npmパッケージの全量解析から学ぶソフトウェアサプライチェーン攻撃の実態と、開発者・メンテナ観点の守り方
スポンサーセッショントラックBJapanese
taiga
今年は axios や Mastra をはじめ、広く使われる npm パッケージの侵害が相次ぎ、エコシステム全体に影響が及んだ 1 年でした。本セッションでは、こうした侵害事例に加えて、GMO Flatt Security 独自の全量解析パイプラインが捉えた、npm をめぐるソフトウェアサプライチェーン攻撃の実態を紹介します。npmをはじめとした主要レジストリに公開されたパッケージの解析から見受けられる攻撃の型や傾向について解説します。その後、install scriptの既定無効化等のnpm側の変化を踏まえながら、開発者・メンテナそれぞれの立場でできる守り方を整理します。
GMO Flatt Security株式会社
GMO Flatt Securityは"エンジニアの背中を預かる"をミッションに掲げ、ソフトウェアの開発組織とそこで働くエンジニアにとって最適なセキュリティサービスを提供します。世界トップクラスのセキュリティエンジニアによる脆弱性診断・ペネトレーションテストの実施に加え、継続的なセキュリティレビュー・ソフトウェアサプライチェーンリスク対策を行うAIエージェント「Takumi」を開発しています。