Ders 5.11: Zafiyetli ve güncel olmayan bileşenler
Bir web uygulamasının büyük kısmı, geliştiricilerinin yazmadığı koddur: işletim sisteminin paketleri, dilin çalışma ortamı, paket yöneticilerinden gelen kütüphaneler ve siteye kopyalanmış JavaScript. Her birinin herkese açık CVE'leri olan bilinen zafiyetleri olabilir. Bir envanterin nasıl tutulacağı, danışma bültenleriyle nasıl karşılaştırılacağı, sistemin paket yöneticisiyle nasıl yamanacağı, kütüphanelerin nasıl güncelleneceği ya da kaldırılacağı ve bir dağıtımın yamalı PHP'sinin neden hâlâ 8.3.6 diyebileceği. Laboratuvarda bekleyen PHP güvenlik güncellemelerini kuruyor ve PHP-FPM'i yeniden başlatıyor, mağazanın PHP kütüphanelerini ve eski bir jQuery kopyasını danışma bültenleriyle karşılaştırıyor ve kimsenin kullanmadığı kütüphaneyi kaldırıyorsun.
18 dk
Bu derste öğreneceklerin
- Bileşenlerin neden saldırı yüzeyinin parçası olduğunu açıklamak
- Bekleyen güvenlik güncellemelerini bulmak ve kurmak
- Bir hizmetin yamalı kodu çalıştırması için onu yeniden başlatmak
- Kütüphane sürümlerini danışma bültenleriyle (CVE) karşılaştırmak
- Kullanılmayan bileşenleri kaldırmak
Temel terimler
- Bileşen
- Uygulamanın bağlı olduğu her yazılım: işletim sistemi paketleri, çalışma ortamları, çatılar, kütüphaneler, ön yüz betikleri.
- CVE
- Common Vulnerabilities and Exposures: bilinen tek bir zafiyet için herkese açık bir kimlik.
- Güvenlik danışma bülteni
- Bir üreticinin ya da projenin etkilenen sürümleri, düzeltilmiş sürümü ve CVE'leri adlandıran bildirimi.
- Kilit dosyası
- Kurulu tüm kütüphanelerin tam sürümlerini kaydeden dosya.
- Yazılım bileşimi analizi (SCA)
- Bir uygulamanın bileşenlerini listeleyen ve onları danışma veritabanlarıyla karşılaştıran araçlar.
- Geri taşıma (backport)
- Bir güvenlik düzeltmesini en yeni sürüme yükseltmeden eski bir sürüme uygulamak.
← Uzaktan erişim ve parolaları açık metin gönderen protokoller · Tüm dersler · Bilişim suçları hukuku: neredeyse her yerde suç olanlar →