実務チェックリスト
開発ツール・OSSサプライチェーン確認チェックリスト
TeamCityなどのCI/CD基盤、開発者向け拡張機能、OSSパッケージの脆弱性・侵害情報を受け取ったら、サーバーとエージェント、開発端末、トークン、設定、キャッシュ、監査ログ、成果物をまとめて確認する。
- 対象者
- 開発者
- 緊急度
- 重大インシデント
- 領域
- 開発者セキュリティ
- 難易度
- 中級
- 所要時間
- 約13分
- 最終更新
- 2026-08-11
このページを現場で使う
チェック状態はこの端末のブラウザにだけ保存されます。メモや機密情報は保存しません。
確認進捗
完了 0/0いつ使うか
TeamCity CVE-2026-63077のようなCISA KEV、GitHub Advisory、パッケージ・拡張機能の侵害情報、Secret Scanning通知、CIの不審実行やエージェント登録を受け取った直後に使う。
誰が使うか
SREまたは開発基盤担当がリポジトリとCIを確認し、セキュリティ担当が端末・トークン・監査ログの確認を進める。
エスカレーション条件
未修正の外部公開CI/CD基盤、不審なビルドエージェント・管理者・設定・成果物、対象期間の該当パッケージ利用、長期トークン、GitHub・レジストリ・クラウドの不審利用がある場合は重大インシデントへ上げる。
何を確認するか
TeamCity、Nx Console、TanStackなどCI/CD・開発ツール・OSSパッケージの脆弱性や侵害情報を受け取ったとき、サーバー、ビルドエージェント、拡張機能、依存関係、トークン、監査ログ、成果物を確認するチェックリスト。
なぜ重要か
開発ツールやOSSパッケージは正規の名前と配布経路で利用されるため、侵害時に気づきにくい。開発端末やCIには高価値な資格情報が集まりやすく、更新だけでは不十分になる。
見落とすと何が起きるか
対象パッケージの削除だけで終えると、すでに露出した可能性のあるGitHub、npm、クラウド、SaaSの長期トークンが残り、後続アクセスに使われる可能性がある。
確認前に準備するもの
- JetBrainsなどのベンダー公式情報、GitHub Advisory、CISA KEV、NVD、対象製品・パッケージ、対象バージョン、対象期間
- CI/CDサーバーとビルドエージェントの台帳、公開範囲、対象リポジトリ、lockfile、CI実行履歴、開発端末、パッケージキャッシュ
- GitHub PAT、GitHub App、Actions Secrets、npm token、クラウド資格情報、SaaS APIキーの台帳
確認後に残すべき記録
- 確認したCI/CDサーバー、エージェント、端末、リポジトリ、lockfile、対象バージョンの有無
- 失効・再発行したトークン、権限変更、監査ログ確認範囲
- 未確認端末・エージェント、残存キャッシュ、再ビルド・再検証対象の成果物、再確認日
利用有無と対象期間を確認する
資格情報を失効・再発行する
監査ログと不審操作を見る
復旧と再発防止を進める
よくある質問
開発ツール・OSSサプライチェーン確認チェックリストは何のためのチェックリスト？
開発ツールやOSSパッケージは正規の名前と配布経路で利用されるため、侵害時に気づきにくい。開発端末やCIには高価値な資格情報が集まりやすく、更新だけでは不十分になる。
いつ使う？
TeamCity CVE-2026-63077のようなCISA KEV、GitHub Advisory、パッケージ・拡張機能の侵害情報、Secret Scanning通知、CIの不審実行やエージェント登録を受け取った直後に使う。
誰が対応する？
SREまたは開発基盤担当がリポジトリとCIを確認し、セキュリティ担当が端末・トークン・監査ログの確認を進める。
確認漏れがあると何が起きる？
対象パッケージの削除だけで終えると、すでに露出した可能性のあるGitHub、npm、クラウド、SaaSの長期トークンが残り、後続アクセスに使われる可能性がある。
信頼性と注意事項
- 想定環境
- TeamCityなどのCI/CD・ビルドサーバーとエージェント、VS Codeなどの拡張機能、npm/pnpm/yarn、GitHub、クラウド資格情報、SaaS APIキーを利用する開発環境
- 注意
- 悪性コードを実行して挙動を確認しない。公式情報、lockfile、監査ログ、端末管理、シークレット管理画面に基づいて防御側の確認に限定する。
- 最終更新日
- 2026-08-11