サプライチェーン攻撃に怯えたくないので、パッケージを「寝かせる」プロキシを自作した - エムスリーテックブログ

こんにちは、セキュリティチームの坂梨です。 皆さん、ソフトウェアサプライチェーン攻撃対策はできていますか。 2025年の Shai-Hulud（大規模なnpmパッケージ侵害事件）以降、ソフトウェアサプライチェーン攻撃が話題に挙がる機会が増えました。特に今年3月末に発生した Trivy と axios の事件は大きく騒がれ、影響調査に追われた方も多いのではないでしょうか。 4月以降も lightning や TanStack などメジャーなライブラリが被害に遭っており、毎朝「さて今日は何が乗っ取られたのかな」とニュースを見る日々を過ごしています。 ライブラリが侵害されるたびに影響調査をするのは大変です。そこで、侵害されたライブラリをインストールするリスクを軽減するため、インストール時にクールダウンタイムを強制するプロキシ（公式レジストリの内容をフィルタして配信する社内用レジストリ）を作り、開

[misshiki]

エムスリーがサプライチェーン攻撃対策に、公開直後のパッケージを隠す社内プロキシ「tengen」を自作。npm、PyPI、RubyGems、Maven、Go、Packagistに対応し、クールダウンタイムを強制。

[knok]

いつも気になるがクールダウンタイム内に誰かが問題を見つけてくれないとどうしようもないよな…

[simplememofast]

前は依存を即最新に追従してたが、サプライチェーン事件以降それが怖い。公開直後の版を一定期間隠すtengenの割り切りは効く。パッチ遅延はどう握る？

[mkusaka]

ソフトウェアサプライチェーン対策に、tengenで公開直後のバージョンを間引きlatestを書き換える。