Yazılım malzeme lı̇stelerı̇ne dayalı güvenlı̇k açığı analı̇zı̇ ve CI/CD süreçlerı̇nde otomatı̇k güvenlı̇k açığı taraması ı̇çı̇n yenı̇ bı̇r model
A new model for vulnerability analysis based on software boms and automated vulnerability scanning in CI/CD processes
Yazar: ÖMERCAN KAĞIZMANDERE
Danışman: DR. ÖĞR. ÜYESİ HALİL ARSLAN
Sivas Cumhuriyet Üniversitesi / Fen Bilimleri Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı
Derece: Yüksek Lisans, 2024
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control

Özet:
Yazılım malzeme listesi, yazılım güvenliği ve yazılım tedarik zinciri yönetiminde önemli bir bileşen olarak 2018 yılında ortaya çıkmıştır. Yazılım malzeme listesi, yazılımları oluşturan bileşenlerin bir listesi olarak sunulan bir envanterdir.  Son yıllarda yazılım ürünlerinin zafiyet içerip içermediği o ürünün kullanıcıları açısından düzenli olarak kontrol edilmesi gereken bir olgudur. Bu çalışma, yazılım malzeme listesi kavramı temelinde yazılım bileşenlerinin sistematik bir şekilde belirlenmesi ve bu bileşenler üzerinden güvenlik açığı analizlerinin yapılmasını ele almaktadır. Bir yazılım ürününün kendisinin güvenlik açığı içermemesi o yazılım ürününün güvenli olduğu anlamına gelmez. Yazılım projeleri tek başına incelendiğinde herhangi bir güvenlik açığı içermese de bileşenlerinde güvenlik açıkları olabilir. Ürünün bağımlılıklarında ya da bileşenlerinde yer alan güvenlik açıkları siber saldırganlar için o ürünün istismar edilmesi için yeterli olabilmektedir. Yazılım bileşenlerinden kaynaklı güvenlik açıklarının yol açtığı tahribatı en aza indirmek, siber güvenlik çalışmalarının temelini oluşturur. Bu çalışmada, yazılım geliştirme/dağıtım ortamlarında (CI/CD) yazılım malzeme listesinin (SBOM) otomatik olarak üretilmesinin ve bu malzeme listesi üzerinden zafiyet analizinin yapılmasının gerekliliği gösterilmiş ve buna uygun bir model önerilmiştir.

Abstract:
The software bill of materials (SBOM) emerged in 2018 as an important component in software security and software supply chain management. SBOM is an inventory presented as a list of the components that make up software. In recent years, whether software products contain vulnerabilities is a phenomenon that should be checked regularly by the users of that product. This paper deals with the systematic identification and vulnerability analysis of software components based on the concept of software bill of materials. The fact that a software product itself does not contain vulnerabilities does not mean that the software product is secure. Even if software projects do not contain any vulnerabilities when examined alone, there may be vulnerabilities in their components. Vulnerabilities in the dependencies or components of the product may be sufficient for cyber attackers to exploit that product. Minimizing the damage caused by vulnerabilities in software components is the basis of cyber security efforts. In this study, the necessity of automatically generating software bill of materials in software development/deployment environments (CI/CD) and performing vulnerability analysis on this bill of materials is demonstrated and a suitable model is proposed.