供給チェーン攻撃とは？
きょうきゅうちぇーんこうげき
供給チェーン攻撃とは、ソフトウェアやハードウェアの開発・配布過程に不正に介入し、利用者のシステムに被害を与えるサイバー攻撃の手法です。
供給チェーン攻撃（サプライチェーン攻撃）とは、標的組織を直接狙うのではなく、その組織が信頼して使用するソフトウェアベンダー・オープンソースライブラリ・ハードウェアメーカーなどのサプライヤーを経由して侵害を広げる攻撃手法です。被害者は正規のルートから入手したソフトウェアをインストールするため、攻撃を検知することが非常に困難です。
代表的な攻撃パターンをまとめると次のとおりです。
- ソフトウェアビルドへの混入：開発環境やCI/CDパイプラインを侵害し、正規ソフトウェアの更新ファイルにマルウェアを混入させる
- オープンソースパッケージの乗っ取り：npmやPyPIなどのパッケージリポジトリへ悪意ある版を公開する
- タイポスクワッティング：よく使われるパッケージ名に似た名前の偽パッケージを公開して取り込みを狙う
- ハードウェアへの改ざん：製造・流通段階でデバイスにバックドアを仕込む
2020年に発覚したSolarWinds事件では、IT管理ソフトのアップデートに悪意あるコードが混入され、米国政府機関など数千組織が侵害を受けたことで広く知られるようになりました。対策としては、依存ライブラリの定期的な監査・SBOMによるソフトウェア部品表の管理・コード署名の検証・最小権限の原則の徹底などが挙げられます。
使い方・例文
「自社開発のアプリが使っている外部ライブラリが乗っ取られ、供給チェーン攻撃によってユーザー情報が漏洩するリスクがある」という文脈で登場します。
この用語をシェア
最終更新: