オープンソースのエコシステムは、現代のソフトウェア開発の礎であり、イノベーションとコラボレーションを促進します。しかし、そのオープンさゆえに、さまざまなサイバー脅威にさらされやすいのです。 Comparitechによるレポート2023年には、100億種類以上のマルウェアと潜在的に不要なアプリケーション（PUA）が確認され、マルウェア関連の攻撃が依然として深刻なサイバー脅威であることを示している。
オープンソースパッケージに新たなマルウェアファミリーが出現
インストール改ざんマルウェア
仕組み： この種のマルウェアは、オープンソースパッケージのインストールプロセスを妨害します。パッケージのインストール中に悪意のあるコードを注入し、そのコードはパッケージが使用されるたびに実行される可能性があります。
悪用された脆弱性： インストール改ざん マルウェアはユーザーの信頼を悪用します オープンソースのリポジトリに配置されている点、およびパッケージのインストールプロセス中に厳格なセキュリティチェックが行われていない点。
保護戦略: インストール改ざんマルウェアから保護するためには、検証済みで署名済みのパッケージを使用すること、リポジトリアカウントに二要素認証を有効にすること、および依存関係の定期的なセキュリティ監査を実施することが不可欠です。
Install-Tamperの悪意のあるコードの例：npmパッケージ「colors」（2022年）
説明:
「colors」パッケージは、コンソールログにカラー効果を追加するために使われる人気のnpmライブラリです。様々なNode.jsアプリケーションで広く利用されています。
仕組み：
2022年初頭、 「カラー」パッケージ メインファイル内に無限ループスクリプトが組み込まれるよう、悪意を持って改変されていた。 この変更はプロジェクトの管理者自身によって行われたもので、十分な支援や寄付なしに企業がオープンソースプロジェクトを利用することへの抗議として行われたとされている。
影響：
この改変により、改ざんされたバージョンの「colors」を使用しているアプリケーションはすべてクラッシュし、このパッケージを業務に利用していた多数の企業やソフトウェアシステムに広範な混乱が生じた。
学んだ教訓：
この事件は、オープンソースパッケージ管理の信頼に基づくモデルに内在する脆弱性を浮き彫りにしています。これは、メンテナーが倫理的な standardまた、ユーザーが開発環境におけるサードパーティの依存関係を徹底的にレビューおよびテストすることも重要です。「colors」の事例は、オープンソースのメンテナーを支援して燃え尽き症候群や非倫理的な報復を防ぐことの重要性も強調しています。
初回使用時のバックドア
仕組み： このバックドアは、オープンソースパッケージが初めてインポートされ使用された際に作動します。システム情報をリモートサーバーに送信したり、追加のペイロードをダウンロードしたりすることができます。
悪用された脆弱性： 初回使用バックドアは、パッケージの初回使用時に未検証のコードが実行されることを利用し、多くの場合、静的解析ツールを回避します。
保護戦略: 新規にインポートされたパッケージのコードをレビューおよび監視し、動的解析ツールを使用して異常な動作を検出することは、初回使用バックドアに対する防御の鍵となります。
初回使用時のバックドアの例：Webminバックドア事件（2019年）
説明:
Webminは、Unixのシステム管理に人気の高いWebベースのインターフェースです。2019年には、 ソフトウェアが侵害されていたことが判明した 裏口 それは検出される1年以上前からコード内に存在していた。
仕組み：
このバックドアは、侵害されたビルドサーバーを介してWebminのGitHubリポジトリに密かに仕込まれた。悪意のあるコードは、管理者がWebminインターフェースを使用してパスワードを変更した場合にのみアクティブになる。一度アクティブになると、root権限でのリモートコマンド実行が可能になる。
影響：
このバックドアは、Webminのバージョン1.882から1.921に搭載されており、300万以上のウェブサイトとサーバーに影響を与える可能性があります。このバックドアによってシステムがリモート攻撃者に開放され、攻撃者はサーバーを完全に制御できる可能性があり、データ窃盗、サーバー乗っ取り、そしてさらなるネットワーク侵害につながる恐れがあります。
学んだ教訓：
今回の事件は、ビルドプロセスが侵害された場合に発生する重大な脆弱性を浮き彫りにしました。ビルドサーバーのセキュリティ確保と、ソフトウェア開発ライフサイクルにおける定期的なセキュリティ監査の重要性を改めて示しています。また、Webminの事例は、信頼できるソースから提供されたものであっても、ソフトウェアアップデートを徹底的に検証する必要性も示しています。
ランタイム侵害ワーム
仕組み： このワームはオープンソースパッケージ内に潜伏しており、実行時に活性化し、他のパッケージやシステムに拡散する可能性がある。
悪用された脆弱性： ランタイム侵害型ワームは、オープンソースプロジェクトの相互接続性を悪用し、侵害されたパッケージが他のパッケージにも影響を与える可能性がある。
保護戦略: 厳格なランタイム動作監視および異常検知システムを導入することで、こうした脅威を特定し、軽減することができます。
ランタイム侵害型P2PInfectの例：Rustyピアツーピア自己複製ワーム
説明:
P2P感染 これは、Unit 42のクラウド研究者によって発見されたピアツーピア（P2P）ワームです。
拡張性が高くクラウド環境に適したプログラミング言語であるRustで記述されたこのワームは、クロスプラットフォーム感染が可能で、クラウド環境で広く利用されている人気のオープンソースデータベースアプリケーションであるRedisを標的としています。
使い方：
初期活用：
- P2PInfectは、脆弱なRedisインスタンスに存在するLuaサンドボックスエスケープの脆弱性（CVE-2022-0543）を悪用します。
- この脆弱性により、ワームはLuaスクリプト環境内で任意のコードを実行できる。
ペイロードの配信:
- 初期アクセスが確立されると、P2PInfectは初期ペイロードを投下し、より大規模なネットワークへのP2P通信を確立します。
- その後、ワームはOS固有のスクリプトやスキャンソフトウェアなど、追加の悪意のあるバイナリをダウンロードします。
伝播:
- 感染したRedisインスタンスはP2Pネットワークに参加し、将来的に侵害されるRedisインスタンスのために他のペイロードへのアクセスを提供する。
- P2PInfectはLinuxとWindowsの両方のオペレーティングシステムを標的とするため、他のワームよりも拡張性と攻撃力に優れています。
影響 :
Unit 42の研究者らは、過去2週間に公開通信を行っている30万7000以上のRedisシステムを特定し、そのうち934システムがこのP2Pワームの亜種に対して脆弱である可能性があると結論付けた。
P2PInfectは、この脆弱性を悪用して攻撃者が実行しうる深刻な攻撃の一例である。
学んだ教訓：
開発者は、パッケージをレビューおよび検証し、依存関係を最新の状態に保ち、パッケージ名とソースに注意を払う必要があります。
このようなサプライチェーン攻撃を防ぐためには、警戒と継続的な監視が不可欠である。
依存関係連鎖攻撃
仕組み： 攻撃者は依存関係チェーン内の1つのパッケージを侵害し、それによって依存している他のすべてのパッケージに影響が及ぶ。
悪用された脆弱性： この攻撃は、パッケージ間の依存関係に対する信頼と、侵害されたパッケージが連鎖的に影響を及ぼすことを悪用する。
保護戦略: ソフトウェア構成分析ツールを使用してオープンソースコンポーネントとその依存関係を追跡および管理することで、依存関係連鎖攻撃から保護することができます。
依存関係連鎖攻撃の例 npmパッケージ「event-stream」（2018年）：サプライチェーン侵害
説明:
2018年に人気のnpmパッケージは 「イベントストリーム」 危うくされた.
この攻撃は、依存関係チェーンの操作を伴うもので、何も知らないユーザーに影響を与えた。
仕組み：
最初の妥協点:
- 攻撃者は「flatmap-stream」というあまり使われていない依存関係を乗っ取った。
- 彼らは「flatmap-stream」に悪意のあるコードを注入した。
伝搬：
- 問題のある「flatmap-stream」は、広く使われているパッケージ「event-stream」の依存関係として含まれていました。
- 多くのプロジェクトが、知らず知らずのうちに脆弱性のある「event-stream」パッケージをインストールしていた。
影響：
攻撃者は、何も知らないユーザーから機密情報にアクセスした。
この事件は、依存関係を介したサプライチェーン攻撃のリスクを浮き彫りにした。
学んだ教訓：
開発者は、パッケージをレビューおよび検証し、依存関係を最新の状態に保ち、パッケージ名とソースに注意を払う必要があります。
このようなサプライチェーン攻撃を防ぐためには、警戒と継続的な監視が不可欠である。
Xygeniでオープンソースプロジェクトを保護しましょう
前述のとおり、オープンソースのエコシステムは諸刃の剣です。イノベーションを促進する一方で、ソフトウェアを重大なリスクにさらす可能性もあります。 改ざん防止装置をインストール マルウェア、初回使用バックドア、依存関係連鎖攻撃。これらの脅威による影響は深刻であり、ソフトウェアサプライチェーンの保護は極めて重要です。
ザイゲニ 当社は、進化し続ける脅威からオープンソースプロジェクトを守るための強力なソリューションを提供します。当社のツールは、依存関係の安全性を確保し、ソフトウェアの堅牢性と開発プロセスの円滑化を実現します。
よりスマートなデザインcis包括的なパッケージ分析によるイオン
オープンソースパッケージの複雑さを考えると、情報に基づいた選択をすることが非常に重要です。Xygeniの パッケージ全体の分析 オープンソースコンポーネントのセキュリティを迅速に評価できます。当社のプラットフォームを使用すると、安全で信頼性の高いパッケージを自信を持って選択し、安全でない依存関係のリスクを回避できます。スマートな設計により、cis事前に適切な対策を講じることで、より強力で安全なアプリケーションを構築でき、長期にわたってその性能を維持できます。
リアルタイムマルウェア検出で積極的に防御
脅威がシステムに侵入した後に反応するだけでは不十分です。だからこそ、Xygeniは リアルタイムマルウェア検出 ゼロデイマルウェアなどの脅威を発生直後に検知します。当社のシステムは悪意のあるコードを即座にブロックし、開発環境への侵入を未然に防ぎます。迅速な対応により、プロジェクトを最初から安全に保つことができます。
継続的なモニタリングでサプライチェーンの安全性を確保
変化の激しいソフトウェア開発の世界では、常に変化が起こります。Xygeniの 継続的なサプライチェーン監視 Xygeniはあらゆるアップデートを常に監視しています。プロアクティブな保護機能により、依存関係における不審な変更を検知してブロックし、不正なパッケージがプロジェクトに侵入するのを防ぎます。Xygeniを使用することで、安全で信頼性の高いサプライチェーンを維持し、潜在的な脅威からソフトウェアを保護できます。
Xygeniでセキュリティをコントロールしよう
ご覧いただいたように、オープンソースソフトウェアのリスクは現実のものであり、増大し続けています。Xygeniのセキュリティソリューションは、これらのリスクを効果的に管理するためのツールを提供します。早期検出、包括的なパッケージ分析、継続的な監視に重点を置くことで、新たな脅威からソフトウェアを保護できます。オープンソースプロジェクトを脆弱なまま放置しないでください。今すぐXygeniでセキュリティ戦略を強化し、ソフトウェアとデータの安全性を確保して安心を手に入れましょう。
オープンソースプロジェクトのセキュリティを確保する準備はできていますか？ Xygeniは、脅威の先手を打つとともに、将来起こりうるあらゆる事態に対応できる強靭なソフトウェアの構築を支援します。
ビデオデモをご覧ください
