Ders 3.75: Tedarik zinciri saldırıları: güvenilen yazılım döndüğünde
Her şirket başkalarının yazdığı yazılımı çalıştırır: işletim sistemleri, kitaplıklar, üretici araçları ve bunların hepsinin güncellemeleri. Bir tedarik zinciri saldırısı bu tedarikçilerden birini ele geçirir; böylece kurbanlar saldırıyı olağan bir güncellemeyle kendileri kurar. Gerçek örnekler arasında 2020'deki SolarWinds Orion güncellemeleri ve Mart 2024'te xz sıkıştırma kitaplığında bulunan arka kapı (CVE-2024-3094) vardır. Laboratuvarda iki tedarik zinciri bildiriminden Northwind'in etkilenip etkilenmediğini bir yazılım envanteriyle hızla buluyor ve eylemleri yazıyorsun.
16 dk
Bu derste öğreneceklerin
- Tedarik zinciri saldırısının ne olduğunu açıklamak
- Gerçek örnekleri saymak (SolarWinds 2020, xz utils 2024)
- Açıklığı denetlemek için bir yazılım envanteri (SBOM) kullanmak
- Etkilenen sürümleri kesin olarak eşleştirmek
- Eylemlere karar vermek: güncelle, yeniden kur, sırları döndür
Temel terimler
- Tedarik zinciri saldırısı
- Müşterilerine ulaşmak için bir tedarikçiyi (yazılım, güncelleme, hizmet) ele geçirmek.
- SBOM
- Yazılım malzeme listesi: yazılımındaki ve sistemlerindeki bileşenlerin ve sürümlerin listesi.
- Bağımlılık
- Yazılımının ihtiyaç duyduğu ve başkasından kurduğu kitaplık ya da paket.
- Paket kayıt deposu
- npm ya da PyPI gibi herkese açık bir paket deposu.
- Sır döndürme
- Açığa çıkmış olabilecek parolaları, anahtarları ve belirteçleri değiştirmek.
← Koddaki kriptografik hatalar · Tüm dersler · Oltalama simülasyonlarını etik yürütmek →