IT資格用語解説情報処理安全確保支援士試験・仮
サプライチェーン攻撃
更新日:
用語解説
サプライチェーン攻撃 は、標的組織を直接攻撃する代わりに、取引先、委託先、ソフトウェア部品、更新配布基盤などの信頼関係を悪用して侵入・侵害する攻撃です。
■ 試験で押さえるポイント
委託先や取引先のアカウント・ネットワークを踏み台にする。
OSSライブラリやパッケージへ悪意あるコードを混入する。
ビルド環境や署名鍵を侵害し、正規更新を装って配布する。
委託先管理、アクセスの最小権限、SBOMとSCAによる構成把握、コード署名・来歴の検証、ビルド環境の分離、更新後の監視を組み合わせます。
署名が正しいだけでは、署名鍵や配布元自体が侵害された場合を防げません。