What is Supply Chain Security?

サプライチェーンのセキュリティが重要な理由

サプライチェーン攻撃 は、近年ますます脅威になっています。 SolarWindsやKaseyaなどの 注目を集めるサイバー攻撃は、攻撃者が単一の組織を侵害し、信頼関係を悪用して顧客ネットワークにアクセスすることで、攻撃の影響を劇的に高めることができることを示しています。

また、サイバー犯罪者は、オープンソースのライブラリやコードリポジトリを標的にして攻撃を行うのが一般的です。 これらのライブラリへの感染に成功した場合、侵害されたライブラリを使用しているすべてのアプリケーションも影響を受けます。 ほとんどのアプリケーションは複数の異なるライブラリに依存しており、依存関係は何層にもわたる深さになることがあります。 サプライチェーンセキュリティソリューションは、組織がソフトウェアサプライチェーンの依存関係を可視化し、攻撃者によって挿入された悪用可能な脆弱性やバックドアを効果的に特定して修復するのに役立ちます。

サプライチェーンセキュリティのベストプラクティス

サプライチェーン攻撃は、組織に重大なリスクをもたらし、劇的な影響を与える可能性があります。 企業は、サプライチェーン攻撃を防止したり、その影響を最小限に抑えたりするために、さまざまな対策を講じることができます。 サプライチェーンセキュリティのベストプラクティスには、次のようなものがあります。

• 最小権限: 最小特権の原則では、ユーザー、アプリケーション、システムなどは、その役割に必要なアクセスとアクセス許可のみを持つ必要があると述べています。 アクセスを最小限に抑えることで、侵害されたアプリケーションやサプライヤーが引き起こす可能性のある損害を制限できます。
• ネットワークのセグメント化: ネットワーク セグメンテーションは、目的と信頼レベルに基づいてネットワークを複数の部分に分割します。 ネットワーク セグメンテーションにより、攻撃者が検出されずに企業ネットワーク内を移動することがより困難になります。
• DevSecOps: DevSecOps は、セキュリティを開発ライフサイクルに統合することを提唱しています。 開発プロセスの早い段階で潜在的なセキュリティ上の懸念を考慮することで、組織はアプリケーションが本番環境に到達する前にサプライチェーンの脆弱性を特定して修正できる可能性があります。
• 脆弱性スキャン: 脆弱性スキャナーは、アプリケーションの既知と未知の脆弱性の両方を特定できる可能性があります。 定期的な脆弱性スキャンにより、組織はサードパーティコードの新しい脆弱性を特定し、迅速に対応できます。
• ソフトウェア・コンポジション解析(SCA): SCA は、アプリケーション内の依存関係を自動的に識別します。 SCAを実行することで、組織はサードパーティコードの使用を可視化し、そのコードに脆弱性や潜在的なバックドアがないか監視することができます。
• 自動セキュリティ: プロアクティブな防御は、組織に対する攻撃のリスクと影響を最小限に抑えるために不可欠です。 SOC アナリストは、予防に重点を置いた防御を使用して、Web アプリケーションをセキュリティで保護する必要があります。
• 脅威ハンティング: 脅威ハンティングとは、組織の環境内で未知の脅威をプロアクティブに検索することです。 脅威ハンティングは、サプライチェーン攻撃によって企業システムにアクセスした攻撃者を特定するのに役立ちます。