サプライチェーン攻撃対策の「実効」を継続検証するGitHub監査基盤を内製した話

はじめに こんにちは、スマートラウンドの@shonansurvivors です。 近年、サプライチェーン攻撃のニュースを目にする機会が増えてきました。弊社でも各種の対策を打ってきたのですが、その「実効」を継続的に保証する仕組みが手薄でした。 本記事では、その実効監査のために内製した社内監査基盤の設計思想と、なぜ既存ツールではなく自作したのか、そしてどのようなチェック処理を書いているのかをご紹介します。 要約 弊社ではpnpm minimumReleaseAge / GitHub ActionsのSHA pinning / Takumi Guardなど、サプライチェーン対策を段階的に導入してきました ところが「新規リポジトリで未設定だった」「既存リポジトリ配下に後から追加されたnpm / Pythonプロジェクトのサブツリーは未設定だった」「設定はしているがpnpm/npmのバージョンが古く

[nguyen-oi]

エンジニアのこだわりを感じる。例外ルールのexpires_at必須化は真似したい