Yazılım geliştirme, yazılım tedarik zinciri yaşam döngüsü boyunca ilerledikçe, kaynak kodun dağıtıma hazır yürütülebilir dosyalara dönüştürüldüğü paketleme aşaması önemli bir dönüm noktası olarak ortaya çıkar. Ancak bu kritik aşama, güvenlik açıklarına karşı bağışık değildir ve bu da onu yazılım bütünlüğünü ve güvenliğini baltalamayı amaçlayan kötü niyetli aktörler için başlıca hedef haline getirir. Bu blog yazısı, bu aşamada ortaya çıkabilecek yaygın tehditleri ele alıyor ve bunları azaltmak için etkili stratejiler sunuyor. Bu içerik, daha önceki blog serimizin devamı niteliğindedir. software supply chain security çapında SDLC.
Yazılım Geliştirme Yaşam Döngüsünde Paketleme Aşaması
Yazılım tedarik zinciri yaşam döngüsünün paketleme aşaması, yazılımın kullanıcılara dağıtılmak üzere paketlenmesi ve hazırlanması sürecini kapsar. Bu aşama, kurulum paketlerinin oluşturulmasını, bağımlılıkların yönetilmesini ve yazılım için meta verilerin oluşturulmasını içerir.
Yazılım bütünlüğüne yönelik tehditler, saldırganların paketleme işlemi sırasında yazılıma yetkisiz değişiklikler yapmasına olanak sağlayabilecek güvenlik açıklarıdır. Bu tehditler, paket kayıt defterinin ele geçirilmesi, paketleme araçlarındaki güvenlik açıklarından yararlanılması veya üçüncü taraf bağımlılıklarının manipüle edilmesi gibi çeşitli yöntemlerle ortaya çıkabilir.
Modern yazılımlarda açık kaynak bileşenlerine olan tam bağımlılık, bu aşamayı en sık karşılaşılan S aşaması haline getirdi.SCA Hedef. Popüler bir açık kaynaklı bileşene gizli kötü amaçlı yazılım yerleştirmek, birçok siber suçlu için bir hayaldir. Bu nedenle, daha fazlası 2023 yılında 245,000 zararlı paket tespit edildi..
Örnekleri arasında Software Supply Chain Security Paketleme Aşamasındaki Tehditler
Güvenliği ihlal edilmiş paketi kullanın.
Bu, bir düşman tarafından kurcalanmış veya değiştirilmiş bir yazılım paketinin kullanıma sunulması veya kullanılması eylemini ifade eder.
Bu durum, paket resmi paket kayıt defterinden çıktıktan sonra, kullanıcının sistemine doğrudan erişim yoluyla veya kullanıcıyı kötü amaçlı bir paketi indirmeye veya kurmaya kandıran sosyal mühendislik taktikleri yoluyla gerçekleşebilir. Bu tür bir saldırı yöntemine örnek olarak şunlar verilebilir: tarayıcı yazım hatası Saldırı.
Linux ve Mac sistemlerini tehlikeye atmayı amaçlayan bir saldırgan, Browserify adlı popüler bir Node.js kütüphanesinin geliştirme sürecine sızdı. Saldırgan, kötü amaçlı kodu projenin kaynak koduna yerleştirerek NPM paket kayıt defteri aracılığıyla dağıtmayı hedefledi. Bulaşmış Browserify paketi NPM'ye yüklendikten sonra, şüphelenmeyen geliştiriciler onu meşru sürüm zannederek indirip kuracaklardı. Paketin içine yerleştirilen kötü amaçlı kod sessizce çalışarak, bulaştığı sistemlerin bütünlüğünü tehlikeye atacaktı. Bu durum veri hırsızlığına, sistem istikrarsızlığına ve hatta saldırganın uzaktan erişimine yol açabilirdi.
Paket kayıt defterinde uzlaşma
Güvenliği ihlal edilmiş bir paket kayıt defteri, bir düşmanın kayıt defterinin yönetim arayüzüne veya altyapısına yetkisiz erişim sağlayarak içeri sızdığı bir yazılım deposudur.
Bu durum, saldırganın meşru yazılım paketlerini kötü amaçlı olanlarla değiştirmesine veya yerine yenilerini koymasına olanak tanır; bu kötü amaçlı yazılımlar daha sonra şüphelenmeyen kullanıcılara dağıtılabilir. Bu tür bir tehdide örnek olarak şunlar verilebilir: Paket Aynalarına Saldırı: Açık kaynak yazılımları teşvik etme amacıyla hareket eden bir araştırmacı, Maven Central, NPM ve RubyGems de dahil olmak üzere birçok popüler paket kayıt sistemini ele geçirdi. Bu kayıt sistemlerine erişim sağlayarak, araştırmacı orijinal depoların kopyalarını ve aynalarını oluşturabildi; bu da geliştiriciler için paketleri indirmek için uygun bir alternatif sağladı.
Ancak bu ayna sunucuları kötü niyetli bir amaca hizmet ediyordu. Ele geçirilen ayna sunucuları, araştırmacının kötü amaçlı paketleri dağıtması için birer kanal görevi görüyordu. Bu paketler, birincil kayıt defterleri tarafından tespit edilmeden meşru paketlerin yerini alıyor ve şüphelenmeyen geliştiriciler bunları bilmeden indirip kuruyordu. Kurulduktan sonra, bu kötü amaçlı paketler zararlı yazılımlarını serbest bırakarak rastgele kod çalıştırıyor, hassas verileri çalıyor veya işlemleri aksatıyordu.
Değiştirilmiş Paketi Yükle
Saldırgan, kötü amaçlı kod veya zararlı yazılım içeren değiştirilmiş bir paketi bir depoya veya dağıtım kanalına yükler. Bu, paketin kaynak kodunu, ambalajını veya meta verilerini değiştirerek yapılabilir.
Bu tür tehditlerin en kötü şöhretlilerinden biri şuydu: 2021'deki CodeCov Saldırısı. Popüler bir sürekli entegrasyon ve sürekli teslimat (CID) aracı olan CodeCov'u kullanan yazılım projelerini tehlikeye atmayı amaçlayan bir saldırgan (CI/CDSaldırgan, sızdırılan kimlik bilgilerini kullanarak bir projenin Google Cloud Storage (GCS) kovasına yetkisiz erişim sağladı. Saldırgan GCS kovasına erişim sağladıktan sonra, CodeCov paketinin değiştirilmiş bir sürümü olan kötü amaçlı bir dosyayı yükledi ve bu dosya CodeCov hizmeti aracılığıyla kullanıcılara dağıtıldı. Otomatik güncelleme özelliğine güvenen şüphelenmeyen geliştiriciler, kötü amaçlı paketi meşru paket zannederek indirip kurdular. Kurulduktan sonra, kötü amaçlı kod sessizce çalışarak bulaştığı sistemlerin bütünlüğünü tehlikeye attı. Bu durum veri hırsızlığına, sistem istikrarsızlığına veya hatta saldırgan için uzaktan erişime yol açabilir.
Paket kayıt defterlerine yönelik saldırılar o kadar yaygın ki, bazı saldırı modellerine isim bile verilmiş:
In typosquattingKötü niyetli kişi, geliştiricilerin amaçlanan paket adını kötü amaçlı bir adla yanlış yazacakları umuduyla, kayıt defterine küçük yazım hataları veya meşru, popüler paketlere benzer adlar içeren birden fazla kötü amaçlı paket yükler. Genellikle kötü amaçlı paket, tespit edilmeden geçmek için meşru paket gibi görünür ve bu da yıldız gözlemleme saldırısına maruz kalma olasılığını artırır.
Bağımlılık Karmaşası Bu durum, bazı paket yöneticilerinin birden fazla kayıt defterinden istenen paketleri çözümleme biçiminden yararlanır. Bir kuruluş dahili bir kayıt defterinde yayınlanan dahili bileşenleri kullandığında, bunu bilen bir saldırgan aynı ada sahip kötü amaçlı bir bileşeni genel bir kayıt defterinde yayınlayabilir. Dahili bileşen için kullanılan ad kapsamlandırılmamışsa, bazı paket yöneticileri dahili bileşen yerine kötü amaçlı bileşeni indirecektir.
İle Troyan PaketleriSiber suçlu, zararlı yazılımı yararlı ve geçerli kodlar arasına gizler. Bu, gerçek yazar tarafından veya paketi sürdürmeyi teklif eden bir katkıda bulunan tarafından kullanılabilir. Bu aynı zamanda şu şekilde de bilinir: Paket Ele GeçirmeSaldırganlar, mevcut bir paketi ele geçirmek için birçok teknik kullandılar, örneğin: Alan Adı Devri Saldırganın, terk edilmiş ve süresi dolmuş bir alan adını ele geçirerek eski yönetici e-posta adresini yeniden oluşturduğu ve parola kurtarma işlemi yaparak yönetici hesabını ele geçirdiği durum.
Son Sözler
Organizasyonlar, otomasyon ve sürekli teslimatı önceliklendiren yazılım geliştirme metodolojilerini giderek daha fazla benimsedikçe, yazılım paketi aşamasının güvenliğinin sağlanmasının önemi hiç bu kadar büyük olmamıştı. Bu kritik aşama boyunca sağlam güvenlik önlemleri uygulayarak, organizasyonlar yazılımlarının bütünlüğünü ve güvenliğini tehlikeye atabilecek kötü niyetli saldırılara maruz kalma riskini önemli ölçüde azaltabilirler.
Bu blog yazısında açıklanan stratejiler ve verilen örnekler, paketleme aşamasının yazılım tedarik zincirinde savunmasız bir nokta olduğunu açıkça hatırlatıyor. Kuruluşlar bu tehditlere dikkat etmeli ve yazılımlarını saldırılardan korumak için gerekli güvenlik önlemlerini uygulamalıdır. Bunu yaparak, kullanıcıları ve müşterileri için yazılımlarının bütünlüğünü, güvenliğini ve güvenilirliğini garanti altına alabilirler.
Güvenli bir yazılım ekosistemine doğru yolculuğumuza katılın.
Alanında her zaman bir adım önde olma fırsatını kaçırmayın. software supply chain securityBugün blogumuza abone olun ve en son bilgilerimizden ilk siz haberdar olun; böylece kuruluşunuzun gelişen tehditler karşısında dayanıklı ve güvenli kalmasını sağlayın. Birlikte, herkes için daha sağlam ve güvenli bir yazılım ekosistemi oluşturabiliriz.
Unutmayın, software supply chain security Bu, bir varış noktası değil, devam eden bir yolculuktur. Kuruluşlar, ortaya çıkan tehditlere karşı güvenlik uygulamalarını sürekli olarak değerlendirip uyarlayarak yazılım tedarik zincirlerini koruyabilir ve kullanıcılarına güvenilir yazılım sunabilirler.
Video demomuzu izleyin
