サプライチェーン攻撃

サプライチェーン攻撃は、標的の組織を直接攻撃する代わりに、取引先、委託先、ソフトウェアの部品、更新の配布の仕組みなどの信頼関係を悪用して侵入する攻撃です。

■ 試験で押さえるポイント

• セキュリティの弱い委託先や取引先を踏み台にして、標的に侵入します。

• オープンソースの部品や、ソフトウェアの更新プログラムに悪意のあるコードを入れて配布します。

• 委託先の管理、SBOMによる部品の把握、署名と出所の確認で対策します。

■ 過去問での着眼点

正規の署名があっても、配布元や署名の鍵が侵害されていれば防げない点を押さえます。

例: ソフトウェアの開発会社の更新サーバが乗っ取られ、正規の更新プログラムにマルウェアが混入されます。