GitHub Advanced Security Zorunlu Kılma: Ne Değişti?
GitHub, enterprise yöneticilerinin kendi seviyelerinde tanımladığı GitHub Advanced Security yapılandırmalarını organizasyonlar genelinde zorunlu kılmasına imkan tanıyor. Artık enterprise düzeyinde belirlenen ayarları yalnızca repository sahipleri değil, organization yöneticileri de geçersiz kılamıyor. Güvenlik ve uyum ekipleri için bu, politikanın alt katmanlarda sessizce değiştirilmesini engelleyen bir kontrol noktası.
Değişiklikten önce ve sonra
Duyuruya göre zorunlu kılma (enforcement) mekanizması daha önce yalnızca repository sahiplerinin ilgili ayarları değiştirmesini engelliyordu. Enterprise seviyesinde bir güvenlik yapılandırması tanımlansa bile, organization yöneticisi seviyesindeki bir kullanıcı bu ayarları kendi kapsamında değiştirebiliyordu. Büyük yapılardaki klasik sorun da buradan doğuyordu, politikayı merkezde tanımlıyorsunuz ama sahadaki uygulanma durumu organizasyondan organizasyona farklılaşıyor.
Yeni davranışta zorunlu kılmanın kapsamı genişledi. Enterprise yöneticileri artık tanımladıkları güvenlik yapılandırmasının hem repository hem de organization sahipleri tarafından değiştirilemeyeceği bir mod seçebiliyor. Böylece enterprise’ta tanımlanan neyse, organizasyonda uygulanan da o oluyor.
Enforcement menüsündeki üç seçenek
Bir güvenlik yapılandırması (security configuration) içinde zorunlu kılma davranışı, “Enforcement” açılır menüsündeki üç seçenekten biriyle belirleniyor:
- Don’t enforce: Yapılandırma zorunlu kılınmaz. Ayarlar alt seviyelerde değiştirilebilir, yapılandırma bir standart ya da öneri gibi davranır.
- Enforce for repository owners: Repository sahipleri enterprise seviyesinde tanımlanan ayarları geçersiz kılamaz. Değişiklik öncesinde de var olan davranış budur.
- Enforce for repository and organization owners: Yeni eklenen seçenek. Hem repository hem de organization sahipleri için geçersiz kılma engellenir, yapılandırma enterprise seviyesinden aşağı doğru bütünüyle uygulanır.
Seçim tek bir açılır menü üzerinden yapıldığı için mevcut bir yapılandırmayı daha katı bir moda taşımak da, gerektiğinde gevşetmek de operasyonel olarak basit bir işlem. Kaynak duyuru bunun ötesinde ek bir kurulum adımı ya da ön koşul belirtmiyor.
Pratikte çözdüğü sorun
Çok sayıda organizasyon ve repository barındıran enterprise yapılarında güvenlik politikalarının en büyük düşmanı tutarsızlık. Merkezi ekip bir taban çizgisi tanımlar, farklı ekiplerin yönettiği organizasyonlarda bu taban çizgisi zamanla aşınır. Kimi organizasyonda bir özellik kapatılır, kimi organizasyonda “geçici olarak” devre dışı bırakılan ayar kalıcı hale gelir. Uyum raporu ile gerçek durum arasındaki fark da böyle büyür.
Organization sahiplerini de kapsayan zorunlu kılma seçeneği tam olarak bu aşınmayı hedefliyor. Politikanın tanımlandığı seviye ile uygulandığı seviye aynı hizaya geldiğinde, denetim sorularına verilen yanıt “tanımladık” olmaktan çıkıyor, “tanımladık ve alt seviyelerde değiştirilemiyor” haline geliyor. Güvenlik ve uyum ekipleri açısından kanıtlanabilirlik anlamında belirgin bir fark bu.
Geçişte dikkat edilecekler
Duyuru davranışın nasıl ayarlanacağını anlatıyor, ama katı moda geçişin organizasyonlarınızda yaratacağı etkiyi yalnızca siz bilebilirsiniz. Geçişi planlarken şu başlıkları kendi ortamınız üzerinde değerlendirmek mantıklı olur:
- Mevcut sapmaları önce görün. Hangi organizasyonların enterprise taban çizgisinden farklı ayarlarla çalıştığını çıkarmadan katı moda geçmek, beklenmedik davranış değişikliklerine yol açabilir.
- İletişimi önceden yapın. Organization sahipleri, bugüne kadar değiştirebildikleri ayarların artık kendilerine kapalı olacağını bilmeli. Yoksa destek talepleri zorunlu kılmanın hemen ardından yığılır.
- Kademeli ilerleyin. “Don’t enforce” ve “Enforce for repository owners” seçeneklerinin varlığı, doğrudan en katı moda geçmek zorunda olmadığınız anlamına gelir. Aşamalı bir yol geri dönüş maliyetini düşürür.
- İstisna ihtiyacını netleştirin. Gerçekten farklı davranması gereken repository veya organizasyonlar varsa, bunların hangi yapılandırma altında yönetileceğine katı moda geçmeden önce karar vermek gerekir.
Hangi yapılar için anlamlı bir iyileştirme
Bu geliştirme özellikle merkezi bir AppSec veya uyum ekibi bulunan, çok sayıda organizasyonu tek bir enterprise altında yöneten yapılar için değerli. Tek bir organizasyonla çalışan ve ayarları zaten merkezden yöneten küçük ekiplerde pratik etki daha sınırlı olabilir, çünkü orada politika ile uygulama arasındaki mesafe zaten kısa. Organizasyon sayısı arttıkça alt seviyede yapılan her geçersiz kılmanın izini sürmek hızla maliyetli hale geliyor, zorunlu kılma da bu manuel takip yükünü azaltıyor.
Güvenlik yapılandırmalarının kapsamı, hangi ayarların bu yapılandırmalar üzerinden yönetilebildiği ve tam kapsama (complete coverage) kurgusunun nasıl oluşturulduğu GitHub’ın resmi dokümantasyonunda anlatılıyor. Katı zorunlu kılma moduna geçmeden önce bu dokümanı kendi enterprise yapınızla birlikte okumak, sürpriz yaşamamak için iyi bir adım olur.
Kaynaklar ve İleri Okuma
- GitHub Changelog: Enforce GitHub Advanced Security configurations
- GitHub Docs: Security configurations ile tam kapsama oluşturma
- GitHub Advanced Security’de Bütçe Sınırı: Kontrol Artık Sıkı
- GitHub Advanced Security Deneme Erişimini Genişletti
20+ yıl deneyimli Azure Solutions Architect. Microsoft sertifikalı bulut mimari ve DevOps danışmanı. Azure, yapay zekâ ve bulut teknolojileri üzerine Türkçe teknik içerikler üretiyor.
Yorum gönder