信頼の連鎖をどう守るか。サプライチェーン脆弱性の構造的分析

現代のアプリケーション開発は、ゼロから全てを記述するのではなく、オープンソースライブラリや外部モジュールを組み合わせる構成が一般的です。この効率的な開発手法は、同時に広大な攻撃表面を構築することになります。一つの依存ライブラリに脆弱性が含まれれば、それを利用する全ての製品に影響が波及します。

バグハンターの視点に立つと、個別の製品を攻撃するよりも、多くの製品が共通して利用する上流のコンポーネントを侵害する方が効率的です。権限を持つ開発者のアカウント奪取や、ビルドパイプラインへの不正なコード混入など、サプライチェーンの弱点は多岐にわたります。