ソフトウェアサプライチェーンセキュリティ とは？

ソフトウェアは、自分が書いたコードだけでできているとは限らないよ。外部のライブラリやビルドツール、配布の仕組みも使う。そのどこかで脆弱性が残ったり、悪意ある変更が入ったりすると、利用者へ届くソフトにも影響する。この経路まで含めて守る考え方なんだ。

違うよ。部品に意図せず残った欠陥が悪用される場合と、攻撃者がコードや配布物を不正に変える場合がある。前者では脆弱性の確認や修正、後者では権限の保護、変更のレビュー、配布物の確認などが必要。スキャンだけで、両方の問題が全部なくなるわけではないんだ。

SBOMは、どんな部品やバージョンを含むかを把握するための部品表だよ。脆弱性が見つかったとき、関係するソフトを探す助けになる。ただし部品表を作るだけで、不正なコードを防いだり脆弱性を直したりはできない。内容を更新し、確認結果に応じて対応する必要があるんだ。

コードを作るCI環境の権限を必要最小限にし、秘密情報を守り、変更をレビューするよ。GitHub Actionsの公式案内では、外部アクションを完全なコミットSHAで固定し、そのコードも確認することを勧めている。固定は意図せぬ差し替えを防ぐ助けになるけれど、固定先の内容の安全性を保証するものではないんだ。

署名は期待した相手のものか、来歴はどのソースやビルド工程から作られたかを確認する判断材料になるよ。受け取った証拠を、期待する配布元や条件と照合することが大切。正規の経路で作られたソフトにも脆弱性はあり得るので、部品の把握と修正、作成・配布経路の保護を組み合わせよう。