DevOps yeniliği teşvik edip işbirliğini basitleştirirken aynı zamanda kendi risklerini ve güvenlik açıklarını da beraberinde getiriyor. Geliştiriciler kod üzerinde çalışmak için GitHub, Azure DevOps, Bitbucket veya GitLab gibi Git tabanlı platformlara güveniyor.
Depolar genellikle görev açısından kritik veriler içerir ve büyümeyle birlikte ekipler genişler ve iş akışları daha karmaşık hale gelir; bunların tümü verilerinizi etkileyebilecek daha fazla potansiyel riske yol açar.
SaaS verilerinin korunmasına ilişkin görev dağılımı, platforma özel paylaşılan sorumluluk modelleri kullanılarak özetlenmiştir. Bir müşteri olarak, SaaS hesaplarınızda saklanan verilerden siz sorumlusunuz. GitHub gibi platformların veri kurtarma konusunda size yardımcı olma zorunluluğu yoktur.
Hizmet sağlayıcı, hizmetlerinin kesintisiz çalışmasından sorumludur; kullanıcıların görevi ise verilerin, hesapların ve cihazların güvenliğidir.
Bu, kullanıcıların sıkı erişim kontrolleri uygulaması, kimlik bilgilerini koruması ve otomatik yedeklemelerden yararlanması gerektiği anlamına gelir; bunların tümü verileri fidye yazılımı saldırılarına, kazara silme gibi insan hatalarına ve hizmet kesintilerine karşı korumak için yapılır. Üstelik SaaS platformları, kullanıcılarına kendi yedeklemelerini uygulamalarını tavsiye ediyor.
GitLab gibi önde gelen dağıtılmış VCS platformları yerleşik güvenlik özellikleri sunar. Bunlar bir siber savunma stratejisi oluşturmaya yardımcı olabilir. Belirli kontroller ve araçlar her platformda farklılık gösterir ve PAT'lerden erişim kontrollerine ve düzenli incelemelere kadar uzanır.
GitHub'da kullanıcılar gizli tarama, push koruması, bağımlılık incelemesi gibi kod güvenliği özellikleri ve Dependabot uyarılarını içeren yerel kontrollere sahip olur.
Yeni genel depolar için anında iletme koruması varsayılan olarak açıktır ve bilinen gizli dizileri anında engelliyor. Gizli tarama aynı zamanda tüm genel depolar için de etkinleştirilmiştir ve özel depolara genişletilebilir.
Tüm projelerde MFA ve şube korumasının uygulanması tavsiye edilir.
Bitbucket, ekip/grup kontrolleriyle hiyerarşik erişime sahiptir. Ayrıca proje düzeyindeki izinler, sıkılaştırılmadıkça o projedeki tüm repolar için geçerlidir.
Güvenlik büyük ölçüde yöneticilerin grup kapsamlarını ve depo gizliliğini düzenli olarak incelemesine bağlıdır. Bitbucket Gizli Tarama özelliği, açığa çıkan kimlik bilgilerine yönelik taahhütlerin ve itmelerin izlenmesine yardımcı olur.
İşlem hattı değişkenlerini yapılandırdığınızdan ve hassas verilerin açığa çıkmasını önlediğinizden emin olun. Bitbucket'in Jira gibi Atlassian araç ve hizmetleri paketiyle entegre olduğunu belirtmekte fayda var.
GitLab, kaynak kodu yönetimi, CI/CD ve güvenlik testlerini kapsayan kapsamlı bir DevSecOps platformu olarak gelir.
Riskler çoğunlukla yöneticilerin sağlamlaştırma, yama uygulama ve yedeklemelerden sorumlu olduğu kendi kendini yöneten dağıtımlarda ortaya çıkar.
GitLab'ın belgelerindeki kılavuzu, kendi kendini yöneten müşterilere yama uygulama ve ana bilgisayar güvenliği atar. Katı bir rol ayrımı uyguladığınızdan ve koşucuları izole ettiğinizden emin olun.
Microsoft'un Azure DevOps'u, Microsoft Entra ID (SSO, MFA, Koşullu Erişim) aracılığıyla kimlik yönetimiyle bütünleşir.
Azure DevOps verilerine yönelik güçlü bir güvenlik duruşu, hizmet bağlantılarının ve katmanlı proje/kuruluş izinlerinin doğru şekilde yapılandırılmasını gerektirir.
Microsoft, Paylaşılan Sorumluluk Modeline göre Azure DevOps yapılandırmasına ilişkin müşteri sorumluluğunu vurgular.
Bitbucket gibi platformlarda saklanan konfigürasyonlarla birlikte veriler, modern yazılım geliştirme için gereklidir. Bu nedenle kaynak kodunuz siber saldırılar veya içeriden gelen tehditler için mükemmel bir hedeftir. Bu kötü aktörler, iş sürekliliği ve güvenliğinin bağlı olduğu verilerinize erişim elde ederken fidye talep ediyor.
Güvenliği sola kaydırmak ve sektörde bilinen güvenlik açıklarını ele almak önemlidir.
Yaygın güvenlik açıkları şunları içerir:
Zayıf erişim kontrolü
Uygun olmayan depo izinleri ve yapılandırmaları
Çok faktörlü kimlik doğrulama (MFA) veya tek oturum açma (SSO) yok
Eski sistemler ve iş akışları
Otomatik yedekleme yok (veya GitHub, GitLab, Azure DevOps veya Bitbucket'i yedek olarak kabul etmiyor)
Test edilmiş felaket kurtarma stratejilerinin eksikliği
Endüstri düzenlemelerine uyulmaması
Örneğin, 'tj-actions/changed-files' adı verilen popüler GitHub Eylemini hedef alan bir tedarik zinciri saldırısı gerçekleşti. Saldırganlar, binlerce depoda kullanılan aynı paket adı altında kötü amaçlı bir güncelleme yayınladı ve potansiyel olarak depo verilerini ve CI/CD sırlarını açığa çıkardı.
Saldırganların verilerinize erişmek için güvenlik açıklarından yararlanabilmesinin farklı yolları vardır. Kimlik avı ve kimlik bilgisi hırsızlığından fidye yazılımı saldırılarına kadar çeşitlilik gösterir. Fidye yazılımı verilerinizi şifreler veya siler; ancak bunun nasıl yapılacağı platforma bağlıdır:
platformu
Nasıl istismar ediliyor
Neden fidye yazılımını etkinleştiriyor?
Önleyici tedbirler
GitHub
Çalınan PAT'ler/OAuth belirteçleri, kötü amaçlı GitHub Eylemleri, güvenliği ihlal edilmiş CI çalıştırıcıları
Belirteçler ve kötü amaçlı Eylemler depoları yazabilir/silebilir, kötü niyetli taahhütleri iletebilir, bağımlılıkları zehirleyebilir veya yapıları şifreleyebilir
Ayrıntılı PAT'ler, SSO ve MFA, izin verilenler listesi Eylemleri, geçici çalıştırıcılar, gizli tarama, platform dışı değişmez yedeklemeler
GitLab
Güvenliği ihlal edilmiş, kendi kendini yöneten koşucular veya yönetici hesapları, güvensiz koşucular keyfi işleri yürütür
Güvenliği ihlal edilen bu çalıştırıcılar/yöneticiler, saldırganların depoları silmesine veya değiştirmesine, CI'yı değiştirmesine veya aynı düğümlerde depolanan yerel yedekleri kaldırmasına olanak tanır
Koşucular için geçici/izolasyon, koşucuları kimlerin kaydedebileceğini kısıtlama, katı rol ayrımı, zamanında yama uygulama, harici değişmez yedeklemeler (yapılandırma ve meta veriler dahil)
Bit kovası
Aşırı proje izinleri, sızdırılan ardışık düzen değişkenleri, kötüye kullanılan entegrasyonlar/hizmet kancaları
Bulut kimlik bilgileri veya ardışık düzen sırları, saldırganların şifrelemek/silmek için yapı depolarına, aynalara veya bulut yedeklemelerine erişmesine olanak tanır
Proje/repo izinlerini sıkılaştırın, anahtarları döndürün, değişkenleri doğru şekilde kullanın, üçüncü taraf uygulamaları kısıtlayın, harici değişmez yedeklemeler
Azure DevOps
Güvenliği ihlal edilmiş Entra (Azure AD) hesapları, aşırı ayrıcalıklı hizmet bağlantıları, yanlış yapılandırılmış işlem hatları
Hizmet bağlantıları ve Azure kaynak erişimi, yapıların şifrelenmesine, yedeklerin silinmesine ve yıkıcı işlem hattı işlerine uygun ölçekte olanak tanır
Koşullu erişimi ve MFA'yı, en az ayrıcalıklı hizmet bağlantılarını zorunlu kılın, işlem hattı kimliklerini kısıtlayın, yedek depolamayı kiracılık dışında ayırın
Diğer bir risk ise kazara silme ve kötü niyetli kişilerin kuruluş içinden zarar verme potansiyelidir. Bu, yanlış yazılmış bir komut veya projenin silinmesine yol açan aşırı ayrıcalıklar kadar basit olabilir, ancak yedekleme veya esnek kurtarma seçenekleri olmadan uzun vadede yıkıcı olabilir.
İçerideki kötü niyetli kişiler kasıtlı olarak işlemleri bozabilir veya günlüğe kaydetmeyi devre dışı bırakabilir. Her iki durum da repo geçmişinin kaybolmasına, maliyetli kurtarmaya, verilerin silinmesine ve kaybolmasına ve ayrıca iş operasyonlarının duraklatılmasına neden olabilir.
Yazılım geliştirme ekipleri güvendikleri kritik platformlarda hizmet kesintileriyle karşı karşıya kalıyor. Kesinti süresi, önemli depolara ve CI/CD işlem hatlarına erişimin olmaması anlamına gelir; bu da iş operasyonlarını tamamen durdurabilir. Bunun sonuçları, son teslim tarihlerinin kaçırılmasından, müşteri güveninin eksikliğinden kaynakların boşa harcanmasına kadar uzanır.
Yukarıda belirtilen tüm riskleri ele almak ve git barındırma platformlarındaki verileri güvence altına almak için kuruluşların güvenliği sola kaydırması ve sektör düzenlemelerinin uyumluluk gerekliliklerine uyması gerekir. Sırların asla depolarda saklanmaması gerektiğini hatırlamak önemlidir.
Sıkı erişim kontrolü, RBAC'nin (Rol tabanlı erişim kontrolü) uygulanması ve en az ayrıcalık ilkesinin izlenmesi anlamına gelir.
Bu şekilde, hiçbir kullanıcıya aşırı erişim verilmeden, izinler her role özel olarak ayarlanır ve buna göre atanır. Tüm izinler düzenli olarak doğrulanmalı ve etkin olmayan hesaplar iptal edilmelidir.
GitProtect gibi üçüncü taraf bir yedekleme ve felaket kurtarma çözümü bir güvenlik ağı gibidir. Bir çözüm seçerken DevOps yığınınızın (proje verileri, depolar ve tüm meta veriler) tam kapsamını arayın. İdeal olarak yedeklemeler otomatikleştirilmeli, şifrelenmeli, coğrafi olarak yedekli olmalı ve WORM uyumlu, değiştirilemez formatta saklanmalıdır.
Bu, esnek bir kurtarma cephaneliğiyle tamamlanmalıdır: parçalı geri yükleme, çapraz kurtarma, belirli bir noktaya geri yükleme ve tam veri kurtarma.
Yedekleme ve olağanüstü durum kurtarma çözümleri bu kutuları işaretlediğinde, fidye yazılımı korumasını, endüstri standartlarıyla uyumluluğu ve 3-2-1 yedekleme kuralına bağlılığı garanti etmiş olursunuz. Diğer kritik hususlar arasında izleme ve denetim hazırlığı, sezgisel bir kullanıcı arayüzünün yanı sıra uyarılar, bildirimler ve net günlükler yer alır.
GitProtect'in 14 günlük deneme sürümüyle uyumlu DevOps yedeklemesini ve kurtarmasını sağlayın. Kredi kartına gerek yok!
GitProtect sponsorluğunda ve yazılmıştır.
Kaynak: Bleeping Computer