Yazılım geliştirme ekiplerinin kullandığı popüler CodeCov kod analiz uygulama altyapısına siber saldırı düzenlendi. Tehdit aktörleri CodeCov kod analiz platformunda bulunan bir zafiyeti kullanarak CodeCov altyapısını kullanan 19.000 şirketin sistemlerine erişebilen yetkili erişim bilgilerini ele geçirdikleri belirtiliyor. Bunun anlamı tehdit aktörleri bu şirketlerin yazılımlarına ve oradan da şirketlerin tüm sistemlerine erişebilecekleri!
Daha da kötüsü, ilgili saldırının Ocak ayı sonunda yapılmış ancak Nisan ayında tespit edilmiş olması. Yaklaşık 2 aydır tehdit aktörleri bu zafiyeti istismar ediyor hatta etmiş olabilirler!
CodeCov kullanan şirketlerin çok dikkatli olması ve sistemlerine sızılmış olduğunu düşünerek aksiyona geçmeleri çok önemli. Hatta bu yazılımı kullanarak yazılım geliştiren şirketlerden hizmet alanların da dikkatli olması gerekir.
2020 sonunda ortaya çıkan Solarwinds vakası, sonra Qualys’e yapılan saldırı ve şimdi CodeCov. Çok sık duymaya başladık tedarik zinciri saldırılarını ve daha da duymaya devam edeceğiz.
Kendi güvenliğiniz için bir çok önlemi almış olabilirsiniz ancak hizmet yada ürününü kullandığınız tedarikçiniz ne kadar bu önlemleri almış, biliyor musunuz?
Hizmet yada ürün almadan tedarikçinizden ilgili güvenlik standartlarına uygun çalıştıklarını sorgulamalısınız. Sadece sertifikalara bakarak hizmet almamalısınız. Mutlaka farklı yöntemlerle tedarikçinizin olması gereken güvenlik seviyesinde olduğunu doğrulamalısınız. Bu doğrulamaları düzenli olarak yılda en az bir defa tekrar etmelisiniz.
CodeCov altyapısında bulunan böyle kritik bir zafiyeti tespit edememiş büyük eksiklik. Ayrıca zafiyetin istismar edilmeye başlandıktan 2 ay sonra dolaylı bir yoldan öğrenmiş olması da ayrı bir eleştiri konusu.
Yüzde yüz güvenliğin olmadığı bilinci ile sisteminize sızılmış olduğunu düşünerek, sıfır güven (zero trust) prensiplerini mutlaka uygulayın.
Konuyla ilgili detaylı haberlere aşağıdaki adreslerden erişebilirsiniz.
