サプライチェーン攻撃に怯えたくないので、パッケージを「寝かせる」プロキシを自作した - エムスリーテックブログ

こんにちは、セキュリティ担当の坂梨さんです。皆さんは、使っているソフトウェアが「安全なものか」ちゃんと確認できていますか？

最近、ソフトウェアを作る上で「サプライチェーン攻撃」という言葉をよく耳にするようになりました。これは、ソフトウェアを作る過程で使われる部品（パッケージ）に、悪意のあるコードが仕込まれてしまう攻撃のこと。2025年に起きた「Shai-Hulud」という大きな事件以降、この問題がますます注目されています。

普段、私たちがソフトウェアを開発するときは、インターネット上にある色々な部品（パッケージ）を組み合わせて、新しいものを作っていきます。これは、レゴブロックで何かを作るのに似ていますね。でも、そのレゴブロックの一つに、実は変なものが混ざっていたらどうでしょう？気付かずに使ってしまうと、作ったもの全体が危なくなってしまうかもしれません。これが、ソフトウェアサプライチェーン攻撃の怖いところです。

エムスリーのセキュリティチームでは、このリスクにどう向き合うか考えた結果、「パッケージを寝かせる」というユニークな方法を試しました。これはどういうことかというと、インターネットから直接、最新のパッケージをすぐに使うのではなく、一度「待機場所」のようなもの（プロキシサーバー）を通してから使うようにしたのです。この「待機場所」では、パッケージが安全かどうかをチェックしたり、しばらく様子を見たりする時間を設けます。つまり、すぐに最新のものに飛びつくのではなく、少し時間を置いて、安全を確認してから使うようにする、というわけです。

この「寝かせる」という考え方は、まるで料理をする前に、食材を一度冷蔵庫で冷やして、新鮮かどうかを確認するのに似ています。すぐに使わずに、少し時間を置くことで、万が一、問題のあるパッケージが紛れ込んでいても、被害を最小限に抑えることができる、という狙いがあるのです。

このように、最新の技術や便利なツールを使うときほど、その裏に潜むリスクに目を向けることが大切です。エムスリーの取り組みは、私たち開発者全員が、より安全にソフトウェア開発を進めるためのヒントを与えてくれます。