İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

Tedarik Zinciri Saldırısı Nedir?

İngilizce: Supply Chain Attack

Yayın: · Son güncelleme:

Tedarik Zinciri Saldırısı Nedir? Kısaca

Tedarik zinciri saldırısı (Supply Chain Attack), hedefe doğrudan değil, hedefin güvendiği bir yazılım, güncelleme, kütüphane ya da hizmet sağlayıcı üzerinden ulaşılan siber saldırıdır. Tek bir sızma binlerce kurumu etkileyebilir.

Tedarik Zinciri Saldırısı nedir?
İçindekiler
  1. Tedarik zinciri saldırısı nedir?
  2. Nasıl gerçekleşir?
  3. Kurumlar ne yapabilir?

Tedarik zinciri saldırısı nedir?

Tedarik zinciri saldırısı, saldırganın asıl hedefi yerine o hedefin kullandığı bir ürünü ya da hizmeti ele geçirmesidir. Zararlı kod, güvenilen bir güncellemenin ya da yazılım kütüphanesinin içinde gelir. Kurum, bilmeden kendi eliyle kurar.

Nasıl gerçekleşir?

Yaygın yollar şunlardır: bir yazılım firmasının derleme sistemine sızıp güncellemeye zararlı kod eklemek, açık kaynak bir pakete kötü niyetli sürüm yüklemek ya da kurumun BT hizmeti aldığı bir firmanın uzaktan erişim hesaplarını kullanmak. 2020'de ortaya çıkan SolarWinds olayında, bir ağ yönetim yazılımının güncellemesine eklenen arka kapı çok sayıda kurumu etkiledi. 2024'te ise yaygın kullanılan XZ Utils sıkıştırma kütüphanesine gizlenmiş bir arka kapı, dağıtımlara yayılmadan son anda fark edildi.

Bu saldırıları tehlikeli yapan şey güven ilişkisidir. İmzalı ve resmî kanaldan gelen bir güncelleme, güvenlik araçlarının dikkatini kolayca çekmez.

Kurumlar ne yapabilir?

Tamamen önlemek zordur ama etkisi sınırlanabilir. Kullanılan tüm yazılım ve kütüphanelerin listesini (SBOM) tutmak, bağımlılık taraması yapmak ve paket sürümlerini sabitlemek ilk adımlardır. Tedarikçilere verilen uzaktan erişimler en az yetki ilkesine göre sınırlanmalı ve izlenmelidir.

Sıfır güven yaklaşımı da burada işe yarar. Bir sistem "içeriden" ya da "tedarikçiden" geldiği için otomatik güvenilir sayılmaz. Güncellemeleri önce küçük bir test grubunda denemek, olağan dışı ağ trafiğini erken fark etmeyi sağlar.

Sıkça Sorulan Sorular

Bireysel kullanıcılar tedarik zinciri saldırısından etkilenir mi?

Etkilenebilir. Bir uygulamanın ya da tarayıcı eklentisinin güncellemesi ele geçirilirse son kullanıcılar da zararlı kodu alır. Uygulamaları yalnız resmî mağazalardan indirmek ve az kullanılan eklentileri kaldırmak riski azaltır.

Güncellemeleri kapatmak bu riski önler mi?

Hayır, tersine daha büyük risk yaratır. Güncellemeler bilinen açıkları kapatır. Doğru yaklaşım güncellemeleri sürdürmek ama kurumda kademeli dağıtmaktır.

İlgili terimler

Bağımlılık Taraması(Software Composition Analysis)Bağımlılık taraması (SCA), bir yazılımın kullandığı açık kaynak kütüphaneleri ve paketleri listeleyip bunlarda bilinen güvenlik açıkları veya lisans sorunları olup olmadığını kontrol eden analizdir.Arka Kapı(Backdoor)Arka kapı (backdoor), bir yazılımda ya da sistemde normal kimlik doğrulama adımlarını atlayarak gizli erişim sağlayan yoldur. Saldırgan tarafından yerleştirilebileceği gibi geliştiricinin unuttuğu bir test girişi de olabilir.Sıfır Güven(Zero Trust)Sıfır güven (zero trust), ağın içinde ya da dışında olmasına bakmaksızın hiçbir kullanıcıya, cihaza veya uygulamaya varsayılan olarak güvenmeyen ve her erişim isteğini ayrıca doğrulayan güvenlik modelidir.APT(Advanced Persistent Threat)APT (Advanced Persistent Threat, gelişmiş kalıcı tehdit), belirli bir hedefe sızıp uzun süre fark edilmeden içeride kalan, genellikle devlet destekli ve yüksek kaynaklı saldırı gruplarını ya da kampanyalarını ifade eder.Yazılım(Software)Yazılım, bir bilgisayarın ya da akıllı cihazın ne yapacağını adım adım tarif eden programların, verilerin ve talimatların bütünüdür. Donanım fiziksel parçaları, yazılım ise bu parçaları çalıştıran mantığı ifade eder.En Az Yetki İlkesi(Principle of Least Privilege)En az yetki ilkesi, her kullanıcıya, uygulamaya ve sisteme yalnızca görevini yerine getirmesi için gereken en düşük erişim yetkisinin, gerektiği süre boyunca verilmesini öngören temel güvenlik ilkesidir.