ソフトウェア・サプライチェーンとは｜サイバーセキュリティ.com

ソフトウェア・サプライチェーン｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. ソフトウェア・サプライチェーン
             

ソフトウェア・サプライチェーン

フトウェア・サプライチェーン（Software Supply Chain）とは、ソフトウェアの開発・リリース・運用に至る一連のプロセスにおいて、関わるすべてのツールやライブラリ、開発者、ベンダー、インフラストラクチャなどを含む複雑なネットワークを指します。現代のソフトウェア開発では、多くのオープンソースライブラリやサードパーティ製のソフトウェアコンポーネントを活用することが一般的であり、これにより開発効率が向上します。しかし同時に、サプライチェーン全体に潜むセキュリティリスクが増加しているため、「ソフトウェア・サプライチェーンのセキュリティ」は今や重要なテーマとなっています。

ソフトウェア・サプライチェーンの構成要素

1. オープンソースおよびサードパーティのライブラリ

ソフトウェアに組み込まれるオープンソースやサードパーティのライブラリは、開発効率を向上させますが、脆弱性が発見された場合、そのままシステム全体のリスクになります。依存ライブラリの管理が重要です。

2. パッケージマネージャーとリポジトリ

パッケージマネージャーやリポジトリは、ソフトウェアコンポーネントの取得・更新に使用されますが、リポジトリの偽装や改ざんが発生すると、攻撃者が悪意のあるコードを混入させるリスクがあります。

3. ビルドおよびCI/CDツール

ソースコードから製品ソフトウェアを生成するビルドツールや、継続的インテグレーション/継続的デリバリー（CI/CD）ツールもサプライチェーンの重要な構成要素です。ビルド環境やCI/CDパイプラインが侵害されると、信頼性のないソフトウェアがリリースされるリスクがあります。

4. サードパーティのサービスやAPI

サードパーティ製のAPIや外部サービスも、システムの一部として組み込まれることが多く、これらのサービスが攻撃を受けたり脆弱性を含んでいた場合、間接的にシステム全体がリスクにさらされます。

5. コンテナおよびクラウド環境

コンテナやクラウドプラットフォームもサプライチェーンの一部として組み込まれます。クラウドの設定ミスやコンテナのイメージに脆弱性があると、攻撃者がアクセス可能な経路を得る危険があります。

ソフトウェア・サプライチェーン攻撃の手法

1. リポジトリのハイジャック

攻撃者が公式リポジトリにアクセスし、ライブラリやパッケージにマルウェアを仕込む手法です。ユーザーは公式のライブラリとしてインストールするため、不正コードが気づかれることなく展開される恐れがあります。

2. サードパーティ製ソフトウェアの改ざん

ソフトウェアベンダーの公式サイトやリポジトリを改ざんし、悪意のあるコードを注入する攻撃です。2020年に発生した「SolarWinds事件」では、IT管理ソフトウェア「Orion」が攻撃者によって改ざんされ、ユーザーに配布されました。

3. サプライチェーンにおけるインサイダー攻撃

サプライチェーンに関わる関係者が悪意を持って内部から攻撃するケースです。関係者がソースコードに悪意のあるコードを仕込んだり、外部の攻撃者にパイプラインの情報を流したりすることがあります。

4. 悪意のあるコンテナイメージの配布

攻撃者がコンテナレジストリに不正なコンテナイメージをアップロードし、それが使用されることで、コンテナ内部に悪意のあるコードが実行されるケースです。

5. ソフトウェアアップデートを悪用した攻撃

公式のソフトウェアアップデートを悪用して、不正なソフトウェアが配布される手法です。自動更新機能を備えたソフトウェアに対しては特に脅威となります。

ソフトウェア・サプライチェーン攻撃の事例

1. SolarWinds事件（2020年）

SolarWinds社のネットワーク監視ツール「Orion」が攻撃者によって改ざんされ、ユーザーにマルウェア付きのアップデートが配布されました。この攻撃により、複数の米国政府機関や企業が標的となり、大規模な情報漏洩が発生しました。

2. Codecov事件（2021年）

ソフトウェアテストのためのツール「Codecov」において、攻撃者がビルドスクリプトを改ざんし、ユーザーの環境変数やシークレット情報が外部に送信されるようにしました。これにより、ユーザーのシステム上で悪意のある行動が可能となり、企業情報の漏洩が発生しました。

3. npmリポジトリのパッケージ改ざん

npmリポジトリ上にある人気のJavaScriptパッケージに不正なコードが仕込まれ、攻撃者がユーザーのデバイスにマルウェアを送り込んだ事件も多発しています。特に依存関係の多いオープンソースライブラリでは、こうしたリスクが増加しています。

ソフトウェア・サプライチェーン攻撃の対策

1. ソフトウェアコンポジション分析（SCA）の実施

SCAツールを使用して、サードパーティやオープンソースのコンポーネントの脆弱性とライセンス情報をチェックします。これにより、既知の脆弱性を含むライブラリやパッケージがソフトウェアに組み込まれるリスクを減らせます。

2. 署名とハッシュによる検証

パッケージやライブラリの真正性を保証するために、ソフトウェアのデジタル署名やハッシュ値を確認するプロセスを組み込みます。これにより、改ざんが行われていないかの確認が可能になります。

3. ソースコードのスキャンとレビュー

コードスキャンツールや手動レビューにより、内部コードにおける脆弱性や悪意のあるコードが混入していないかチェックします。自社開発のコードだけでなく、サードパーティ製のコードも含めて確認することが重要です。

4. セキュリティ監査とペネトレーションテスト

定期的なセキュリティ監査やペネトレーションテストを実施し、サプライチェーン全体の安全性を確認します。特にCI/CDパイプラインやクラウド環境は、攻撃対象になりやすいため、重点的な監査が必要です。

5. サードパーティのリスク評価と管理

新たなサードパーティ製品やサービスを導入する際は、リスク評価を行い、ベンダーのセキュリティ対策についても確認します。また、ベンダー契約時には、セキュリティに関する条項を設けることで、責任範囲を明確化します。

6. サプライチェーン全体の可視化とモニタリング

サプライチェーン全体を可視化し、コンポーネントや依存関係を把握します。また、運用中も脆弱性が発見された場合に即座に通知が行われるように、モニタリング体制を整備します。

ソフトウェア・サプライチェーン攻撃の課題

1. 依存関係の複雑さ

ソフトウェア開発では多くのサードパーティ製のコンポーネントが依存関係として組み込まれるため、その依存構造が非常に複雑になることがあり、どの部分が脆弱かの把握が難しい場合があります。

2. サプライチェーンの透明性の欠如

サプライチェーン全体を完全に可視化することは難しく、多層構造においては、どのベンダーがどのようなセキュリティ対策を取っているかが不透明になることがあります。

3. リソースの制約

サプライチェーン全体にわたって脆弱性管理を徹底するには、人的・資金的リソースが必要です。また、依存関係の多いプロジェクトでは、脆弱性対策を迅速に行うための体制整備が重要です。

まとめ

ソフトウェア・サプライチェーンは、効率的なソフトウェア開発には欠かせない要素ですが、その複雑性と多様性から、セキュリティリスクが増大しています。ソフトウェア・サプライチェーン攻撃に対処するためには、サードパーティ製のコンポーネントの監視や、リポジトリの管理、脆弱性の継続的なモニタリングが重要です。ソフトウェア・コンポジション分析（SCA）の活用や、サプライチェーン全体の可視化によって、サイバーリスクを事前に検知し、システム全体のセキュリティを確保することが求められます。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。