C
月内に
SBOM（ソフトウェア部品表）だけではサプライチェーン攻撃の全容を把握できないことが、Shai-Hulud攻撃などの事例から明らかになりました
📌 一言でいうと
SBOM（ソフトウェア部品表）だけではサプライチェーン攻撃の全容を把握できないことが、Shai-Hulud攻撃などの事例から明らかになりました。SBOMは静的な構成リストに過ぎず、実際にどのサービスが稼働し、どのコードが実行されているかというリアルタイムの可視性が不可欠です。防御側は、SBOMに加えて実行時のコード分析やサービス依存関係の監視を組み合わせる必要があります。
🔍該当判定
- 自社でソフトウェア開発を行っており、SBOM（ソフトウェア部品表）を導入・運用している
- 外部から提供されたソフトウェアの構成リスト（SBOM）をセキュリティ管理に利用している
- サプライチェーン攻撃対策として、SBOMによる脆弱性検知ツールを導入している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
SBOMの導入だけでなく、実行時の可視化ツール（Runtime Observability）を導入し、実際にどのコンポーネントがメモリ上で動作しているかを監視すること。また、依存関係の動的な分析をセキュリティ運用に組み込むことを推奨します。