Tehdit profili
Yazılım tedarik zinciri ihlali
Kötü amaçlı kodun güvendiğiniz bir şeyin içinden gelmesi: kitaplık, güncelleme, derleme aracı ya da tedarikçi.
Nasıl işler
Günümüz yazılımı birçok açık kaynak paket ve hizmetten oluşur. Bir geliştirici hesabını ele geçiren, popüler bir paketin yakın adıyla paket yayımlayan ya da derleme sistemine müdahale eden saldırgan, asıl hedefe hiç dokunmadan ona bağımlı her projeye ulaşabilir.
Nelere bakılmalı
- Sizin eklemediğiniz bir bağımlılık ya da bakımcısı veya deposu yakın zamanda değişmiş bir bağımlılık.
- Ağ erişimi ya da kurulum betiği ekleyen yeni bir sürüm.
- İncelenmiş bir değişikliğe karşılık gelmeyen kilit dosyası değişikliği.
Riski ne azaltır
- Sürümleri kilit dosyasıyla sabitleyin; bağımlılık değişikliklerini kod değişikliği gibi inceleyin.
- Bağımlılık listesini kısa tutun, kullanmadıklarınızı çıkarın.
- "Etkilendik mi?" sorusunu hızla yanıtlayabilmek için yazılım malzeme listesi tutun.
- Paket kayıt servisi ve kaynak kod hesaplarında çok adımlı doğrulama kullanın.
İlgili araç
Kaynaklar
İlgili tehditler
Bu bölüm savunma ve öğrenme içindir. Sahibi olmadığınız ya da test etmek için yazılı izin almadığınız sistemleri denemeyin: bir bilişim sistemine hukuka aykırı olarak girmek suçtur (Türk Ceza Kanunu m. 243).