C­h­e­c­k­m­a­r­x­,­ ­A­ç­ı­k­ ­K­a­y­n­a­k­ ­P­a­k­e­t­l­e­r­i­ ­i­ç­i­n­ ­T­e­h­d­i­t­ ­İ­s­t­i­h­b­a­r­a­t­ı­n­ı­ ­B­a­ş­l­a­t­t­ı­

Saldırı gruplarının, kötü amaçlı açık kaynak bileşenlerini uygulamalarına entegre etmeleri için yazılım geliştiricileri kandırdığı yazılım tedarik zinciri saldırıları artıyor. Geliştiricilerin kötü amaçlı paketleri belirlemesine yardımcı olmak için Checkmarx, yüzbinlerce kötü amaçlı paket, katkıda bulunanların itibarı ve kötü niyetli davranışlar hakkında ayrıntılı tehdit istihbaratı sunan bir API olan Supply Chain Threat Intelligence’ı kullanıma sundu.

Checkmarx, bağımlılık karışıklığı, yazım hatası ve zincirleme saldırı gibi saldırı türüne göre kötü amaçlı paketleri tanımladığını söylüyor. Ve katkıda bulunan itibarı, paketler içindeki anormal aktivite analiz edilerek hesaplanır.

Tedarik Zinciri Tehdit İstihbaratı, Checkmarx Labs tarafından tehdit istihbaratı araştırmasıve grubun 2022’de keşfettiği 150.878 kötü amaçlı paketi içerdiğini söylüyor. Checkmarx daha sonra ortaya çıkan tehditleri belirlemek için makine öğrenimi, eskiye dönük avlanma ve diller arası avlanma kullanır. Şirket ayrıca paketteki kodun nasıl çalıştığını anlamak için statik ve dinamik analiz kullanıyor.

Güvenlik, geliştirici iş akışının bir parçası olduğunda en iyi şekilde çalışır. Checkmarx, Supply Chain Threat Intelligence’ın yaygın olarak kullanılan geliştirici araçları ve ortamlarıyla entegre olduğunu söylüyor. Geliştirici, Checkmarx’tan benzersiz bir belirteç alır, bir paket adı ve sürüm numarasını gönderir ve istenen paketle ilgili tehdit istihbaratını alır. Geliştirici daha sonra paketin ne yaptığı, paketin kötü amaçlı olarak kabul edilip edilmediği ve paketle ilişkili geliştiricinin itibarı hakkında bilgi sahibi olur.

Checkmarx, raporlama paketlerinin saldırı gruplarını durdurmadığını çünkü yeni kukla hesaplar oluşturup bunları yayınlamaya devam ettiklerini söylüyor. Şirket, ekibin paket yöneticilerinden silindikten sonra bile bunları analiz etmeye devam edebilmesi için taranan tüm paketlerin bir veri gölünü tuttuğunu söylüyor. Bu, birden çok paketin aynı tehdit aktörüne bağlanmasına veya zaman içinde kalıpların ortaya çıkarılmasına yardımcı olabilir.