ソフトウェアサプライチェーンの脅威

ソフトウェアサプライチェーンに対する攻撃ベクトルは、誰かが意図的に、または誤ってソフトウェアを侵害できる可能性のあるさまざまな方法です。

脆弱性のあるソフトウェアのリスクには、認証情報や機密データの漏洩、データの破損、マルウェアのインストール、アプリケーションの停止などがあります。こうした問題は、時間、費用、お客様の信頼を失う結果になります。

脅威のエントリポイントはソフトウェアライフサイクル全体にわたり、組織の内外から発生します。

ソフトウェアサプライチェーン攻撃のエントリポイントを示す図

この図の凡例には、次の 2 種類の脅威が含まれています。

文字 A から H は、ソフトウェアアーティファクトのサプライチェーンレベル（SLSA）フレームワーク内で脅威脅威として記述される、サプライチェーン内の攻撃ベクトルを示します。
番号 1 から 4 は、SLSA フレームワークが直接記述していない追加の攻撃ベクトルを示します。

Google Cloud のフルマネージドソフトウェアサプライチェーンセキュリティソリューションである Software Delivery Shield には、両方の脅威を緩和するためのベストプラクティスが組み込まれています。

このドキュメントのサブセクションでは、ソース、ビルド、デプロイ、依存関係のコンテキストでの脅威について説明します。

ソースの脅威
ビルドの脅威
デプロイとランタイムの脅威
依存関係の脅威

ソースの脅威

これらの脅威はソースコードの整合性に影響します。

1: 安全でないコードを作成する。安全なコーディング方法がないために、意図せずに脆弱性が記述される可能性があります。安全でないデベロッパーワークステーションにより、悪意のあるコードや安全でないコードが導入される可能性があります。緩和策:
- デベロッパーワークステーション用のポリシー設定 Cloud Workstations は、要件に合わせて調整できるフルマネージドの事前構成済みワークステーションです。
- コードのローカルスキャン。Cloud Code のソース保護（非公開プレビュー）は、依存関係の脆弱性やライセンス情報など、リアルタイムのセキュリティフィードバックを提供します。オンデマンドスキャン API を使用して、デベロッパーはコンテナイメージの OS と言語パッケージの脆弱性をスキャンすることもできます。
- コードのセキュリティを高める方法に関する教育。
A: ソースリポジトリに不正なコードを提出する。これには、悪意のあるコードだけでなく、クロスサイトスクリプティングなどの攻撃に意図せず脆弱性を引き起こすコードも含まれます。緩和策:
- ソースコードの変更に対して人間による審査を要求する。
- IDE およびソース管理システムと統合するコードスキャンおよび lint チェックツールを使用する。
B: ソース管理システムを不正使用する。ソース管理システムやビルドパイプライン内のその他のシステムへのアクセスを制限し、多要素認証を使用することで、このリスクを軽減できます。

ソースの整合性を評価する場合は、ソフトウェアのビルド、デプロイに使用するサポートスクリプトと構成も確認してください。これらのファイルをソース管理システムとコードレビュープロセスに含めると、これらのファイルの脆弱性のリスクを回避できます。

ソースの保護について詳しくは、ソースの保護をご覧ください。

ビルドの脅威

こうした脅威は、ソフトウェアの構築時やパッケージ化時にソフトウェアを危険にさらすか、ソフトウェアのコンシューマを騙して不正なバージョンを使用させます。

C: 信頼できるソース管理システム以外のソースを使用したビルド。このリスクを軽減する緩和策には、次のようなものがあります。
- Cloud Build などのビルドサービスを使用して来歴情報を生成し、ビルドが信頼できるソースを使用していることを検証できます。
- CI/CD インフラストラクチャをネットワーク境界に配置して、ビルドからのデータの引き出しを防ぎます。Google Cloud サービスには、VPC Service Controls を使用します。
- 必要なオープンソース依存関係の信頼できるコピーを Artifact Registry などのプライベートアーティファクトストアに格納して使用します。
D: ビルドシステムを不正使用する。このリスクを軽減する緩和策には、次のようなものがあります。
- ビルドシステムへの直接アクセスを、必要なユーザーだけに制限することで、最小権限の原則に従います。Google Cloud では、適切な事前定義ロールを付与することも、カスタムロールを作成することもできます。
- Cloud Build などのマネージドビルドサービスを使用します。 Cloud Build は、ビルドごとに VM 環境を設定し、ビルド後に破棄することで、エフェメラルビルドのビルドを実行します。
- CI/CD インフラストラクチャをネットワーク境界に配置して、ビルドからのデータの引き出しを防ぎます。Google Cloud サービスには、VPC Service Controls を使用します。
F: 正式なプロセス以外でビルドされたソフトウェアをパッケージ化して公開する。ビルドの来歴を生成して署名するビルドシステムを使用すると、信頼できるビルドシステムによってソフトウェアがビルドされたことを検証できます。
G: 内部または外部ユーザーのためにソフトウェアを保存するリポジトリを不正使用する。このリスクを軽減する緩和策には、次のようなものがあります。
- 必要なオープンソース依存関係の信頼できるコピーを Artifact Registry などのプライベートアーティファクトストアに格納して使用します。
- ビルドとソースの場所を検証します。
- 人間以外の専用のアカウントとリポジトリ管理者に、アップロード権限を制限します。Google Cloud では、サービスアカウントはサービスとアプリケーションの代理として機能します。

デプロイとランタイムの脅威

H: バージョン範囲、または特定のビルドバージョンに永続的にアタッチされていないタグを指定して依存関係を解決すると、いくつかの問題が発生する可能性があります。
- ビルドが最初に使用する依存関係は、同じビルドの今後の実行に使用される依存関係とは異なる場合があるため、ビルドは再現されません。
- 依存関係は、侵害されたバージョン、またはソフトウェアを壊す変更を含むバージョンに解決される可能性があります。不正な行為者は、この不確実性を利用して、使用するバージョンではなく行為者のパッケージのバージョンをビルドに選択させることができます。さまざまな依存関係のベストプラクティスを使用すると、依存関係の混乱のリスクを軽減できます。
2: デプロイプロセスを不正使用する。継続的デプロイプロセスを使用している場合、そのプロセスが侵害されると、ユーザーに提供するソフトウェアに不要な変更が生じる可能性があります。デプロイサービスへのアクセスを制限し、本番前環境で変更をテストして、リスクを軽減できます。Cloud Deploy は、環境間の継続的デリバリープロセスと昇格の管理に役立ちます。
3: 侵害された、または準拠されていないソフトウェアをデプロイする。デプロイポリシーを適用することで、このリスクを軽減できます。Binary Authorization を使用すると、コンテナイメージがポリシーを遵守していることを検証し、信頼できないソースからのコンテナイメージのデプロイをブロックできます。
4: ソフトウェアの実行における脆弱性と構成ミス。
- 新たな脆弱性が定期的に発見されます。つまり、新しい脆弱性が見つかると、本番環境のアプリケーションのセキュリティリスクレベルが変わる可能性があります。
- コンテナによっては、root ユーザーとして実行したり、コンテナの実行中に権限昇格を許可したりするなど、不正アクセスのリスクが高まります。
GKE セキュリティ体制ダッシュボードには、実行中のワークロードの OS の脆弱性と構成の問題に関する情報が表示されます。

Cloud Run では、デプロイしたリビジョンに関するセキュリティ分析情報（デプロイしたコンテナイメージの既知の脆弱性など）を表示することもできます。

ソースの保護については、ビルドの保護をご覧ください。また、デプロイの保護については、デプロイの保護をご覧ください。

依存関係の脅威

依存関係には、ビルド内の直接依存関係と、すべての推移的依存関係（直接依存関係の下流にある依存関係の再帰ツリー）が含まれます。

この図の E は、ビルドで不適切な依存関係を使用していることを示します。不適切な依存関係には、次のようなものが含まれます。

アプリケーションが依存するソフトウェア（内部で開発したコンポーネント、商用のサードパーティソフトウェア、オープンソースソフトウェアなど）。
その他の攻撃ベクトルからの脆弱性。次に例を示します。
- 攻撃者がソース管理システムにアクセスし、プロジェクトで使用する依存関係のバージョンを変更します。
- ビルドには、組織内の別のチームが開発したコンポーネントが含まれています。ビルドを公開し、ローカルの開発環境から直接コンポーネント公開し、テストとデバッグのためにのみローカルで使用するライブラリに誤って脆弱性が入れられます。
パブリックリポジトリからオープンソースの依存関係を意図的に削除します。この削除によって、パブリックリポジトリから直接依存関係を取得すると、消費するパイプラインが壊れる可能性があります。

リスクを軽減する方法については、依存関係のベストプラクティスをご覧ください。

脅威の軽減

サプライチェーンの全体的な整合性の強度は、最も脆弱な部分と同程度です。攻撃ベクトルを無視すると、サプライチェーンのその部分で攻撃のリスクが高まります。

同時にすべての変更を行う必要はありません。ソフトウェアサプライチェーンのセキュリティには、スイスチーズモデルとしてよく知られた累積アクションエフェクトが適用されます。実装した各緩和策によってリスクを軽減できます。また、サプライチェーン全体で緩和策を組み合わせることで、さまざまな種類の攻撃に対する保護を強化できます。

組織が脅威を検出、対処、修正する能力を評価するのに役立つフレームワークとツールを使用して、セキュリティ体制を評価します。
ソフトウェアサプライチェーンを保護するベストプラクティスについて学習し、それらのベストプラクティスをサポートするように設計された Google Cloud プロダクトについて学習します。
Software Delivery Shield を使用して、Google Cloud 上のソフトウェアサプライチェーン全体でソフトウェアを保護します。優先度と既存のインフラストラクチャに基づいて、サービスを段階的に実装できます。

ソフトウェア サプライ チェーンの脅威