Kubernetes の 4C モデルで整理する ECS Fargate のサプライチェーン攻撃対策 - Timee Product Team Blog

はじめに はじめまして、プラットフォームエンジニアリング本部に所属している徳富(@yannKazu1)です。 みなさん、サプライチェーン攻撃って気にしてますか？ npm パッケージの乗っ取り（ua-parser-js 事件）、GitHub Actions の改ざん（tj-actions/changed-files 事件）、依存パッケージへのバックドア混入（xz-utils 事件）……。ここ数年、OSS を取り巻くセキュリティの前提がガラッと変わってきています。正直、「いつ・どこから仕掛けられるかわからない」状況です。 しかもサプライチェーン攻撃って、攻撃側のコストが低いわりに被害範囲が広いのが厄介なんですよね。 そんなわけで、ECS Fargate 環境におけるサプライチェーン攻撃対策を整理してみようと思ったのですが、いきなり全部を洗い出そうとしてもカオスになるだけ。何かいいフレームワーク

[mkusaka]

Kubernetes 4CでECS Fargateのサプライチェーン対策整理。commit SHAピンニングやVPC Endpoint、GuardDutyなどをチェック

[nguyen-oi]

4Cモデルで整理するのは良いけど、結局人間がどこかで鍵を漏らすのが最大の脆弱性なんだよな