C
月内に
ソフトウェアサプライチェーン攻撃の傾向が変化し、攻撃者がCI/CDパイプラインや開発環境を直接標的にしています
📌 一言でいうと
ソフトウェアサプライチェーン攻撃の傾向が変化し、攻撃者がCI/CDパイプラインや開発環境を直接標的にしています。具体的には、信頼されたセキュリティスキャナーやAI開発ツールの権限悪用、IDEへの悪意ある拡張機能の導入、GitHub Actionsのキャッシュポイズニングなどの高度な手法が用いられています。開発者のワークステーションから秘密鍵やAPIトークンを窃取し、パイプラインを操作してコードにバックドアを仕込むリスクが高まっています。
🔍該当判定
- GitHub ActionsなどのCI/CDツールを利用して、自動的にプログラムのビルドやデプロイを行っている
- VS Codeなどのエディタ（IDE）に、サードパーティ製の拡張機能やプラグインを導入して開発している
- AIによるコード生成ツールや、自動セキュリティスキャンツールを開発工程に組み込んでいる
- 開発者のPC内で、APIトークンや秘密鍵などの認証情報をファイルとして管理している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. CI/CDパイプラインにおける最小権限原則の徹底と、特権アカウントの厳格な管理。 2. 開発者向けIDE拡張機能の導入制限および審査プロセスの構築。 3. GitHub Actions等のキャッシュ管理のレビューと、OIDC（OpenID Connect）による短期間の認証トークンへの移行。 4. 開発環境からの秘密鍵やAPIトークンの直接保存を禁止し、シークレット管理ツールの利用を強制する。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】CI/CDパイプラインおよび開発環境のハードニングについて
お疲れさまです。CI/CDインフラを標的としたサプライチェーン攻撃の高度化に関する情報共有です。
■ 概要
攻撃者が開発者のIDE、AIツール、およびCI/CDパイプライン（GitHub Actions等）を標的にし、秘密鍵やAPIトークンを窃取してコードを改ざんする手法が観測されています。特にキャッシュポイズニングやOIDCの悪用など、静的な認証情報の窃取に頼らない高度な操作が行われています。
■ 影響範囲
- CI/CDパイプラインを運用している開発環境全体
- IDE拡張機能やAI開発ツールを利用しているエンジニア
■ 対応手順
1. パイプラインにおける権限設定をレビューし、最小権限（Least Privilege）を適用する。
2. 開発環境でのシークレット（APIキー等）のハードコードを禁止し、専用のシークレット管理ツールへ移行する。
3. GitHub Actions等のキャッシュ設定を確認し、信頼できないソースからの汚染を防ぐ設定を検討する。
4. IDE拡張機能のインストール基準を策定し、未承認のプラグイン利用を制限する。
■ 参考情報
- Mandiant: Proactive Defense: Hardening Code Pipelines and CI/CD Infrastructure
対応優先度: 高
対応期限: 次回定例レビューまで
お疲れさまです。CI/CDインフラを標的としたサプライチェーン攻撃の高度化に関する情報共有です。
■ 概要
攻撃者が開発者のIDE、AIツール、およびCI/CDパイプライン（GitHub Actions等）を標的にし、秘密鍵やAPIトークンを窃取してコードを改ざんする手法が観測されています。特にキャッシュポイズニングやOIDCの悪用など、静的な認証情報の窃取に頼らない高度な操作が行われています。
■ 影響範囲
- CI/CDパイプラインを運用している開発環境全体
- IDE拡張機能やAI開発ツールを利用しているエンジニア
■ 対応手順
1. パイプラインにおける権限設定をレビューし、最小権限（Least Privilege）を適用する。
2. 開発環境でのシークレット（APIキー等）のハードコードを禁止し、専用のシークレット管理ツールへ移行する。
3. GitHub Actions等のキャッシュ設定を確認し、信頼できないソースからの汚染を防ぐ設定を検討する。
4. IDE拡張機能のインストール基準を策定し、未承認のプラグイン利用を制限する。
■ 参考情報
- Mandiant: Proactive Defense: Hardening Code Pipelines and CI/CD Infrastructure
対応優先度: 高
対応期限: 次回定例レビューまで
Subject: [Technical Share] Hardening CI/CD Pipelines and Engineering Environments
Hi team,
I am sharing information regarding the increasing sophistication of supply chain attacks targeting CI/CD infrastructure.
■ Overview
Threat actors are systematically targeting the engineering lifecycle by compromising IDEs, AI developer tools, and CI/CD pipelines. Techniques include GitHub Actions cache poisoning and the exploitation of OIDC to manipulate build processes and exfiltrate sensitive credentials.
■ Scope
- All CI/CD pipelines and build infrastructure
- Engineering workstations utilizing IDE extensions and AI tools
■ Recommended Actions
1. Review and enforce the Principle of Least Privilege (PoLP) across all pipeline stages.
2. Prohibit the storage of static secrets in local environments; migrate to centralized secret management tools.
3. Audit GitHub Actions cache configurations to prevent cache poisoning attacks.
4. Establish a vetting process for IDE extensions and AI-assisted coding tools.
■ Reference
- Mandiant: Proactive Defense: Hardening Code Pipelines and CI/CD Infrastructure
Priority: High
Deadline: Next security review cycle
Hi team,
I am sharing information regarding the increasing sophistication of supply chain attacks targeting CI/CD infrastructure.
■ Overview
Threat actors are systematically targeting the engineering lifecycle by compromising IDEs, AI developer tools, and CI/CD pipelines. Techniques include GitHub Actions cache poisoning and the exploitation of OIDC to manipulate build processes and exfiltrate sensitive credentials.
■ Scope
- All CI/CD pipelines and build infrastructure
- Engineering workstations utilizing IDE extensions and AI tools
■ Recommended Actions
1. Review and enforce the Principle of Least Privilege (PoLP) across all pipeline stages.
2. Prohibit the storage of static secrets in local environments; migrate to centralized secret management tools.
3. Audit GitHub Actions cache configurations to prevent cache poisoning attacks.
4. Establish a vetting process for IDE extensions and AI-assisted coding tools.
■ Reference
- Mandiant: Proactive Defense: Hardening Code Pipelines and CI/CD Infrastructure
Priority: High
Deadline: Next security review cycle