Supply Chain Attack Nedir? Kod İmzalama ile Yazılım Tedarik Zinciri Güvenliği

Supply chain attack (tedarik zinciri saldırısı), saldırganların yazılım geliştirme veya dağıtım sürecine sızarak zararlı kod enjekte ettiği sofistike bir saldırı türüdür. 2020 SolarWinds saldırısı bu türün en bilinen örneğidir ve dünya genelinde 18.000'den fazla kurumu etkilemiştir. Kod imzalama, bu tür saldırılara karşı ilk savunma hattıdır.

Supply Chain Attack Nasıl Çalışır?

Tedarik zinciri saldırıları farklı aşamalarda gerçekleşebilir:

1. Kaynak Kod Aşaması: Saldırgan, açık kaynak kütüphaneye veya özel repoya zararlı kod ekler
2. Build Aşaması: CI/CD pipeline'ı tehlikeye atarak derleme sürecine müdahale edilir
3. Dağıtım Aşaması: Güncelleme sunucusu ele geçirilerek zararlı güncelleme dağıtılır
4. Bağımlılık Aşaması: npm, PyPI, Maven gibi paket depolarına zararlı paket yüklenir

Önemli Supply Chain Saldırı Örnekleri

Kod İmzalama ile Korunma

1. Tüm Dağıtımları İmzalayın

Her yazılım sürümü ve güncelleme, güvenilir bir kod imzalama sertifikası ile imzalanmalıdır. İmzasız veya geçersiz imzalı güncellemeler otomatik reddedilmelidir.

2. HSM Kullanın

İmzalama anahtarlarını Hardware Security Module (HSM) içinde saklayın. SolarWinds saldırısında saldırganlar build pipeline'ına sızsa bile HSM'deki anahtarlara erişemezlerdi.

3. CI/CD Pipeline Güvenliği

• Build ortamlarını izole edin (ephemeral/tek kullanımlık container'lar)
• Pipeline yapılandırma değişikliklerini onay sürecine tabi tutun
• Build artifact'larını dağıtmadan önce otomatik güvenlik taramasından geçirin
• İmzalama işlemini ayrı, güvenli bir aşamada gerçekleştirin

4. SBOM (Software Bill of Materials) Oluşturun

SBOM, yazılımınızın tüm bağımlılıklarının listesidir. 2026'da AB Cyber Resilience Act ve Türkiye düzenlemeleri kapsamında SBOM oluşturma zorunluluğu genişletildi.

5. İmza Doğrulama Politikası Uygulayın

Son kullanıcı sistemlerinde yalnızca imzalı yazılımların çalışmasına izin verin:

• Windows: AppLocker veya WDAC ile imza zorunluluğu
• macOS: Gatekeeper varsayılan olarak aktif
• Linux: dm-verity ve IMA/EVM modülleri

Sık Sorulan Sorular

Kod imzalama supply chain attack'ı tamamen önler mi?

Hayır, tek başına önlemez. 3CX saldırısında olduğu gibi, saldırganlar meşru imzalama sürecine sızabilir. Kod imzalama, build güvenliği, SBOM, güvenlik taraması ve HSM kullanımı gibi çok katmanlı bir güvenlik yaklaşımının parçası olmalıdır.

SBOM nedir ve neden önemli?

SBOM (Yazılım Malzeme Listesi), yazılımınızdaki tüm bileşenlerin, kütüphanelerin ve bağımlılıkların listesidir. Bir bağımlılıkta güvenlik açığı keşfedildiğinde, hangi yazılımların etkilendiğini hızla tespit etmenizi sağlar.