サプライチェーン攻撃

シーケンス図「サプライチェーン攻撃の広がり方」。参加者5人、ステップ9個。 【参加者】（左から右） - 攻撃者: 毒を仕込む人 - OSSパッケージ: メンテナ / 上流 - レジストリ: npm / PyPI など - あなたの開発・CI: install / build - 利用者・本番: 配布先 【流れ】（上から下へ） ── ① 仕込み（上流をひそかに汚す） ── 1. 攻撃者 → OSSパッケージ: アカウント乗っ取り / 悪意ある貢献 2. OSSパッケージ → レジストリ: 毒入りの新バージョンを公開 3. レジストリ（自身で処理）: 「最新版」として配信可能に ── ② 取り込み〜拡散（あなた経由で下流へ） ── 4. あなたの開発・CI → レジストリ: 依存を追加 / 更新（install） 5. レジストリ → あなたの開発・CI: 毒入りバージョンを取得（応答） 6. あなたの開発・CI（自身で処理）: インストール時スクリプトが自動実行 7. あなたの開発・CI → 攻撃者: 認証情報・トークンを外部送信 8. あなたの開発・CI（自身で処理）: ビルド成果物に毒が混入 9. あなたの開発・CI → 利用者・本番: 製品として配布される

業務フロー図「どこで食い止めるか（多層防御の関所）」。レーン3本、工程7個。 【レーン（担当）】（左から右） - 取り込み: あなた / CI - 防御ゲート: 3つの関所 - 結果: 止める / 安全に取り込む 【図の符号】色つきの工程=焦点 【工程】（上から下へ。担当 → 工程名） ── フェーズ: 持ち込み（依存の更新） ── 1. 取り込み: 依存を追加 / 更新〔開始・終了〕 ── フェーズ: 関所（3つの防御） ── 2. 防御ゲート: 公開から数日たっている?〔分岐〕（① クールダウン） 数日経過 → 固定したバージョン・ハッシュと一致? 公開直後 → 保留：数日待って再確認 3. 結果: 保留：数日待って再確認〔開始・終了〕（公開直後は受け入れない） 4. 防御ゲート: 固定したバージョン・ハッシュと一致?〔分岐〕（② 固定・整合性） 一致 → ビルドは最小権限・隔離されている? 不一致・改ざん → 取り込みを中止 5. 結果: 取り込みを中止〔開始・終了〕（改ざん・権限過大を検知） 6. 防御ゲート: ビルドは最小権限・隔離されている?〔分岐〕（③ 最小権限・隔離） 隔離OK → 安全に取り込む / ビルド 権限過大 → 取り込みを中止 ── フェーズ: 受け入れ（安全に採用） ── 7. 取り込み: 安全に取り込む / ビルド〔開始・終了〕（3つの関所を通過）