Bugün ne yapmalı
Geliştirici cihazlarında kurulum kaynaklarını kurum onaylı yansılarla sınırlayın; dağıtım ve imzalama belirteçlerini kısa ömürlü yapın. Binance'in açıkladığı zincir, saldırının yazılım geliştiricinin kişisel arama ve iş başvurusu alışkanlığından başlayabildiğini gösteriyor. Geliştirici cihazlarında kurulum kaynaklarını (Homebrew gibi paket yöneticileri) kurum onaylı yansılarla sınırlayın; iş başvurusu ve 'ödev' temalı yazışmalardan gelen kod depolarını yalnızca yalıtılmış ortamda açın; konteyner dağıtım ve imzalama belirteçlerini kısa ömürlü yapın ve kurum içi araçların yetkisini en aza indirin. İmzalama ya da yayın servislerinde olağan süreç dışı işlem için ikinci onay ve anomali alarmı bulunsun. Bu adımlar Binance olayına özgü değil: cPGuard'ın güncelleme kanalı da bir güvenlik aracına duyulan güvenin saldırı yoluna dönebildiğini gösterdi. Tedarikçi güncellemelerinde imza doğrulaması, aşamalı dağıtım ve sırların rotasyonu için hazır bir plan bulundurun.
