C
月内に
ソフトウェア開発ライフサイクル（SDLC）のサプライチェーンを標的とした攻撃が急増しています
📌 一言でいうと
ソフトウェア開発ライフサイクル（SDLC）のサプライチェーンを標的とした攻撃が急増しています。攻撃者は、XZ Utilsのバックドア（CVE-2024-3094）のように、信頼されるコントリビューターを装ったり、npmパッケージなどのライブラリにマルウェアを混入させたりする手法を用いています。開発ツールやコード自体の信頼性を確保することが、現代のセキュリティにおいて不可欠となっています。
🔍該当判定
- 自社でJavaScriptなどのプログラム開発を行っており、npmなどのパッケージ管理ツールを利用している
- Axiosなどの外部ライブラリを組み込んでWebアプリケーションを開発・運用している
- Linuxサーバーを運用しており、XZ Utilsなどのオープンソースソフトウェアをインストールして利用している
- 開発者が外部の公開リポジトリからコードをダウンロードして社内システムに組み込んでいる
上記いずれにも該当しない（自社でプログラム開発を行っていない） → 静観でOK
✅該当時の対応
依存関係にあるライブラリの整合性チェックを導入し、信頼できないパッケージの利用を制限すること。また、開発環境の権限管理を徹底し、サプライチェーン攻撃の兆候を検知できる監視体制を構築することを推奨します。