Apivom Kaynak Kod Güvenliğine Nasıl Yaklaşıyor

Çoğu güvenlik sayfası kontrolleri sıralar ve orada durur. Bu yazı, kendi kaynak kodumuz için ne yaptığımızı, üzerine kurulu olduğumuz platformlardan ne devraldığımızı ve neyi iddia etmediğimizi anlatıyor.

İki platform üzerinde üç uygulama

Apivom'un kodu GitHub Enterprise Cloud üzerinde duruyor, canlı platform ise Microsoft Azure üzerinde çalışıyor. Bunun üzerine üç uygulamayı taviz vermeden zorunlu kılıyoruz:

• Depolarımızda GitHub Dependabot ile otomatik bağımlılık güvenlik açığı taraması.
• Kaynak koduna erişen her mühendis için zorunlu iki adımlı doğrulama.
• Canlı platformun önünde, Azure Front Door Premium ile web uygulama güvenlik duvarı (WAF) ve DDoS koruması.

Aşağıda her birini tek tek açıyor, ardından sınırı nerede çizdiğimizi net biçimde ortaya koyuyoruz.

Bağımlılık taraması: kodunuzun çoğu başkalarının kodu

Modern bir uygulama büyük ölçüde başkalarının paketlerinden oluşur. Her paket, yayına aldığımız koddur. Bu yüzden bir bağımlılıktaki bilinen açık, tek satırını bile biz yazmamış olsak da ürünümüzdeki bir açıktır.

Dependabot, depolarımızdaki bağımlılıkları yayımlanmış güvenlik bültenleriyle karşılaştırır. Kullandığımız bir paketin bilinen bir açığı olduğunda uyarı üretir. Düzeltilmiş bir sürüm varsa güncelleme için bir pull request açar. Bu pull request, diğer her değişiklikle aynı inceleme ve kalite kontrollerinden geçer.

Tarama otomatik ve her zaman açıktır, kimsenin çalıştırmayı hatırlaması gerekmez. Düzeltme sıradan bir pull request olduğu için özel bir sürece de ihtiyaç duymaz.

Sınırları net: Dependabot, bağımlılıklardaki bilinen açıkları yakalar. Yazdığımız kodu incelemez ve henüz kimsenin bildirmediği bir açığı bulamaz. Bunu bir garanti değil, savunmanın tek bir katmanı olarak görüyoruz.

Koda dokunabilen herkes için iki adımlı doğrulama

Kaynak koduna erişim, bir mühendislik ekibinin sahip olduğu en hassas erişimlerden biridir. Kodu değiştirebilen bir hesabın çalınan parolası, üretime giden bir yoldur.

Bu yüzden GitHub kuruluşumuzda, kaynak koduna erişen her mühendis için iki adımlı doğrulamayı zorunlu tutuyoruz. Bu bir öneri değil, bir koşuldur. Önerilen ayarlar zamanla aşınır. Zorunluluk ise takip gerektirmez.

Aynı ilkeyi partner erişimi için Partner API Erişimi için Passkey'ler yazısında da anlattık: kimlik bilgisini bir kişiye bağlarsanız denetim izi gerçekten bir anlam kazanır.

GitHub'ın sertifikaları ne anlama gelir, ne anlama gelmez

Kaynak kod yönetimimiz, kod incelememiz ve otomasyonumuz GitHub Enterprise Cloud üzerinde çalışıyor. GitHub; SOC 1 Type II, SOC 2 Type II ve SOC 3 raporlarına, ISO/IEC 27001:2022, ISO/IEC 42001:2023 ve PCI DSS sertifikalarına sahiptir. Ayrıca üçüncü taraflara sızma testi yaptırır ve bir hata ödül programı yürütür.

Bu sertifikalar GitHub'ın kendi altyapısını ve operasyonlarını kapsar. Apivom'u sertifikalandırmaz. Şu anda kendimize ait bir SOC 2 ya da ISO/IEC 27001 sertifikamız yok. Net olarak söyleyebileceğimiz şu: kodumuzun çalıştığı platform bağımsız denetimden geçiyor, kendi uygulamalarımızı da burada eksiksiz paylaşıyoruz — bizi bunlarla hesaba çekebilirsiniz.

Canlı platform: önde Azure Front Door

Apivom'un uygulama altyapısı Microsoft Azure üzerinde çalışır. Varsayılan konum Batı Avrupa'dır. Verinin nerede durduğu üzerinde tam denetim istediğinizde ise kendi Azure kiracınızda çalışabilir. Genel trafik platforma Azure Front Door Premium üzerinden ulaşır, bu katmanda WAF ve DDoS koruması vardır.

WAF, istekleri uygulamaya ulaşmadan önce süzer ve yaygın saldırı kalıplarıyla otomatik kötüye kullanıma maruziyeti azaltır. Güvensiz kodu güvenli hale getirmez — yukarıdaki uygulamaların var olma nedeni tam olarak budur.

Neyi iddia etmiyoruz

• Kendimize ait bir SOC 2 ya da ISO/IEC 27001 sertifikamız yok.
• GitHub'ın sertifikaları GitHub'a aittir, Apivom'a değil.
• Bağımlılık taraması bilinen açıkları bulur, bilinmeyenleri bulmaz.
• Bunların hiçbiri sizin kendi değerlendirmenizin yerini tutmaz.

Her tedarikçiye sorulacak dört soru

1. Bağımlılık taraması otomatik mi, yoksa birinin hatırlaması mı gerekiyor?
2. İki adımlı doğrulama zorunlu mu, yoksa yalnızca öneriliyor mu?
3. Sertifika tedarikçinin mi, yoksa barındırma platformunun mu?
4. Genel trafik nereden giriyor ve onu ne süzüyor?

Bir güvenlik incelemesi mi yürütüyorsunuz? Aynı dört soruyu bize sorun — cevaplamaya hazırız. Açıklama politikamız ve güvenlik iletişim bilgilerimiz güvenlik sayfasında, şirket hakkında daha fazlası ise hakkımızda sayfasında yer alıyor.