サプライチェーン攻撃の事例や各種ツールにおける対策について
#セキュリティ
#サプライチェーン攻撃
#書きかけ
ランタイム
Deno
パーミッションシステムや
deno.lock
などの仕組みを提供
npm
のライフサイクルスクリプト経由での攻撃への対策として
--allow-scripts
という仕組みがある
Bun
npm
のライフサイクルスクリプト経由での攻撃への対策として、
trustedDependencies
という仕組みがある
パッケージマネージャー
aqua
セキュリティのために
Cosign
や
SLSA
などの仕組みが活用されています
Homebrew
pnpm
Shai-Hulud
攻撃の発生を受けて、
v10.16.0
で
minimumReleaseAge
オプションが追加
npm
jsr
Dependabot
事例
tj-actions/changed-files
サードパーティ製のカスタムアクションを使用する際は、
git tag
ではなくコミットハッシュによって参照するとよい (
pinact
などのツールを使用すると便利)
vscode
Codecov
Shai-Hulud
2025/09ごろに発生した
npm
レジストリへの大規模サプライチェーン攻撃