安全な依存関係管理

現代のアプリケーションは、数百に及ぶサードパーティパッケージをインポートします。それぞれの依存関係と、その推移的依存関係によって攻撃対象領域が広がります。Log4j の Log4Shell のように、人気のあるライブラリの脆弱性によって、数千のアプリケーションが同時に危険にさらされる可能性があります。

ロックファイル（package-lock.json、yarn.lock、Pipfile.lock）は、推移的依存関係を含むすべての依存関係を正確なバージョンに固定します。ロックファイルはバージョン管理にコミットしてください。これにより再現可能なビルドが保証され、脆弱性を引き起こす意図しないバージョンアップを防止できます。

SCA ツールは、依存関係ツリーを CVE データベースと照合してスキャンし、脆弱なパッケージを特定します。OWASP Dependency-Check、Snyk、GitHub Dependabot は、既知の脆弱性を自動的に検出し、修正方法の案内とともに修正済みバージョンを提案します。

Dependabot と Renovate Bot は、新しい互換性のあるバージョンが利用可能になると、自動的に PR を作成します。これらはセキュリティ更新を優先します。CI に合格したパッチ更新に対して自動マージを設定すると、手作業を最小限に抑えながら依存関係を最新の状態に保てます。

依存関係を追加する前に、ダウンロード数、最近のコミット状況、未解決Issueの数、ライセンスの互換性、既知のCVEの履歴を確認します。保守されていない代替パッケージよりも、十分に保守され、積極的なセキュリティ対応プロセスが整備されたパッケージを優先します。

直接依存するパッケージは、それぞれ独自の依存関係を取り込みます。event-streamのインシデントでは、攻撃者が数百万のパッケージで使用されていた推移的依存関係を掌握しました。直接依存するパッケージだけでなく、依存関係ツリー全体を監査します。

依存関係の混乱攻撃では、内部パッケージと同じ名前の悪意あるパッケージを公開レジストリに公開します。スコープ付きパッケージ名、プライベートレジストリの認証、.npmrcまたはpip.confで承認済みレジストリを許可リストに登録することで、リスクを軽減します。

Software Bill of Materials（SBOM）は、ソフトウェアに含まれるすべてのコンポーネントを機械可読形式で一覧化したものです。SyftまたはCycloneDXを使用してSBOMを生成します。新しいCVEが公開された際、SBOMによって脆弱性の影響を迅速に評価できます。影響を受けるバージョンを数分で特定できます。

OSSライセンスには遵守すべき義務があります。GPLではソースコードの開示が必要になる場合があります。MITとApache 2.0は寛容なライセンスです。FOSSAとTLDR-Legalは、ライセンスの互換性評価に役立ちます。商用製品にGPLが意図せず混入するのを防ぐため、CIにライセンススキャンを組み込みます。

CDNでホストされるスクリプトに対するSubresource Integrity（SRI）では、integrity属性に暗号学的ハッシュを指定します。npmのpackage.jsonにはintegrityフィールドが含まれています。CIでパッケージをダウンロードする際にチェックサムを検証し、サプライチェーンの改ざんを検出します。

重大な脆弱性については、CVEの公開から24～48時間以内にセキュリティパッチを適用します。優先順位付けにはCVSSスコアと悪用可能性のデータを使用します。破壊的変更を伴うパッチ適用済みの依存関係であっても、本番環境に悪用可能な脆弱性を残すよりは適切です。

依存関係の混乱攻撃とは何ですか。

安全な依存関係管理には、ロックファイルでのバージョン固定、CI/CDでのSCAスキャンの実行、パッチ更新の自動化、影響評価のためのSBOM生成、導入前の新しい依存関係のセキュリティ態勢の評価が必要です。