サプライチェーン攻撃とは

正解：B. 社内専用のパッケージは組織が管理する名前空間に置いて社内の置き場からだけ取得するように設定し、ロックファイルで版とハッシュ値を固定する

依存関係の混乱は、ソフトウェアのサプライチェーン攻撃の一種です。パッケージの管理ツールの中には、複数の置き場を参照し、同じ名前があれば版番号の大きいほうを選ぶ設定のものがあり、攻撃者はそれを悪用して、社内の名前と同じ不正なパッケージを取り込ませます。対策は、社内のパッケージに組織が管理する名前空間(スコープ)を使い、その名前空間を社内の置き場だけに結び付けて、どの置き場から取得するかを明示することです。さらに、ロックファイルで依存するパッケージの版とハッシュ値を固定すれば、知らないうちに別のものに置き換わることを防げます。公開の置き場に組織の名前空間を先に登録しておくことも、なりすましを防ぐのに役立ちます。

正解：C. コード署名は誰が署名したかと署名後の改ざんの有無を示すだけなので、開発元はビルドの環境を守り、利用者は信頼するソフトウェアの振る舞いも監視する

コード署名は、署名した者が誰かと、署名の後に内容が変えられていないことを確かめる仕組みで、署名の前に混ぜられた不正なコードは見分けられません。ソフトウェアのサプライチェーン攻撃の代表例であるSolarWinds社の事件では、ビルドの途中で不正なコードが加えられたため、署名付きの正規の更新として多くの組織に届きました。2024年3月に発覚したxz-utilsのバックドアでも、長い期間をかけて開発者として信頼を得た人物が、配布用のファイルに不正なコードを紛れ込ませていました。開発元はビルドの環境を分離して守り、ソースからビルドまでの来歴を記録して検証し、利用者は信頼しているソフトウェアでも、不審な通信や振る舞いをEDRなどで監視することが大切です。