Datadog raporu - bulut iş yüklerinde yüksek ve kritik zafiyet sayısı altı ayda dört katına çıktı
Datadog'un bulut güvenliği raporuna göre bulut iş yüklerindeki yüksek/kritik zafiyetlerin medyan sayısı Mayıs–Kasım arasında dört katına çıktı. Rapor, uzun ömürlü AI API anahtarları ve 24 saatten yeni bağımlılık sürümlerinin hızla üretime alınmasını da risk olarak öne çıkarıyor.
Gözlemleme ve güvenlik şirketi Datadog, 10 Kasım'da yayımladığı bulut güvenliği raporunda bulut iş yüklerinde bulunan yüksek ve kritik önem dereceli zafiyetlerin medyan sayısının Mayıs ile Kasım arasında dört katına çıktığını öne sürdü. Infosecurity Magazine'in aktardığına göre şirket bu artışı frontier AI modellerinin zafiyet keşfini hızlandırmasına bağlıyor; rakamlar Datadog'un kendi müşterilerinin verisine dayanan şirket iddiasıdır.
Veri, Datadog Code Security'nin Software Composition Analysis (SCA) özelliğiyle izlenen uygulamalardaki üçüncü taraf kütüphanelerden toplandı. Rapor, CVE veritabanındaki artışın "teorik bir risk olmadığını", bulutta çalışan gerçek uygulamaları etkilediğini savunuyor.
Uzun ömürlü anahtarlar hâlâ en büyük kapı
Rapora göre Gemini kullanan kurumların yaklaşık yarısı uzun ömürlü Gemini API anahtarları kullanıyor. AWS IAM ve Google Cloud Service Account kullanıcıları arasında üç yıldan eski erişim anahtarına sahip olanların oranı yüzde 30'a yaklaşmış. Datadog, Pacu gibi red team araçları ve TruffleHog gibi secret tarayıcılarının aşırı yetkili anahtarları ölçekli biçimde bulabildiğini, aynı araçların otonom saldırganların da elinde olduğunu hatırlatıyor.
Bağımlılıklar 24 saat dolmadan üretimde
Raporun tedarik zinciri bulgusu dikkat çekici: incelenen kurumların yüzde 60'ı, yayımlanalı 24 saatten az olmuş bağımlılık sürümlerini çalıştırıyor; bu sürümler bulut uygulamalarının yüzde 21'inde görülüyor. Bulutta çalışan bir uygulamanın ortalama 149, bir kurumun ise ortalama 568 yazılım bağımlılığı bulunuyor. Ele geçirilen kütüphanelerin genellikle birkaç saat içinde topluluk tarafından fark edildiğini belirten Datadog, yeni sürümlere "bekleme süresi" (dependency cooldown) uygulanmasını öneriyor. Bu, sitede bugün yazdığımız GhostAction'ın yeni varyantı gibi tedarik zinciri saldırılarına karşı da en ucuz önlemlerden biri.
Ne yapılmalı?
- Bedrock, Gemini ve benzeri AI servislerine statik API anahtarı yerine iş yükünün kısa ömürlü kimliğiyle (IAM role, managed identity, service account) erişin; Datadog'un önerisi de bu yönde.
- Bulut hesaplarınızda üç yıldan eski erişim anahtarlarını envanterleyin ve rotasyon takvimine bağlayın. AWS'de bu bilgi IAM › Credential report ekranında, Google Cloud'da IAM › Service accounts › Keys sekmesinde salt okunur olarak görülebilir.
- Paket yöneticisi ve CI/CD tarafında yeni yayımlanan sürümlerin otomatik alınmasına bir bekleme süresi koyun; lock dosyalarıyla sürümleri sabitleyin.
- SCA taramalarını yalnızca derleme anında değil, çalışan iş yükleri için de periyodik yapın; yeni CVE'ler eski sürümleri de geriye dönük etkiliyor.
