcılarda iki faktörlü kimlik doğrulama ve sürekli izleme

Sonraki derste yazılımınızın tam olarak neler içerdiğini bir SBOM ile envantere alacaksınız.