--- title: "SBOM tek başına tedarik zinciri saldırısının kapsamını göstermiyor" url: "https://teknotayf.com/haber/sbom-tek-basina-tedarik-zinciri-saldirisinin-kapsamini-gostermiyor" markdown_url: "https://teknotayf.com/haber/sbom-tek-basina-tedarik-zinciri-saldirisinin-kapsamini-gostermiyor.md" site: "teknotayf.com" language: "tr" published: "2026-10-27 22:58:06" updated: "2026-10-31 09:38:02" category: "Siber Güvenlik" tags: ["Siber Güvenlik","Tedarik Zinciri Saldırısı","Shai-Hulud","Olay Müdahalesi","SBOM"] source: "Dark Reading" --- # SBOM tek başına tedarik zinciri saldırısının kapsamını göstermiyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/sbom-tek-basina-tedarik-zinciri-saldirisinin-kapsamini-gostermiyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Atlassian ürün güvenliği yöneticisi Deepam Kanjani, ISC2 Security Congress 2026'da Shai-Hulud solucanıyla yaşanan gerçek bir tedarik zinciri ihlalini anlattı. SBOM'un güncel olmaması ve çalışma zamanı görünürlüğü eksikliği nedeniyle ekip hangi hizmetlerin etkilendiğini ve ihlalin ne kadar yayıldığını belirleyemedi. Kanjani, olay müdahalesinin bağımlılık dosyası yerine üretimde gerçekten çalışan şeye odaklanması gerektiğini vurguladı. - **Yayın tarihi:** 2026-10-27 22:58 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Güvenlik, Tedarik Zinciri Saldırısı, Shai-Hulud, Olay Müdahalesi, SBOM - **Yazan:** TeknoTayf.com - **Kaynak:** [Dark Reading](https://www.darkreading.com/cyber-risk/sboms-alone-scope-supply-chain-attack) ![SBOM tek başına tedarik zinciri saldırısının kapsamını göstermiyor](https://teknotayf.com/assets/uploads/2026/10/4db7bcb9324569fac99f4861d973fad1.jpg) Siber saldırılar ve veri ihlalleri Son **Shai-Hulud** saldırısı, tedarik zinciri ihlallerine yanıt vermek için savunma ekiplerinin üretim koduna ve etkilenen hizmetlere gerçek zamanlı görünürlüğe ihtiyaç duyduğunu gösteriyor. Jai Vijayan, Katkıda Bulunan Yazar ISC2 Strategic Congress 2026 — Denver — Bir yazılım malzeme listesine (**SBOM**) güvenmek, kötü amaçlı bir paketin güvenlik kontrollerini atlatması durumunda neler olacağını belirlemek için savunma ekiplerini, hangi kodun gerçekten çalıştırıldığını, hangi sistemlere dokunduğunu ve ihlalin ne kadar yayıldığını tespit etmekte zorlanmaya bırakabilir. ISC2 Security Congress 2026'da bu hafta yapılan bir oturumda Atlassian ürün güvenliği yöneticisi Deepam Kanjani, Shai-Hulud solucanını içeren gerçek bir ihlali kullanarak olay müdahalesi zorluklarını, çalışma zamanı görünürlüğündeki boşlukları, geçişli bağımlılık sahipliğini ve saldırganın atfedilmesini ele aldı. ## Shai-Hulud Saldırısının Savaş Odası Görünümü Oturumda Kanjani, gizliliği korumak için tüm tanımlayıcı ayrıntıları, rakamları ve olay sırasını değiştirdiğini söyledi; ancak büyük ölçekli bir yazılım-olarak-hizmet ortamındaki gerçek olaylara dayanan saldırı teknikleri, teknik davranışlar ve zorluklar hakkındaki birinci şahıs, savaş odası anlatısı gerçek olaylara dayanıyordu. Kanjani, olayın şirketin güvenlik araçlarına güvenilir görünen, eşleşen SHA hash'ine sahip, 3.400'den fazla GitHub yıldızına sahip ve güvenilir bir depoya sahip görünen bir paket içerdiğini anlattı. Ancak paketin üç katmanı derinine gizlenmiş, Dune film serisindeki dev kum solucanlarından sonra adlandırılmış shai-hulud adlı kötü amaçlı bir geçişli bağımlılık vardı. Doğrudan bir bağımlılık olmadığı için üst düzey bağımlılık denetiminde ortaya çıkmadı. Bir şeylerin yanlış olduğuna dair ilk işaret, davranışsal bir tarayıcının paketin çalıştırmaması gereken bir şeyi çalıştırdığını tespit etmesiyle geldi. Olay müdahale ekipleri, hash'in eşleştiği ve paketin kötü amaçlı olduğuna dair başka açık bir gösterge olmadığı için uyarıyı muhtemelen yanlış pozitif olarak reddetti. Ek olarak, güvenlik ekibi SBOM'a danıştığında ortamın temiz olarak raporlandığını gördü. Kanjani'ye göre, fark etmedikleri şey SBOM'un iki geliştirme sprinti kadar eski olmasıydı. Müdahale ilerledikçe ekip, paketi hangi hizmetlerin kullandığından emin olamadı. İhlal göstergeleri ilk ipuçlarını sağladı ancak hangi hizmetlerin etkilendiğini veya ihlalin ne kadar yayıldığını belirleyemedi. Müdahaleciler, hangi kodun gerçekten çalıştırıldığını ve neye erişebileceğini belirlemek için çalışma zamanı kanıtına ihtiyaç duydu. Bu çalışma zamanı telemetrisi olmadan, 400'den fazla hizmet arasında günlükleri manuel olarak ilişkilendirmek zorunda kaldılar ve bu da ihlalin potansiyel erişimi hakkında güvenilir bir tablo elde edememelerine yol açtı. Olay müdahale yöneticisinin kurumsal paydaşlara gönderdiği ilk Slack mesajı, çok belirsiz olması ve hâlâ gelişen olaya paralel soruşturmalar başlatması nedeniyle işleri daha da kötüleştirdi. Güvenlik ekibi, kayıt defteri sahipliğini, npm bakım geçmişini, yayıncı kimliklerini ve GitHub kayıtlarını izleyerek saldırganı tespit etme çabası hızla çıkmaza girdi. Depo meşru bir projeden kopyalanmıştı ve yayıncının kimliği ve hesap geçmişinin uydurulmuş görünmesi Kanjani'nin belirttiğiydi. Araştırmacılar, daha sonraki bazı Shai-Hulud saldırılarını TeamPCP olarak izlenen bir tehdit aktörüne atfetti. ## Olay Müdahalecileri İçin Dersler Kanjani'ye göre temel çıkarım, kuruluşların SBOM'ların ve bağımlılık envanterlerinin ötesine bakması ve olay müdahalesini üretimde gerçekten neler çalıştığına dayandırması gerektiğidir. Odak, güvenlik ekiplerinin olayları tanımlamasını, kapsamını belirlemesini, önceliklendirmesini ve kontrol altına almasını sağlamak ve etkilenen hizmetlere ve bir ihlalin potansiyel kapsamına gerçek zamanlı görünürlük sağlamaktır. “Bir çalışma zamanı grafiğini önceliklendiriyorsunuz. Bir bağımlılık dosyasını değil. Araçlarınız bununla uyumlu olmalı,” dedi. Kanjani, kuruluşların dağıtılan SBOM'ları 72 saatten daha eski tutmamasını ve üretim hizmetlerinin yüzde 98'inden fazlasının bu eşiği karşılamasını sağlamaya çalışmasını önerdi. Ayrıca bilinmeyen modül yüklemelerini 90 saniyeden kısa sürede tespit etmeye yönelik çalışma zamanı yeteneklerini etkinleştirmelerini ve dahili paket adlarının benzerlerinin 24 saat içinde yayınlanmasını tespit etmek için günlük kayıt defteri kontrolleri yapmalarını önerdi. Kanjani, bunların kuruluşların kendi ortamları için kalibre etmesi gereken hedefler olduğunu, evrensel referanslar olmadığını belirtti. Ayrıca güvenlik ekiplerinin operatöre değil operasyona odaklanması gerektiğini söyledi. “Kimlik sinyalleri döner. Operasyonel gereklilikler dönmez. Tespiti, solucanın işlev görebilmesi için yapması gereken şeye göre kurun, kimin yönettiğine göre değil.” Güvenlik olayı hakkında paydaşlarla yapılan tüm iletişimlerin doğrudan ve açık olması gerekiyor. Esas olan dürüst olmak, dedi, ayrıntıları hedef kitleye uygun bir dilde sunmayı da sağlamak şartıyla. “Saçmalama. Gerçeği onların sindirebileceği bir şekilde anlat,” dedi. “Panik satmak istemezsin.” --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/sbom-tek-basina-tedarik-zinciri-saldirisinin-kapsamini-gostermiyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.