ソフトウェアサプライチェーンセキュリティ とは？

自分が書いたコード以外にも、使っているライブラリ・ビルドツール・CI/CDパイプラインなど「ソフトウェアを作って届けるまでの流れ」全体を守ることだよ。自分のコードは安全でも、使っているライブラリに悪意あるコードが混入していたら意味がないよね。

2020年のSolarWinds事件が有名だよ。攻撃者がITシステム管理ソフトのビルドプロセスに侵入して、正規のソフトウェアアップデートの中にマルウェアを仕込んだんだ。18,000以上の組織が影響を受けて、米国政府機関も被害を受けた大規模なサプライチェーン攻撃だよ。

関係あるよ！Log4Shellは2021年に発見されたJavaのログライブラリ「Log4j」の深刻な脆弱性だよ。Log4jはあまりにも多くのソフトウェアが依存していたため、自分では全く関係ないと思っていたサービスも影響を受けた。「使っているライブラリの脆弱性」というサプライチェーンリスクの典型例だね。

まずSBOM（ソフトウェア部品表）を整備することだよ。自分のソフトウェアが依存しているすべてのコンポーネントとバージョンを把握するリストだね。次にDependabotなどのツールで依存ライブラリの脆弱性を自動検知して素早くアップデートすること。CIパイプライン自体の保護（シークレット管理・権限の最小化）も重要だよ。

GitHubのActionsなどCI環境は多くのシークレット（APIキーやデプロイ鍵）を持つ攻撃の宝庫なんだ。悪意あるサードパーティのGitHub Actionsを使ったり、mainブランチへの直接プッシュを許可していたりすると乗っ取られるリスクがある。アクションのバージョンをコミットハッシュで固定するなど、CIの入口も厳重に守る必要があるよ。