npmサプライチェーン攻撃の脅威と対策 - iimon TECH BLOG

1. はじめに 2. npmサプライチェーン攻撃の系譜 2-1. サプライチェーン攻撃とは 2-2. 代表的な攻撃手法 悪意あるパッケージの新規公開 タイポスクワッティング ディペンデンシーコンフュージョン 既存パッケージの改ざん 2-3. 取り込まれた後の動作 2-4. 起こり得る被害 3. スロップスクワッティングとは 4. 日頃の対策 4-1. インストール前にパッケージ情報を確認する 4-2. ライフサイクルスクリプトの実行を無効化する 4-3. すぐに新しいバージョンにアップグレードしない 4-4. lockfile とバージョン固定 4-5. 継続的に依存関係を監視する 4-6. 認証情報を必要最小限に 4-7. AI活用時の追加の注意 5. 発覚した場合の対応 6. まとめ 参考 1. はじめに こんにちは！株式会社ｉｉｍｏｎでエンジニアをしている遠藤です。 AIが実在しない