Tedarik zinciri saldırıları

Tedarik zinciri saldırıları, yazılım geliştiricilerini ve tedarikçilerini hedefleyen yeni ortaya çıkan bir tehdittir. Amaç, kötü amaçlı yazılımları dağıtmak için geçerli uygulamalara bulaşarak kaynak kodlarına erişmek, süreçler oluşturmak veya mekanizmaları güncelleştirmektir.

Tedarik zinciri saldırıları nasıl çalışır?

Saldırganlar güvenli olmayan ağ protokollerini, korumasız sunucu altyapılarını ve güvenli olmayan kodlama uygulamalarını avlar. Derleme ve güncelleştirme işlemlerinde içeri girip kaynak kodlarını değiştirir ve kötü amaçlı yazılımları gizler.

Yazılım güvenilir satıcılar tarafından derlenip yayımlandığından, bu uygulamalar ve güncelleştirmeler imzalanır ve onaylanır. Yazılım tedarik zinciri saldırılarında, satıcılar büyük olasılıkla genel kullanıma sunulduğunda uygulamalarına veya güncelleştirmelerine kötü amaçlı kod bulaştığının farkında değillerdir. Ardından kötü amaçlı kod, uygulamayla aynı güven ve izinlerle çalışır.

Bazı uygulamaların popülerliği göz önünde bulundurulduğunda olası kurbanların sayısı önemlidir. Ücretsiz bir dosya sıkıştırma uygulamasının zehirlendiği ve en iyi yardımcı program uygulaması olduğu bir ülkedeki/bölgedeki müşterilere dağıtıldığı bir durum oluştu.

Tedarik zinciri saldırıları türleri

• Güvenliği aşılmış yazılım oluşturma araçları veya güncelleştirilmiş altyapı

• Geliştirici şirketinin kimliğini kullanarak çalınan kod imzalama sertifikaları veya imzalı kötü amaçlı uygulamalar

• Donanım veya üretici yazılımı bileşenlerine gönderilen güvenliği aşılmış özel kod

• Cihazlara (kameralar, USB, telefonlar vb.) önceden yüklenmiş kötü amaçlı yazılım

Tedarik zinciri saldırıları hakkında daha fazla bilgi edinmek için saldırı başlangıcı: tedarik zinciri içinde güvenliği aşılmış tedarik zinciri yeni riskler oluşturuyor adlı blog gönderisini okuyun.

Tedarik zinciri saldırılarına karşı koruma

• Yalnızca yetkili uygulamaların çalışmasına izin vermek için güçlü kod bütünlüğü ilkeleri dağıtın.

• Şüpheli etkinlikleri otomatik olarak algılayıp düzeltebilen uç nokta algılama ve yanıt çözümlerini kullanın.

Yazılım satıcıları ve geliştiriciler için

• Yüksek oranda güvenli bir derleme ve güncelleştirme altyapısının bakımını yapma.

  • İşletim sistemi ve yazılım için güvenlik düzeltme eklerini hemen uygulayın.
  • Yalnızca güvenilen araçların çalıştığından emin olmak için zorunlu bütünlük denetimleri uygulayın.
  • Yöneticiler için çok faktörlü kimlik doğrulaması gerektir.

• Yazılım geliştirme yaşam döngüsünün bir parçası olarak güvenli yazılım güncelleştirücüleri oluşturun.

  • Güncelleştirme kanalları için SSL iste ve sertifika sabitlemeyi uygula.
  • Yapılandırma dosyaları, betikler, XML dosyaları ve paketler de dahil olmak üzere her şeyi imzalayın.
  • Dijital imzaları denetleyin ve yazılım güncelleştiricisinin genel giriş ve komutları kabul etmesine izin vermeyin.

• Tedarik zinciri saldırıları için bir olay yanıt süreci geliştirme.

  • Tedarik zinciri olaylarını açıklama ve müşterileri doğru ve zamanında bilgiyle bilgilendirme

Sistemlerinizi ve cihazlarınızı koruma hakkında daha genel ipuçları için bkz. Kötü amaçlı yazılım bulaşmasını önleme.