Supply Chain Attack: Tehdit Yazılımın İçinden Geldiğinde

Güvenilir bir satıcıdan yazılım yüklediniz. En iyi uygulamalara uydunuz. Her şeyi güncel tuttunuz. Yine de bir şekilde tehlikeye girdiniz. Bu, supply chain attack'ın rahatsız edici gerçeğidir; tehdit doğrudan bir ihlalden değil, halihazırda güvendiğiniz bir şeyden gelir.

Nedir?

Supply chain attack, bir siber suçlunun hedefin güvendiği bir satıcıyı, yazılım kütüphanesini, güncelleme mekanizmasını veya donanım bileşenini ele geçirerek hedefe dolaylı yoldan sızdığı bir saldırı türüdür. Saldırgan, iyi korunan bir şirkete doğrudan saldırmak yerine, o şirketin kullandığı bağımlılık zincirindeki daha zayıf bir halkayı bulur ve kaynağı zehirler.

Sonuç olarak kötü amaçlı kodlar, arka kapılar veya casus yazılımlar; çoğu zaman yazılımı güvende tutmak için tasarlanmış güncelleme mekanizmaları aracılığıyla otomatik biçimde binlerce hatta milyonlarca kullanıcıya ulaşır.

Nasıl Çalışır?

Modern yazılımların büyük çoğunluğu, üçüncü taraf kütüphaneler, açık kaynak paketler, bulut hizmetleri ve satıcı tarafından sağlanan bileşenlerden oluşan katmanlar üzerine inşa edilir. Bu karmaşıklık, hiçbir kuruluşun tek başına tam anlamıyla izleyemeyeceği bir saldırı yüzeyi oluşturur.

Tipik bir saldırı süreci şu şekilde işler:

  1. Hedef belirleme – Saldırganlar, istemcilerine kıyasla daha zayıf güvenlik uygulamalarına sahip, yaygın biçimde kullanılan bir yazılım satıcısı veya açık kaynak paketi tespit eder.
  2. Ele geçirme – Saldırgan, satıcının derleme sistemine, kod deposuna veya güncelleme sunucusuna sızar. Bu süreç; kimlik avı, çalınan kimlik bilgileri veya satıcının kendi altyapısındaki bir güvenlik açığından yararlanma yoluyla gerçekleşebilir.
  3. Kod enjeksiyonu – Kötü amaçlı kod, meşru bir yazılım güncellemesine ya da kütüphane sürümüne sessizce eklenir.
  4. Dağıtım – Zehirlenen güncelleme, meşru sertifikalarla imzalanarak tüm kullanıcılara iletilir. Güvenilir bir kaynaktan geldiği için güvenlik araçları çoğunlukla bunu işaretlemez.
  5. Çalıştırma – Kötü amaçlı yazılım, kurbanın makinesinde sessizce çalışır; kimlik bilgilerini toplayabilir, arka kapılar oluşturabilir veya verileri dışarıya sızdırabilir.

2020 yılındaki SolarWinds saldırısı bu türün en çarpıcı örneğidir. Hackerlar, olağan bir yazılım güncellemesine kötü amaçlı kod yerleştirdi ve bu kod; ABD hükümeti kurumları dahil yaklaşık 18.000 kuruluşa dağıtıldı. İhlal, aylarca fark edilmeden kaldı.

Bir diğer bilinen örnek ise NPM paket ekosistemini kapsıyordu. Saldırganlar, popüler kütüphanelere neredeyse özdeş isimler taşıyan kötü amaçlı paketler yayımladı. Typosquatting adı verilen bu teknikle geliştiricilerin söz konusu paketleri yanlışlıkla yüklemesi hedeflendi.

VPN Kullanıcıları İçin Neden Önemli?

VPN yazılımı da bu tür saldırılardan muaf değildir. Bir VPN istemcisi yüklediğinizde, hem uygulamanın hem de bağlı olduğu tüm kütüphanelerin temiz olduğuna güveniyorsunuz demektir. Bir VPN sağlayıcısının yazılım dağıtımını hedef alan supply chain attack, teorik olarak gerçek IP adresinizi sızdıran, kill switch özelliğinizi devre dışı bırakan ya da trafiğinizi bilginiz dışında kaydeden ele geçirilmiş bir istemci sunabilir.

Bu nedenle şu noktalara dikkat etmek kritik önem taşır:

  • VPN yazılımını yalnızca resmi kaynaklardan indirin; üçüncü taraf uygulama mağazalarından veya ayna sitelerden asla.
  • Tekrarlanabilir derlemeler yayımlayan veya düzenli üçüncü taraf denetimlerinden geçen sağlayıcıları tercih edin; böylece derlenen yazılım bağımsız olarak doğrulanabilir.
  • Kod imzalama sertifikalarını kontrol edin; bu sertifikalar, yazılımın geliştiriciyi terk ettiğinden bu yana üzerinde herhangi bir değişiklik yapılmadığını doğrular.
  • Yazılımı güncel tutun, ancak güvenlik haberlerini de takip edin. Bir satıcı supply chain olayı duyurursa hızlı hareket edin.

VPN yazılımının ötesinde, supply chain attack'lar gizlilik için kullandığınız daha geniş araçları da etkiler: tarayıcılar, tarayıcı uzantıları, parola yöneticileri ve işletim sistemleri. Ele geçirilmiş bir tarayıcı uzantısı, örneğin, VPN'in gizliliğinizi korumak adına yaptığı her şeyi sekteye uğratabilir.

Daha Geniş Perspektif

Supply chain attack'lar özellikle tehlikelidir; çünkü güveni istismar ederler. Geleneksel siber güvenlik tavsiyesi "yalnızca güvenilir kaynaklardan indirin" der; ancak supply chain attack, güvenilir kaynakları tehdidin ta kendisine dönüştürür. Bu yüzden zero trust architecture, yazılım malzeme listesi (SBOM) ve yazılım paketlerinin kriptografik doğrulaması gibi kavramlar güvenlik dünyasında ciddi ölçüde ilgi görmeye başlamıştır.

Günlük kullanıcılar için çıkarılacak ders basit ama önemlidir: Güvendiğiniz yazılım, yalnızca arkasındaki tüm ekosistem kadar güvenlidir. Bilgi sahibi olmak, şeffaf güvenlik uygulamalarına sahip satıcıları tercih etmek ve sağlayıcı iddialarını doğrulamak için VPN denetimleri gibi araçlardan yararlanmak; gerçek anlamda dayanıklı bir gizlilik yapısı oluşturmanın temel parçalarıdır.