Dependency Güvenliği ve Supply Chain

Tedarik Zinciri Riskleri

Yazılım geliştirme pratikleri günümüzde açık kaynak modüllerine büyük ölçüde dayanmaktadır. Bir kurumsal uygulamanın çekirdek kodları incelendiğinde mühendisler harici kütüphanelerin ağırlığını net biçimde görür. Özellikle npm, PyPI, Maven ve NuGet gibi depolar milyonlarca geliştiriciye hazır çözümler sağlar. Ancak bu platformlar siber tehdit aktörleri için çok geniş bir hedef yüzeyi oluşturur.

Yazılım tedarik zinciri çok adımlı ve karmaşık bir yapıya sahiptir. Bu zincir kod yazımından paketlemeye ve canlıya dağıtıma kadar tüm evreleri kapsar. Saldırganlar çevre güvenlik duvarlarını aşmak yerine zayıf bağımlılıkları hedef alırlar. Böylece tek bir zafiyetli kütüphane üzerinden binlerce şirkete aynı anda sızabilirler.

Açık Kaynak Riskleri

Geçmişte yaşanan SolarWinds ve Log4j krizleri bu tehlikenin boyutlarını kanıtlamıştır. Nitekim NIST Tedarik Zinciri Standartları çerçevesinde harici modüllerin risk analizini zorunlu tutar. Çünkü kurumlar kendi kodlarını denetleseler bile tek bir savunmasız bağımlılık sistemi çökertebilir.

Bununla birlikte doğrudan eklenen paketlerin yanında geçişli bağımlılıklar da bulunur. Bir yazılımcı projeye tek bir kütüphane eklediğinde onlarca alt paket projeye dahil olur. Dolayısıyla kontrol alanı dışındaki yüzlerce bileşen derleme ortamına katılır. Bu durum projelerde tespit edilmesi zor gizli güvenlik açıkları meydana getirir.

Bakımsız Paketler

Ayrıca açık kaynak dünyasında bakım desteği kesilen paketler büyük bir risk kaynağıdır. Geliştiricisi olmayan terk edilmiş kütüphaneler zamanla zafiyet barındırır. Bu nedenle ekipler harici kodları düzenli olarak test eder. Üstelik mikroservis mimarileri bağımlılık sayısını katlayarak artırmaktadır. Sonuç olarak merkezi bir denetim mekanizması olmadan tedarik güvenliği sağlanamaz.

Dependency Güvenliği ve Süreçler

Yazılım mühendisliğinde dependency güvenliği ve supply chain yönetimi sürekli işletilen dinamik bir süreçtir. Bu disiplin paketlerin seçimini, sürüm sabitlemeyi, lisans denetimlerini ve testleri içerir. Güvenli bir geliştirme ortamı kurmak isteyen şirketler bağımlılık yönetimini zorunlu kılar.

Ekipler açık kaynak kütüphanelerdeki zafiyetleri genellikle CVE kayıtları üzerinden izler. Fakat saldırganlar sıfır gün açıklarını veya kötü niyetli güncellemeleri de kullanmaktadır. Bu yüzden reaktif yöntemler modern siber tehditlere karşı yetersiz kalır. Dolayısıyla proaktif koruma mekanizmaları erken aşamalarda devreye girmelidir.

Bağımlılık Matrisi

Aşağıdaki tabloda modern bağımlılık türleri ve bunlara karşı geliştirilen savunma yaklaşımları özetlenmiştir:

Bağımlılık Türü	Kapsam ve Rol	Karşılaşılan Risk	Savunma Yöntemi
Doğrudan Bağımlılık	Proje manifestosuna eklenen ana paketler.	Eski sürümlerdeki CVE açıkları.	Otomatik SCA taraması ve sürüm yükseltme.
Geçişli Bağımlılık	Ana paketlerin çağırdığı alt kütüphaneler.	Derin zafiyetler ve kontrolsüz çağrılar.	Bağımlılık ağacı analizi ve lockfile kullanımı.
Geliştirme Bağımlılığı	Test ve derleme araçları.	CI/CD ortamının zehirlenmesi.	Üretim paketlerinden tam izolasyon.
Paket Depoları	Genel ve özel kayıt havuzları.	Typosquatting ve paket karışıklığı.	Özel isim alanı doğrulama ve proxy kullanımı.

Bağımlılıkların güvenli tutulması için lock dosyalarının kullanımını zorunlu kılar. Örneğin lock dosyaları paket sürümlerini ve hash değerlerini sabitler. Böylece uzak sunucuda gizlice değiştirilen zararlı bir sürüm projeye sızamaz. Aynı zamanda geliştiricilerin farklı sürümlerle çalışması engellenir.

Lisans Yönetimi

Öte yandan açık kaynak lisans uyumluluğu kurumsal risk yönetiminin temel unsurlarındandır. Çünkü GPL gibi kısıtlayıcı lisanslar tescilli şirket kodlarının açılmasını zorunlu kılabilir. Buna ek olarak otomatik lisans denetimleri sayesinde ekipler bu tür yasal riskleri önceden engeller. Dolayısıyla kurumsal fikri mülkiyet hakları tam koruma altına girer.

Bunun yanı sıra şirket içi özel paket havuzlarının yapılandırılması kritik bir adımdır. Geliştiriciler harici paketleri doğrudan genel internetten indirmez. Bunun yerine ekipler güvenlik taramasından geçmiş onaylı kütüphaneleri özel proxy depolarında saklar. Sonuç olarak kurumsal kod tabanı kontrolsüz paket girişlerine karşı güvenceye kavuşur.

Otomasyon Araçları

Geliştiriciler açık kaynak projelerin güvenilirliğini ölçmek için OpenSSF Scorecard araçlarını kullanır. Bu araçlar projenin kod inceleme süreçlerini ve güvenlik politikalarını puanlar. Örneğin geliştiriciler yeni bir kütüphane seçerken bu skorları dikkate almalıdır. Ekipler düşük güvenlik skoruna sahip projeleri kurumsal sistemlere dahil etmez. Ayrıca geliştiriciler kütüphanenin iki faktörlü kimlik doğrulama kullanıp kullanmadığını denetler. Bu nedenle söz konusu kontroller tedarik zinciri güvenliğinin en başında kritik bir filtre oluşturur.

Bağımlılıkların güncel tutulması amacıyla ekipler otomatik güncelleme botlarını yaygın olarak kullanır. Örneğin Dependabot ve Renovate gibi araçlar kütüphaneleri sürekli izler. Yeni bir sürüm yayınlandığında bu araçlar otomatik olarak çekme istekleri oluşturur. Ancak her otomatik güncellemeyi doğrudan kabul etmek yeni riskler doğurabilir. Çünkü saldırganlar ele geçirdikleri paketlere anında yeni sürüm numarası verebilirler. Bu nedenle geliştiriciler otomatik güncellemeleri önce kapsamlı test ortamlarından geçirir. Bunun sonucunda test hatları zehirlenmiş sürümlerin ana koda girmesini engeller.

Saldırı Vektörleri

Saldırganlar yazılım tedarik zincirini hedef alırken oldukça sofistike yöntemler kullanmaktadır. Bu yöntemler doğrudan sunucular yerine geliştiricilerin günlük alışkanlıklarını istismar eder. Özellikle popüler açık kaynak kütüphaneleri hedef alan siber tehditler her geçen gün artmaktadır.

• Typosquatting Saldırıları: Popüler kütüphane isimlerine benzer sahte paketlerin genel depolara yüklenmesidir. Örneğin geliştirici ufak bir yazım hatası yaptığında zararlı paket sisteme dahil olur.
• Dependency Confusion: Dahili şirket paket isimlerinin genel depolarda taklit edilmesidir. Çünkü paket yöneticileri genel depodaki sahte yüksek sürümü öncelikli olarak indirir.
• Hesap Ele Geçirme: Açık kaynak proje sahiplerinin hesaplarının kimlik avıyla çalınmasıdır. Ardından çalınan hesaplar üzerinden meşru kütüphanelere gizli arka kapılar eklenir.
• Kötü Niyetli Bakımcı Devri: Saldırganların projelere gönüllü katkıcı olarak dahil olmasıdır. Zamanla güven kazanıp yönetim yetkisini devralırlar ve zararlı kodları kütüphaneye eklerler.
• Boru Hattı Zehirlenmesi: CI/CD eklentilerinin derleme aşamasında manipüle edilmesidir. Böylece saldırganlar kaynak kodun içerisine zararlı talimatları gizlice yerleştirir.

Zararlı Kod Enjeksiyonu

Nitekim OWASP Güvenlik Raporları savunmasız bileşen kullanımını en büyük riskler arasında gösterir. Tehdit aktörleri bu saldırı yöntemlerini birleştirerek karmaşık operasyonlar yürütür.

Buna ek olarak saldırganlar tespit edilmekten kaçmak için kod karartma yöntemlerini kullanır. Zararlı kodlar genellikle belirli bir süre sistemde uykuda bekler. Ardından hedef ortamda olduğunu anladığında aktif hale geçer. Bu nedenle statik kontrollerin yanında dinamik ve davranışsal analizler de uygulanmalıdır. Ayrıca güvenlik araçları ağ trafiğini izleyerek yetkisiz dış bağlantıları anında yakalar.

Dependency Güvenliği ve Savunma

Tedarik zinciri risklerine karşı güçlü bir koruma inşa etmek teknolojik araçlar gerektirir. Dependency güvenliği ve supply chain savunması, modern yazılım güvenliği araçlarının entegrasyonu ile sağlanır. Çünkü kurumların proaktif bir savunma mimarisi benimsemesi günümüzde zorunlu hale gelmiştir.

SCA Analizi

SCA araçları projedeki açık kaynak bağımlılıkları otomatik olarak tarar. Bu sistemler kilit dosyalarını inceleyerek bilinen CVE açıklarını tespit eder. Ayrıca kütüphane lisanslarını denetleyerek kurumsal uyumluluğu kontrol eder. Böylece güvenlik kuralları zafiyet içeren paketlerin canlıya çıkışını derleme anında durdurur.

SBOM Yönetimi

Yazılım Malzeme Listesi yani SBOM belgeleri sistemde tam şeffaflık oluşturur. CycloneDX ve SPDX formatları projedeki tüm açık kaynak bileşenleri dökümler. Örneğin yeni bir zafiyet duyurulduğunda güvenlik uzmanları etkilenen sistemleri saniyeler içinde bulur. Bu durum kriz anlarında olay müdahale süresini ciddi oranda kısaltır.

Paket İmzalama

Paket doğrulama ve imzalama mekanizmaları veri bütünlüğünü garanti altına alır. Sigstore ve Cosign gibi teknolojiler paketlerin yetkili ellerden çıktığını doğrular. Öte yandan özel depo yöneticileri sayesinde harici kodlar güvenlik izolasyonundan geçer. Böylece sistem tahrif edilmiş paketlerin derleme sürecine girmesini engeller.

Zafiyet Önceliklendirme

Geliştirici ortamlarındaki IDE eklentileri anlık güvenlik uyarıları üretir. Örneğin geliştirici kod yazarken zafiyetli bir paket eklediğinde sistem anında uyarır. Bunun sonucunda güvenlik kültürü yazılım yaşam döngüsünün en erken evresine yerleşir. Üstelik sürekli entegrasyon hattında güvenlik taramaları otomatik bir kural olarak çalışır.

Fakat her güvenlik açığı sistemler için aynı derecede tehlike oluşturmaz. Mühendisler geleneksel CVSS puanlarını zafiyetin teknik şiddetini ölçmede kullanır. Bununla birlikte EPSS puanlaması zafiyetin gerçek dünyada istismar edilme olasılığını ölçer. Dolayısıyla güvenlik ekipleri binlerce bağımlılık açığı arasında önceliklendirme yapmak zorundadır. Özellikle ekipler EPSS değeri yüksek olan zafiyetleri ilk sırada yamalar. Bu yaklaşım kurumsal güvenlik kaynaklarının en doğru şekilde kullanılmasını sağlar. Sonuç olarak ekipler zaman kaybetmeden en kritik tehditlere odaklanabilir.

Uygulama Adımları

Etkili bir tedarik zinciri savunması kurmak planlı bir dönüşüm süreci gerektirir. Şirketlerin güvenlik olgunluk seviyesini yükseltmek için izlemesi gereken aşamalar bulunmaktadır. Bu adımlar düzenli uygulandığında yazılım projeleri dış tehditlere karşı dayanıklı hale gelir.

SLSA Standartları

SLSA çerçevesi yazılım tedarik zincirinde güvenliği kademeli olarak artıran bir standarttır. Bu standart yazılım artifaktlarının hangi ortamda derlendiğini açıkça kanıtlar. Özellikle hermetik derleme süreçleri dış dünya ile bağlantısı kesilmiş ortamlarda çalışır. Böylece derleme anında araya girme ve zararlı kod enjekte etme riskleri ortadan kalkar.

Aynı zamanda sistemler derleme çıktılarının kriptografik kanıtlarını yani attestation belgelerini üretir. Çünkü bu belgeler yazılımın yetkili kaynak koddan üretildiğini matematiksel olarak doğrular. Dolayısıyla üretim ortamında çalışan ikili dosyaların orijinalliği kesinleşir. Sonuç olarak denetim süreçlerinde tam uyumluluk ve yüksek güvenlik seviyesine ulaşır.

Konteyner Güvenliği

Bulut tabanlı mimarilerde bağımlılıklar yalnızca kod seviyesindeki paketlerle sınırlı kalmaz. Çünkü Docker ve Kubernetes gibi teknolojilerde temel işletim sistemi imajları da tedarik zincirine dahildir. Bir baz imajın içerisinde eski sistem paketleri ve güvenlik açıkları bulunabilir.

Konteyner güvenliği amacıyla ekipler baz imajları tarar ve minimal imajları seçer. Örneğin distroless veya Alpine tabanlı hafif imajlar saldırı yüzeyini önemli ölçüde daraltır. Ayrıca mühendisler derleme adımlarında kullanılan CI/CD eklentilerinin sürümlerini doğrular. Çünkü saldırganların derleme ortamına sızarak üretim çıktısını zehirlemesi büyük bir tehlikedir.

Sıfır Güven

Bu doğrultuda sürekli entegrasyon hatlarında sıfır güven yaklaşımı benimsenmelidir. Ekipler her derleme işlemini geçici ve izole ortamlarda çalıştırır. Aynı zamanda güvenlik ekipleri gizli anahtarları ve API belirteçlerini sıkı kontrollerle korur.

Statik analizlerin yanı sıra çalışma zamanı güvenliği de büyük bir öneme sahiptir. Uygulama çalışırken kütüphanelerin yaptığı sistem çağrıları sürekli izlenmelidir. Örneğin eBPF teknolojisi çekirdek seviyesinde derinlemesine görünürlük sağlar. Sistemler beklenmeyen bir ağ bağlantısını veya yetkisiz dosya erişimini anında yakalar. Bu durum arka kapı içeren zararlı kütüphanelerin hemen durdurulmasını mümkün kılar. Sonuç olarak saldırganlar sisteme sızsa dahi hedeflerine ulaşamazlar.

Bunun sonucunda kabul politikaları imzasız konteyner imajlarının canlıya alınmasını engeller. Böylece ekipler üretim kümesine yalnızca onaylı ve güvenli konteynerleri dahil eder.

Sibertim Yetkinlikleri

Sibertim, yazılım geliştirme yaşam döngüsünün her adımında kapsamlı danışmanlık ve sızma testi hizmetleri sunar. Alanında uzman güvenlik mühendislerimiz kurumunuzun dependency güvenliği ve supply chain olgunluğunu en üst düzeye taşır. Uluslararası standartlarda geliştirdiğimiz metodolojiler ile sistemlerinizi geleceğin siber tehditlerine karşı hazırlıyoruz.

Hizmet Alanları

Kurumunuza özel sunduğumuz tedarik zinciri ve uygulama güvenliği çözümlerimiz şunlardır:

• DevSecOps ve SCA Entegrasyonu: CI/CD süreçlerinize otomatik SCA ve SAST araçlarını başarıyla entegre ediyoruz. Böylece güvenlik kontrolleri derlemeleri yavaşlatmadan çalışır.
• Tedarik Zinciri Risk Analizi: Şirketinizin kullandığı tüm üçüncü taraf bağımlılıklar ve paket depoları kapsamlı testlerden geçer.
• Uygulama ve API Sızma Testleri: Üretim ortamındaki sistemlerinizi gerçek saldırı senaryoları ile kapsamlı biçimde test ediyoruz.
• SBOM Yönetimi ve Zafiyet Takibi: Yazılım envanterinizi endüstriyel standartlarda çıkarıyor ve anlık tehdit istihbaratıyla izliyoruz.
• Güvenli Kod Geliştirme Eğitimleri: Yazılım ekiplerinize bağımlılık risklerine yönelik özelleştirilmiş teknik eğitimler sunuyoruz.

Sibertim uzmanlığıyla yazılım tedarik zincirinizi uçtan uca güvence altına alabilirsiniz. Hizmetlerimiz hakkında detaylı bilgi almak için Sibertim ile iletişime geçebilirsiniz. Böylece olası güvenlik ihlallerini henüz ortaya çıkmadan kolayca engellersiniz.

Sık Sorulan Sorular