Güvenliğiniz, en zayıf tedarikçinizin güvenliği kadardır. Rahatsız edici olan taraf şu: o tedarikçiyi çoğu zaman siz seçmemişsinizdir. Kullandığınız bir eklentinin bağımlılığı, sizin hiç duymadığınız bir bileşen olabilir.
Kısa cevap: tedarik zinciri saldırısı nedir?
Tedarik zinciri saldırısı, hedefe doğrudan değil; hedefin güvendiği bir yazılım, servis veya iş ortağı üzerinden ulaşan saldırı türüdür. Saldırgan iyi korunan bir sistemi zorlamak yerine, o sisteme meşru erişimi olan daha zayıf bir halkayı hedefler. Sizin açınızdan kritik nokta şudur: güvenlik duruşunuz kendi sisteminizle sınırlı değildir; sitenize kod yükleyen her eklenti, verinize erişen her entegrasyon ve panelinize giren her ajans bu zincirin parçasıdır.
Zincirdeki 4 tipik zayıf halka
| Halka | Nasıl risk üretir? | Erken uyarı sinyali |
|---|---|---|
| Eklenti ve temalar | Sitenizde tam yetkiyle kod çalıştırır; güncellenmeyen sürümler bilinen açıklar taşır | Uzun süredir güncelleme almayan bileşen |
| Üçüncü taraf betikler | Sohbet, analitik, reklam kodları doğrudan ziyaretçinin tarayıcısında çalışır | Kim tarafından, neden eklendiği bilinmeyen betik |
| API ve entegrasyonlar | Anahtarlar geniş yetkiyle ve süresiz tanımlanır | Ne işe yaradığı belirsiz, kullanılmayan anahtar |
| Hizmet sağlayıcı erişimleri | Ajans, geliştirici veya danışman hesapları kapatılmadan kalır | Proje bittiği hâlde açık duran yönetici hesabı |
Dört halkanın ortak özelliği şudur: hepsi meşru bir gerekçeyle eklenmiştir ve bu yüzden kimse sorgulamaz. Risk, kötü niyetli bir kurulumdan değil; ihtiyacı bittiği hâlde kaldırılmayan meşru erişimlerden doğar.
Tedarikçiye sorulacak 6 güvenlik sorusu
Yeni bir yazılım, servis veya iş ortağıyla çalışmaya başlamadan önce cevabını yazılı istemeniz gereken sorular:
- Verimize hangi kapsamda erişiyorsunuz? Okuma mı, yazma mı; hangi veri türleri? Erişim gerçekten gerekli olanla sınırlı mı?
- Güvenlik olaylarında bildirim süreciniz nedir? Bir ihlal yaşandığında bize ne kadar sürede, hangi kanaldan haber verilir?
- Bileşenlerinizi hangi sıklıkla güncelliyorsunuz? Kritik açıklarda taahhüt edilen yama süresi nedir?
- Ekibinizin erişim yönetimi nasıl işliyor? Çalışan ayrılışında erişimler nasıl kapatılıyor?
- Alt yükleniciniz var mı? Varsa zincir uzuyor demektir; onların güvenlik durumu da sizin sorumluluğunuzdadır.
- İş ilişkisi sona erdiğinde veri ve erişim ne oluyor? Silme, iade ve erişim kapatma süreçleri yazılı mı?
Bu soruların cevaplanamaması tek başına bir bilgi verir. Güvenlik süreçlerini tanımlamamış bir tedarikçi, olay anında da tanımlı davranmayacaktır.
Etki alanını sınırlama yöntemleri
Zinciri tamamen güvenli hâle getiremezsiniz; ancak bir halka kırıldığında etkinin nereye kadar yayılacağını sınırlayabilirsiniz:
- En az yetki ilkesi. Her entegrasyona yalnızca işini yapacak kadar yetki verin. Tam yetkili API anahtarı, kolaylık uğruna alınmış kalıcı bir risktir.
- Anahtarlara son kullanma tarihi koyun ve düzenli olarak yenileyin. Süresiz anahtar, unutulmaya mahkûm bir açıktır.
- Bileşen envanteri tutun. Sitede çalışan her eklenti, tema ve betik için: kim ekledi, neden, hâlâ gerekli mi.
- Kullanılmayanı kaldırın, devre dışı bırakmakla yetinmeyin. Pasif duran bir eklenti dosyaları sunucuda durduğu için hâlâ risk taşıyabilir.
- Sağlayıcı erişimlerini süreli verin. Proje bitiminde otomatik kapanan erişim, unutulmayan tek erişimdir.
- Yedeği zincirin dışında tutun. Tedarikçi kaynaklı bir olayda geri dönebileceğiniz kopya, o tedarikçinin ulaşamayacağı yerde olmalıdır — bulut ve yedek farkı yazımızda ele aldık.
- Kritik hesaplarda güçlü doğrulama kullanın — bkz. 2FA yöntemleri.
Netişlem uzman görüşü: en büyük risk, envanterin olmaması
İncelediğimiz sitelerde en sık karşılaştığımız durum, kimsenin hangi bileşenin neden orada olduğunu bilmemesi. Yıllar içinde farklı kişiler farklı eklentiler kurmuş, bir kısmı bir kampanya için eklenmiş ve hiç kaldırılmamış. Bu tabloda güvenlik değerlendirmesi yapmak da mümkün değil — neyi koruduğunuzu bilmeden koruyamazsınız.
İkinci gözlemimiz, üçüncü taraf betiklerin sessiz riski. Sitenizde çalışan bir sohbet veya izleme kodu, o servisin sunucusundan yüklenir; yani o servis ele geçirilirse kod sizin ziyaretçinizin tarayıcısında çalışır. Ödeme ve giriş sayfalarında hangi betiklerin çalıştığı bu yüzden ayrıca gözden geçirilmelidir.
Üçüncüsü, tedarikçi denetiminin büyük şirketlere özgü sanılması. Oysa altı soruluk kısa bir liste ve yılda bir bileşen envanteri, küçük bir işletme için de yapılabilir bir iş. Risk büyüklükle değil, bağımlılık sayısıyla artıyor.
Denetim kontrol listesi
- Bileşen envanteri çıkarıldı (eklenti, tema, betik, entegrasyon).
- Her bileşen için sahip ve gerekçe yazıldı.
- Kullanılmayan bileşenler tamamen kaldırıldı.
- API anahtarları listelendi; yetki kapsamı ve son kullanım tarihi belirlendi.
- Sağlayıcı hesapları gözden geçirildi; ihtiyacı bitenler kapatıldı.
- Ödeme ve giriş sayfalarında çalışan betikler ayrıca denetlendi.
- Kritik tedarikçilerden güvenlik yanıtları yazılı alındı.
- Olay bildirim süreci tanımlandı: kim, kime, ne kadar sürede haber verir.
- Yedeğin zincir dışında tutulduğu doğrulandı.
- Envanter gözden geçirmesi takvime alındı (en az yılda bir).
Sık sorulan sorular
Küçük bir işletme neden tedarik zinciri saldırısına maruz kalsın?
Saldırılar genellikle hedef seçerek değil, açık tarayarak yürür. Yaygın kullanılan bir eklentide açık bulunduğunda, o eklentiyi kullanan tüm siteler otomatik olarak taranır. Ölçek değil, bileşen tercihi belirleyicidir.
Eklentileri otomatik güncellemeye alsam yeterli mi?
Önemli bir adımdır ancak tek başına yeterli değildir. Bakımı bırakılmış bir eklenti güncelleme yayınlamaz; bu durumda otomatik güncelleme sizi korumaz. Envanterde her bileşenin son güncelleme tarihini izlemek gerekir.
Ajansımıza panel erişimi vermek riskli mi?
Gerekli olduğunda normaldir; riski yaratan, erişimin ihtiyaç bittikten sonra da açık kalmasıdır. Kişiye özel hesap açmak, ortak hesap paylaşmamak ve proje bitiminde kapatmak bu riski büyük ölçüde ortadan kaldırır.
API anahtarımı nasıl korumalıyım?
Yetkiyi ihtiyaçla sınırlayın, mümkünse IP kısıtlaması tanımlayın, anahtarı kod deposunda saklamayın ve düzenli olarak yenileyin. Kullanılmayan anahtarları silmek, en hızlı risk azaltma adımıdır.
Tedarikçim hacklenirse hukuki sorumluluk kimde?
Kişisel veri söz konusu olduğunda sorumluluk çoğu zaman veri sorumlusunda, yani işletmenizde kalır. Bu nedenle tedarikçi sözleşmelerinde güvenlik yükümlülükleri, bildirim süreleri ve sorumluluk paylaşımı yazılı olmalıdır.
Sonuç
Tedarik zinciri riski, kendi sisteminizi ne kadar iyi koruduğunuzdan bağımsız olarak var olur. Yönetmenin yolu zinciri ortadan kaldırmak değil; kimin nereye eriştiğini bilmek ve bir halka kırıldığında etkinin sınırlı kalmasını sağlamaktır. Bunun ilk adımı da her zaman envanterdir.
Bileşen ve erişim envanterinizi birlikte çıkarmak isterseniz bize ulaşın. Güvenli hosting, sunucu yönetimi ve kurumsal yedekleme çözümlerimizi inceleyebilirsiniz.