9月に起きたnpmエコシステムを狙った大規模なサプライチェーン攻撃があった。

一番ゾッとしたのは、自分が直接追加した覚えのない「間接依存パッケージ」を経由して侵入され、普段使いの npm install を実行しただけで認証情報が盗まれるという攻撃構造だ。

エンジニアにとって日常作業であるコマンド実行自体が、実質的に任意コード実行のリスクを伴っていると突きつけられるのは恐怖でしかない。

そこでどうすれば安全にnpmを使えるのか、攻撃の構造と現実的な対策を整理してみた。

  • 開発速度とセキュリティのバランス
    脆弱性検知の閾値を最初から厳しくしすぎず、現場の運用負荷を見極めて段階的に引き上げるのが現実的だ。 例えば、脆弱性の深刻度が「Critical」や「High」の場合は即座に修正するが、「Moderate」や「Low」の場合は、まずは警告を出すだけに留めて、開発者が自分の判断で対応できる余地を残す、といった運用が考えられる。 開発の手を止めすぎる過剰な制御は現場で形骸化しやすいため、こうした調整こそが実用に耐えうるラインだと感じる。
  • データベースのタイムラグへの割り切り
    脆弱性DBに登録される前のゼロデイ攻撃に対してはツールによる検知を過信せず、スクリプト実行を無効化する設定（.npmrc での ignore-scripts=true）や「新バージョンは即マージせず数日寝かせる」といった人的な運用ルールで防御線を張るのが現実的である。

サプライチェーン攻撃への対策は、単一のツールで完結するものではない。

自動化された検証プロセスと人間の運用の落としどころをどう設計するかという点が、現実的なリスク管理の肝になると感じた。

引用・参照元