CI/CD pipeline'larını nasıl güvenliğe alırsınız?

Question

Accepted Answer

CI/CD pipeline'ları **güvenlik açısından kritiktir** — kaynak kod, kimlik bilgileri ve üretim dağıtımına erişim sağlarlar. Tehlikeye atılan bir pipeline felaket olabilir (supply chain saldırıları). Pipeline'ların güvenliğini sağlamak, sırları, pipeline'ın kendisini, bağımlılıkları ve üretilen artifact'ları korumayı içerir.

## Neden önemli

```text
Pipelines are a HIGH-VALUE TARGET — they have powerful access:
  → SOURCE CODE, deployment CREDENTIALS, production ACCESS, secrets
  → a compromised pipeline can inject malicious code into your software (SUPPLY CHAIN
    ATTACK — affecting all your users) or steal credentials/deploy malicious versions
→ Real, serious attacks (SolarWinds, etc.) targeted build/CI systems.
```

## Pipeline'ı güvenliğe almak

```text
✓ SECRETS — secure secrets store/manager; never hardcoded; short-lived creds (OIDC);
  least privilege for pipeline credentials
✓ ACCESS CONTROL — restrict who can modify pipelines/approve deploys; protect main;
  require reviews for pipeline changes (pipeline config IS code to protect)
✓ ISOLATE — ephemeral, isolated build environments (don't reuse dirty runners);
  limit what the pipeline can access (least privilege)
✓ Protect SELF-HOSTED RUNNERS (a common attack vector); keep tooling patched
```

## Supply chain güvenliği

```text
✓ SCAN DEPENDENCIES — for known vulnerabilities (SCA: Dependabot, Snyk); pin versions;
  beware malicious/typosquatted packages
✓ SCAN code (SAST) and container IMAGES (vulnerabilities)
✓ Verify INTEGRITY — sign artifacts/commits; SBOM (software bill of materials);
  provenance (SLSA framework) — verify what's built and from what
✓ Trusted base images and sources; minimize third-party actions/plugins (vet them)
→ SHIFT SECURITY LEFT — catch issues early in the pipeline.
```

## Neden önemli

CI/CD pipeline'larını nasıl güvenliğe alacağınızı anlamak, senior düzey önemli bir bilgidir çünkü pipeline'lar **güvenlik açısından kritik, yüksek değerli hedeflerdir** ve bunların tehlikeye atılması felaketli olabilir, bu nedenle modern dağıtım için temel güvenlik bilgisidir.

Pipeline'lar **güçlü erişime sahiptir** — kaynak kod, dağıtım kimlik bilgileri, üretim erişimi ve sırlar — onları birinci sınıf hedef haline getirir: tehlikeye atılan bir pipeline **yazılımınıza kötü amaçlı kod enjekte edebilir** (**supply chain saldırısı** tüm kullanıcılarınızı etkileyerek) veya kimlik bilgilerini çalıp kötü amaçlı sürümler dağıtabilir.

Bu teorik değildir — **gerçek, ciddi saldırılar (SolarWinds gibi) derleme/CI sistemlerini hedef aldı**, bu da pipeline güvenliğini gerçek, yüksek riskli bir konuyu haline getirdi.

**Pipeline'ı güvenliğe almayı** anlamak — sırları güvenli bir şekilde yönetmek (secrets store'ları, kısa ömürlü kimlik bilgileri, en az yetki ilkesi), **erişim kontrolü** (pipeline'ları değiştirebilecek ve dağıtımları onaylayabilecek kişileri kısıtlamak, pipeline yapılandırmasını kritik kod olarak korumak, incelemeler gerektirmek) ve **izolasyon** (efemeral derleme ortamları, genel saldırı vektörü olan self-hosted runner'ları korumak) — pipeline'ın kendi güvenliğini ele alır.

**Supply chain güvenliğini** anlamak giderek daha kritik hale gelmiştir: **bağımlılıkları güvenlik açıkları açısından taramak** (ve kötü amaçlı/typosquatted paketlere dikkat etmek), kod ve image'ları taramak ve **bütünlüğü doğrulamak** (artifact'ları imzalamak, SBOM'lar, SLSA gibi çerçeveler aracılığıyla kaynakçasını — major tehdit haline gelen supply chain saldırılarına karşı korumak.

**Güvenliği sola kaydırma** ilkesi (sorunları pipeline'da erken yakalamak) bunu bir araya getirir.

CI/CD pipeline'ları güvenlik açısından kritik olduğundan (güçlü erişime sahip ve bunların tehlikeye atılması felaketli supply chain saldırılarına izin veren, gerçek olaylar gösterdiği gibi) ve bunları güvenliğe almak (sırlar, erişim kontrolü, izolasyon ve supply chain güvenliği) bu ciddi tehditler karşı temel olduğundan, CI/CD pipeline'larını nasıl güvenliğe alacağınızı anlamak, önemli, güvenlik açısından kritik senior düzey bilgidir — supply chain saldırılarının gerçek ve artan tehdidi göz önüne alındığında, senior rollerin dağıtım pipeline'larını oluştururken ve korurken beklediği güvenlik sorumluluğunu yansıtan yüksek öncelikli bir alandır.