草榴社区

「最初に注意を引く」ためにラバの眉间を板切れで叩いて命令に従うようにした男の话は、ユーモアで深刻な话题に注目してもらうことの良い例です。しかし、注目してもらえるまで待つ必要があるとは言えません。

したがって、18,000を超える组织に影响を与えたサイバー攻撃から何か良いものが生まれた场合、それはサイバーサプライチェーンのリスクについての比喩的な”板切れ”として役立つ可能性があります。

専门家は、これらのリスクについて何年も、さらには何十年も警告してきました。物理的なチェーンと同じように、サプライチェーンはその最も弱いリンクと同じくらい强力です。したがって、サプライチェーン内のいずれかの组织（ベンダー、パートナー、请负业者）が安全でない场合、サプライチェーンを抱える组织も安全ではありません。

”コンシューマー”が知っておくべきサプライチェーンのセキュリティリスク

サイバーセキュリティ研究者のAlex Birsanは、Mediumに最近投稿した「」で、ソフトウェアアップデートの仕组みによってマルウェアが拡散した原因の详细を深く掘り下げています。ソフトウェアをサードパーティやオープンソースのコンポーネントから组み立て、自ら构筑していない世界ではソフトウェアを构成するコンポーネントは、サプライチェーンを指数関数的に拡大できる依存関係の轨跡を作成するのです。

また次のように述べています。

「これらのソースのいずれかからパッケージをダウンロードして使用する场合、基本的には、発行元が自分のマシンでコードを実行することを信頼しています。また、この『无条件の信託』は悪意のある攻撃者によって悪用される可能性があります。」

草榴社区 Cybersecurity Research Centerの主任セキュリティストラテジストであるTim Mackeyも同じことを指摘しています。

「最新のソフトウェアは、商用のサードパーティプロバイダーのコードライブラリ、オープンソース?コンポーネント、およびクラウド础笔滨サービスで构成されています。これらの各要素は、一般にアプリケーションと呼ばれるものに流れ込む独立したコードストリームを表しています」

「このモデルの各ストリームには、独自のコードストリームを含めることができます。これらを组み合わせることで、最新のサービスのサプライチェーンが形成されます。そして、サプライチェーン内での侵害がサプライチェーン攻撃なのです。」

または、Paul Ducklinが、に次のように书いています。

「良くも悪くも、最新のパッケージ管理ツールは、必要なパッケージを自动的に识别、取得、ダウンロード、构成、インストールすることで、この依存関係の复雑さを隠すことができます。それに加えて、それらが依存するパッケージなどがあるわけです。」

「これは便利に闻こえますが、おそらくここでうまくいかない可能性のあることがたくさんあると思っているあなたは正しいのです」と彼は书いています。

「复雑な依存関係ツリーは复雑なパッケージサプライチェーンを意味し、复雑なサプライチェーンは攻撃対象领域が大幅に増加することを意味します。」

“消费者”の组织が最初にすべきことの1つは、使用しているものを追跡することです。&苍产蝉辫;ソフトウェアの部品表を保守して使用しているものを追跡し、最新の状态に维持しているという信頼できる保証を手に入れるのです。

その方法については、非常に详细なアドバイスといくつかの有用な情报源があります。
 

提供者に责任を负わせる

シノプシス ソフトウェア?インテグリティ?グループ（SIG）のクリティカル?システム?セキュリティの元ディレクターであり、現在はFarallon Technology Groupの研究担当副社長であるMike Ahmadiと、Schneider ElectricのCSO兼サイバーセキュリティ担当副社長であり、Zen Privataの創設者兼CEOであるGeorge Wrennは、効果的な調達のための言語条項を開発する方法について、2016年のポッドキャストで広範なアドバイスを提供しました。これは、”提供者”またはその他のサードパーティが提供するソフトウェアの品質、信頼性、そして何よりもセキュリティについての発言に対して契約上責任を負うように設計された”言語条項”です。

谁もが知っているように、基本的に人々が何かに署名するときには真剣に理解しようと努める倾向があるからです。
 

オープンソースを自动化されたセキュリティ?テストツールで管理する

第2に、今日のソフトウェアが组み立てられていることはよく知られています（シノプシスが毎年発行するOpen Source Security and Risk Analysis (OSSRA)&苍产蝉辫;レポートで、何年にもわたって文书化されています）。调査したプロジェクトのコードのうち75％をオープンソースが占めているのです。

そのコードの内容を知らず、テストすらしていない組織は、サプライチェーン問題の解決策を求めています。 また、Ahmadiが指摘したように、自動化されたソフトウェア?コンポジション解析ツールは、手动よりも正确かつ迅速に解析してくれるのです。
 

他の人が何をしているか知ることで、何がうまくいくかを学ぶ

Building Security In Maturity Model（BSIMM）は、業界内の他の組織が行っていることと機能していることを文書化することにより、組織がソフトウェア?セキュリティ?イニシアチブを成長および改善するのに役立つ年次報告書です。 そのレポートの作成者は、サードパーティが提供するソフトウェアに焦点を当てた叠厂滨惭惭蝉肠（以前は惫叠厂滨惭惭と呼ばれていました）も提供しています。

シノプシスの主任科学者でBSIMMの共著者であるSammy Miguesは、BSIMMscは「認証と自動化を活用することで、ソフトウェアサプライチェーンのリスク管理の基本的なセキュリティ管理策として機能する」と述べています。言い換えるなら、組織がセキュリティの弱いソフトウェアベンダーを回避するのに役立つということです。

シノプシスの主任コンサルタントであるMichael Fabianは、”消費者”が「国際標準化団体によって概説されたフレームワークに従って、リスクの発見と枠組み作りの演習を実施する」ことを推奨しています。