Tedarik zinciri saldırısı, hedef kuruma doğrudan saldırmak yerine onun güvendiği bir tedarikçi, yazılım bileşeni ya da hizmet sağlayıcısı üzerinden ulaşılmasıdır. Kurum, kendi savunmasını güçlendirmiş olsa bile güvendiği kanaldan gelen içeriği sorgulamaz. Bu güven ilişkisi, saldırgan için doğal bir geçiş yolu oluşturur. Tek bir tedarikçinin ele geçirilmesi çok sayıda kuruma erişim sağlayabilir.

Saldırının cazibesi ölçeklenebilirliğinden gelir. Yüzlerce kuruma tek tek saldırmak yerine, hepsinin kullandığı ortak bir bileşeni hedeflemek çok daha verimlidir. Bu nedenle yaygın kullanılan kütüphaneler, güncelleme altyapıları ve yönetilen hizmet sağlayıcıları öncelikli hedeflerdir. Etki alanı, tek bir kurumun sınırlarını kolayca aşar.

Tedarik Zinciri Saldırısı Nedir?

Tedarik zinciri saldırısı, hedef kurumun güvendiği bir yazılım bileşeni, güncelleme kanalı ya da hizmet sağlayıcısının ele geçirilerek bu güven ilişkisi üzerinden erişim sağlanmasıdır.

Zincir yalnızca yazılımdan ibaret değildir. Donanım bileşenleri, bulut hizmetleri, yönetilen hizmet sağlayıcıları ve hatta danışmanlık firmaları da zincirin halkalarıdır. Her halka, kuruma bir erişim yolu taşır. Bu nedenle risk değerlendirmesi kurumun kendi sınırlarında bitmez.

Başlıca Biçimleri

Birinci biçim, yazılım güncelleme kanalının ele geçirilmesidir. Üreticinin derleme altyapısına sızan saldırgan, imzalı ve meşru görünen bir güncellemeye zararlı kod ekler. Kurumlar bu güncellemeyi normal süreçlerinde kurar ve saldırgan aynı anda binlerce ortama girer. Bu biçim, tespit edilmesi en zor olanıdır.

İkinci biçim, açık kaynak bağımlılıklarının hedef alınmasıdır. Yaygın kullanılan bir paketin bakımcı hesabının ele geçirilmesi ya da benzer isimli sahte bir paketin yayımlanması bu kapsamdadır. Bağımlılık karıştırma bu tekniklerden biridir. Geliştirme ortamları, bu yolla doğrudan hedef hâline gelir.

• Yazılım derleme ve güncelleme altyapısının ele geçirilmesi
• Açık kaynak paket bakımcı hesaplarının ele geçirilmesi
• Benzer isimli sahte paketlerin depoya yüklenmesi
• Yönetilen hizmet sağlayıcısının erişimlerinin kötüye kullanılması
• Donanım ya da ürün yazılımı düzeyinde müdahale
• Danışman ve taşeron erişimlerinin ele geçirilmesi

Nasıl Korunulur?

İlk adım görünürlüktür: kurumun hangi bileşenleri kullandığı bilinmeden risk değerlendirilemez. Yazılım malzeme listesi çıkarıldığında, yeni bir bileşen zafiyeti duyurulduğunda etkilenen sistemler dakikalar içinde belirlenebilir. Bu liste olmadan aynı çalışma günler sürer. Envanter, bu alandaki en temel yatırımdır.

İkinci adım, tedarikçi erişimlerinin sınırlanmasıdır. Hizmet sağlayıcılarına verilen erişim çoğu zaman gereğinden geniştir ve süresizdir. Erişimin görev bazlı, süreli ve izlenebilir olması, bir tedarikçinin ele geçirilmesi durumunda etkiyi sınırlar. Ayrıca bu erişimlerin ayrı bir kimlikle yapılması izlenebilirliği artırır.

Üçüncü adım, bileşenlerin bütünlüğünün doğrulanmasıdır. İmza doğrulaması, sabitlenmiş sürümler ve derleme çıktılarının tekrarlanabilirliği bu kapsamdadır. Doğrulama otomatik hâle getirildiğinde, beklenmeyen bir değişiklik dağıtım hattında yakalanır. Bu kontroller geliştirme sürecinin doğal parçası olmalıdır.

Tespit ve Müdahale

Tespit, çoğunlukla davranış üzerinden gerçekleşir. Meşru bir yazılımın olağandışı bir adrese bağlanması ya da beklenmedik bir süreç başlatması, imza tabanlı kontrollerden çok davranışsal izlemeyle yakalanır. Bu nedenle güvenilir sayılan uygulamalar da izleme kapsamında tutulmalıdır. Beyaz listeye alınan yazılımların tamamen denetim dışı bırakılması riskli bir tercihtir.

Müdahale planında tedarikçi kaynaklı senaryoların ayrıca yer alması gerekir. Etkilenen bileşenin nasıl izole edileceği, sürümün nasıl geri alınacağı ve tedarikçiyle iletişimin kim tarafından yürütüleceği önceden yazılır. Üçüncü taraf risk yönetimi süreci bu bilgileri hazır tutar. Kriz anında sözleşme aramak zaman kaybettirir.

Neden Savunması Zordur?

Saldırının en zorlayıcı yanı, savunma yüzeyinin kurumun kontrolü dışında olmasıdır. Kurum kendi altyapısını sıkılaştırabilir ama tedarikçisinin derleme sunucusunu koruyamaz. Bu asimetri, riskin tamamen ortadan kaldırılmasını imkânsız kılar. Bu nedenle strateji önlemekten çok etkiyi sınırlamaya odaklanır.

İkinci zorluk, gelen içeriğin meşru sayılmasıdır. İmzalı bir güncelleme, güvenilir bir depodan gelen bir paket ya da sözleşmeli bir sağlayıcının erişimi, tanımı gereği güvenilir kabul edilir. Bu güven olmadan iş yürümez; tamamen kaldırmak seçenek değildir. Doğru yaklaşım, güveni sınırlamak ve doğrulanabilir hâle getirmektir.

Üçüncü zorluk, tespit süresidir. Bu tür olaylar çoğunlukla aylar sonra fark edilir çünkü zararlı davranış meşru bir sürecin içinde gerçekleşir. Bu nedenle geriye dönük arama yeteneği kritik önem taşır. Kayıtların yeterli süre saklanmaması, olay ortaya çıktığında kapsam belirlemeyi imkânsız kılar.

Geliştirme Ortamlarının Korunması

Geliştirme ortamları, tedarik zinciri saldırılarının hem hedefi hem de aracı olabilir. Derleme sunucularının internete açık olması, dağıtım hattı kimliklerinin geniş yetkili olması ve bağımlılıkların sürüm sabitlemesi olmadan çekilmesi yaygın zayıflıklardır. Bu ortamlar çoğu zaman üretim kadar korunmaz. Oysa üretime kod gönderme yetkisine sahiptirler.

Bağımlılıkların iç bir aynadan çekilmesi önemli bir kontroldür. Doğrudan genel depolardan çekim yapmak yerine, kurum içi bir aynanın kullanılması hem sürüm denetimini hem de ani değişikliklere karşı koruma sağlar. Aynaya yeni sürüm alınmadan önce temel kontrollerden geçirilmesi mümkün olur. Bu yapı, bağımlılık karıştırma tekniklerini de etkisiz kılar.

Dağıtım hattı kimliklerinin yetkileri de daraltılmalıdır. Hattın yalnızca ilgili ortama ve yalnızca gerekli işleme yetkisi olması, bir ele geçirme durumunda etkiyi sınırlar. En az yetki ilkesi otomasyon kimlikleri için de geçerlidir. Bu kimlikler çoğu ortamda gözden kaçar.

Sözleşme ve Denetim Tarafı

Teknik önlemlerin yanında sözleşme tarafı da riski yönetmenin parçasıdır. Güvenlik olayı bildirimi süresi, denetim hakkı, alt yüklenici kullanımı ve veri işleme koşulları sözleşmede açıkça yer almalıdır. Bu maddeler olmadan, olay yaşandığında kurumun bilgi alma imkânı sınırlı kalır. Sözleşme, kriz anında en önemli dayanaktır.

Kritik tedarikçiler için dönemsel değerlendirme yapılır. Değerlendirme bir anket doldurmaktan ibaret kalmamalı, sunulan kanıtlar incelenmelidir. Bağımsız denetim raporları, sızma testi özetleri ve olay geçmişi bu kanıtlar arasındadır. Kanıt istemeyen bir değerlendirme, yalnızca kâğıt üretir.

Privia Security olarak tedarikçi erişimleri ve yazılım bağımlılıklarından doğan risklerisiber risk analizi kapsamında değerlendiriyor, önceliklendirilmiş bir eylem listesi sunuyoruz.