サプライチェーン
サプライチェーン攻撃 対策ガイド
依存パッケージや開発ツールを経由した攻撃が増えています。本ハブでは、サプライチェーンリスクの理解から開発端末・CI/CD・シークレット保護までを横断的に整理します。
Quick start
いま必要な対応から選ぶ
まず押さえる用語
マルウェア 悪意のあるソフトウェアの総称。ウイルス・ワーム・トロイの木馬・ランサムウェア・スパイウェア・アドウェアなどが含まれる。感染経路は… XSS 攻撃者が悪意のあるスクリプトをWebページに埋め込み、他ユーザーのブラウザで実行させる攻撃。反射型・蓄積型・DOMベースの3種類… CSRF 認証済みユーザーに悪意のあるサイトを訪問させ、意図しないリクエストをターゲットサイトに送信させる攻撃。CSRFトークンとSame… サプライチェーン攻撃 ソフトウェアのビルドパイプライン・オープンソースライブラリ・ITベンダーなど「信頼されたサプライヤー」を踏み台にして最終標的に侵… SBOM ソフトウェアを構成するライブラリ、依存関係、バージョン、供給元を一覧化した部品表。… SCIM IdPとSaaS間でユーザー作成、更新、無効化、グループ同期を自動化するための標準プロトコル。… SLSA ソフトウェア成果物のビルド、来歴、改ざん耐性を段階的に高めるためのサプライチェーンセキュリティフレームワーク。… DLP 機密情報や個人情報が意図せず外部へ送信・共有・保存されることを検知・制御する仕組み。… CORS ブラウザが異なるオリジン間のリソース共有を安全に制御するための仕組み。… Secrets Management APIキー、パスワード、証明書、暗号鍵などの秘密情報を安全に保管、配布、ローテーションする運用。…
実務で使う（チェックリスト・対応手順）
関連する脆弱性（CVE）
関連ニュース・解説
- セッションハイジャックが疑われるときの初動対応｜Cookie・トークン漏えい確認チェックリスト
- ソフトウェア資産台帳の作り方 ─ CVE対応・SBOM・SaaS棚卸しを速くする実務ガイド
- pnpmの複数アドバイザリ公開：開発端末とCIでまず確認すること
- Webhook署名シークレット漏えい時の初動対応 ─ 確認方法とローテーション手順
- OIDCクライアントシークレット更新手順 ─ OAuthログイン停止とsecret漏えいを避ける確認方法
- GitHub Secret Scanningアラート初動対応 ─ トークン漏えい時にまず確認すること
- Nx ConsoleとTanStackのサプライチェーン侵害：開発端末で確認すること
- マネーフォワードGitHub不正アクセス ─ リポジトリコピーから考える開発組織の初動